NIS 2 ne se résume ni à une liste de produits de sécurité, ni à un audit à réussir une fois. La directive place la gestion du risque cyber dans la gouvernance de l’organisation, impose un socle de mesures techniques, opérationnelles et organisationnelles, et organise la notification des incidents importants.
En France, une précision commande toute l’analyse : la transposition nationale est encore en cours au 19 juillet 2026. L’ANSSI parle toujours de « futures entités essentielles et importantes ». Le dossier de l’Assemblée nationale montre un texte adopté par le Sénat le 12 mars 2025, puis un texte de commission déposé à l’Assemblée le 10 septembre 2025, sans adoption définitive affichée.
Conclusion courte : il est possible et utile de se préparer maintenant, mais il serait inexact de présenter le projet de loi français ou le ReCyF de mars 2026 comme un cadre national définitivement adopté.
Trois couches à ne pas confondre
La directive (UE) 2022/2555 a fixé au 17 octobre 2024 la date limite de transposition par les États membres. Elle définit le cadre européen : périmètre, gouvernance, gestion des risques, notification, supervision et sanctions. Sa mise en œuvre concrète dépend ensuite du droit national, sauf lorsqu’un règlement européen directement applicable précise certaines obligations.
En France, le projet de loi « Résilience » doit assurer cette transposition. Le Référentiel Cyber France, version 2.5, publié par l’ANSSI le 17 mars 2026, se présente explicitement comme un document de travail. L’ANSSI précise que ses moyens acceptables de conformité ne sont, par défaut, pas obligatoires et que le document dépend encore du projet de loi et de ses textes d’application.
Êtes-vous concerné ? Une qualification, pas une intuition
NIS 2 couvre des types d’entités relevant de 18 secteurs répartis entre l’annexe I, consacrée aux secteurs hautement critiques, et l’annexe II, qui regroupe d’autres secteurs critiques. Cette appartenance sectorielle ne suffit pas toujours. La taille de l’entité, sa personnalité morale, ses entreprises partenaires ou liées, la nature exacte du service et certains cas d’inclusion indépendants de la taille doivent aussi être examinés.
| Annexe I, secteurs hautement critiques | Annexe II, autres secteurs critiques |
|---|---|
| Énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé | Services postaux et d’expédition, déchets, produits chimiques, alimentation |
| Eau potable, eaux usées, infrastructures numériques, gestion de services TIC interentreprises | Certaines activités de fabrication, fournisseurs numériques, recherche |
| Administration publique, espace |
La qualification détaillée dépend des définitions et renvois contenus dans les annexes de la directive, pas d’un intitulé commercial. Par exemple, « fournisseur de services gérés » répond à une définition juridique précise. L’ANSSI rappelle aussi qu’il appartient à l’entité d’évaluer son périmètre et que MonEspaceNIS2 fournit une orientation générale, appelée à évoluer avec la transposition.
La distinction entre entité essentielle et entité importante repose principalement sur le secteur, la taille et certains statuts particuliers. Des fournisseurs DNS, registres de noms de domaine de premier niveau et prestataires de services de confiance qualifiés peuvent notamment relever du régime quelle que soit leur taille. Des entités peuvent aussi être désignées en raison de leur criticité. Une analyse de périmètre sérieuse doit donc conserver les pièces ayant permis la conclusion : activité exacte, effectif, données financières, structure du groupe, implantations et éventuelle réglementation sectorielle.
Quatre erreurs de périmètre fréquentes
- Raisonner par marque plutôt que par personne morale. L’assujettissement porte sur une entité juridique et ses activités. Un groupe peut réunir plusieurs conclusions différentes.
- S’arrêter au code d’activité principal. Les annexes renvoient à la nature du service effectivement fourni et à des définitions sectorielles.
- Appliquer un seuil isolé. Les règles européennes relatives aux entreprises partenaires et liées peuvent modifier l’analyse de taille.
- Oublier les régimes sectoriels. L’article 4 de la directive prévoit une articulation avec les actes de l’Union qui imposent des obligations d’effet au moins équivalent. Il faut donc analyser, entre autres, l’éventuelle application de DORA aux entités financières concernées au lieu d’empiler mécaniquement les textes.
Les obligations structurantes
La direction approuve et supervise
L’article 20 de la directive demande que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Il prévoit aussi une formation des membres de ces organes. NIS 2 fait donc du risque cyber un sujet de décision et de contrôle, pas seulement une délégation au responsable de la sécurité.
Une preuve utile n’est pas la présence du mot « cyber » dans un procès-verbal. Elle doit montrer quelle décision a été prise, sur quel périmètre, à partir de quelle information, avec quel responsable, quelle échéance et quel suivi.
Dix familles minimales de gestion des risques
L’article 21 impose des mesures appropriées et proportionnées, fondées sur une approche tous risques. Il énumère au moins dix familles :
- politiques d’analyse des risques et de sécurité des systèmes d’information ;
- gestion des incidents ;
- continuité, sauvegardes, reprise et gestion de crise ;
- sécurité de la chaîne d’approvisionnement ;
- sécurité de l’acquisition, du développement et de la maintenance, y compris les vulnérabilités ;
- évaluation de l’efficacité des mesures ;
- cyberhygiène et formation ;
- cryptographie et chiffrement lorsque pertinent ;
- sécurité des ressources humaines, contrôle d’accès et gestion des actifs ;
- authentification multifacteur ou continue et communications sécurisées, selon les besoins.
La proportionnalité n’est pas une dispense générale. La directive demande de prendre en compte l’exposition au risque, la taille, la probabilité et la gravité des incidents, ainsi que leurs conséquences sociétales et économiques. Une mesure écartée doit donc reposer sur une justification compréhensible et révisable.
Le règlement d’exécution (UE) 2024/2690 précise directement les exigences techniques et méthodologiques pour une liste déterminée d’acteurs numériques : DNS, registres de domaines de premier niveau, cloud, centres de données, réseaux de diffusion de contenu, services gérés, services de sécurité gérés, places de marché, moteurs de recherche, réseaux sociaux et services de confiance. Il ne faut pas étendre automatiquement ses critères détaillés à tous les secteurs NIS 2. L’ENISA a publié en juin 2025 un guide de mise en œuvre destiné à ce même périmètre et précise que ce guide n’est pas juridiquement contraignant.
La notification commence avant la fin de l’enquête
Pour un incident important, l’article 23 organise une séquence générale à partir du moment où l’entité en a connaissance : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport intermédiaire si le CSIRT ou l’autorité le demande, puis rapport final au plus tard un mois après la notification. Si l’incident est encore en cours, un rapport d’avancement remplace temporairement le rapport final.
La Commission européenne confirme que l’alerte précoce vise une réaction rapide et ne suppose pas une investigation achevée. Des règles particulières existent, notamment pour certains services de confiance, et les modalités françaises doivent encore être confirmées par les textes de transposition.
Supervision et sanctions ne sont pas identiques
La directive distingue les régimes de supervision. Les entités essentielles peuvent faire l’objet de contrôles ex ante et ex post, notamment des inspections, audits et demandes d’informations. Pour les entités importantes, la supervision est en principe ex post, lorsqu’une autorité dispose d’éléments laissant penser à un manquement. Cette différence ne réduit pas les obligations de gestion des risques ou de notification.
Pour les violations des articles 21 ou 23, l’article 34 demande aux États membres de prévoir, pour les entreprises, des plafonds d’amendes administratives atteignant au moins le montant le plus élevé entre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes. Ce sont des minima européens pour les plafonds nationaux, pas des amendes automatiques. Les règles françaises de contrôle, de procédure et de sanction dépendent de la transposition définitive.
Un plan de préparation en 90 jours
Le calendrier suivant est une proposition opérationnelle BLACKPROOF, pas un délai légal. Il vise à produire des décisions et des preuves réutilisables sans figer prématurément une interprétation du futur droit français.
Jours 1 à 15 : qualifier et gouverner
- nommer un sponsor exécutif et un responsable de la préparation ;
- établir le dossier de qualification par personne morale, activité, secteur, taille, structure de groupe et pays ;
- utiliser MonEspaceNIS2 comme outil d’orientation, sans le transformer en avis juridique définitif ;
- recenser les activités et services puis les systèmes d’information qui les supportent ;
- consigner les inconnues, les hypothèses et la date de prochaine revue.
Le ReCyF de mars 2026 demande, dans son objectif 1, une liste tenue à jour des activités, services et systèmes d’information associés. Commencer par cette relation métier-SI est plus utile qu’un inventaire technique sans contexte.
Jours 16 à 45 : mesurer les écarts et préparer l’incident
- comparer les pratiques existantes aux dix familles de l’article 21 ;
- construire une matrice d’écarts avec risque, responsable, décision, échéance et preuve attendue ;
- définir le critère d’escalade vers l’équipe chargée d’évaluer un incident potentiellement important ;
- préparer les contacts, délégations et canaux de notification accessibles en mode dégradé ;
- tester sur table la séquence 24 heures, 72 heures et un mois avec les équipes sécurité, juridique, métiers, communication et direction.
La notification NIS 2 doit aussi être articulée avec les autres obligations possibles, notamment celles relatives aux violations de données personnelles, aux autorités sectorielles, aux contrats et aux assurances. Un événement peut déclencher plusieurs analyses sans que leurs critères ni leurs destinataires soient identiques. La méthode publiée dans notre analyse sur les fuites de données aide à séparer faits établis, hypothèses et inconnues pendant cette phase.
Jours 46 à 90 : traiter, tester et prouver
- prioriser les risques et faire accepter explicitement les risques résiduels par le bon niveau de décision ;
- tester une restauration et documenter le résultat, les écarts et les corrections ;
- revoir les comptes privilégiés, l’authentification multifacteur et les accès des prestataires ;
- identifier les fournisseurs critiques, les dépendances et les obligations de sécurité ou de notification à contractualiser ;
- définir des indicateurs montrant l’efficacité réelle des mesures ;
- réunir un dossier de preuves cohérent, daté, attribué et révisable.
La preuve attendue n’est pas le document le plus volumineux
| Sujet | Preuve utile | Faux sentiment de sécurité |
|---|---|---|
| Gouvernance | Décision approuvée, responsable, échéance et suivi | Politique signée sans preuve de supervision |
| Périmètre | Activités, services, SI, dépendances et justifications | Export brut de CMDB sans lien métier |
| Risques | Méthode, registre, traitement et acceptation résiduelle | Audit ponctuel non relié aux décisions |
| Incident | Critères, contacts, exercice horodaté et retour d’expérience | Plan jamais testé |
| Continuité | Test de restauration, résultat et corrections | Tableau de sauvegardes au vert |
| Fournisseurs | Dépendances, criticité, exigences et revues | Questionnaire sans vérification |
| Efficacité | Indicateurs, tests, écarts et clôture des actions | Accumulation de scans sans décision |
Cette logique rejoint la bibliothèque de preuves et les indicateurs de dette de preuve de BLACKPROOF. Une pièce n’est utile que si son origine, son périmètre, sa date, son propriétaire et la conclusion qu’elle soutient sont explicites.
Ce que NIS 2 ne permet pas d’affirmer
- « Nous sommes certifiés NIS 2. » La directive n’instaure pas une certification générale portant ce nom.
- « ISO 27001 prouve automatiquement la conformité. » Une certification peut contribuer à la démonstration sur son périmètre, mais elle ne tranche ni l’assujettissement, ni toutes les obligations, ni les exigences nationales à venir.
- « Le ReCyF 2.5 est déjà obligatoire. » L’ANSSI le qualifie de document de travail et précise la portée non obligatoire, par défaut, de ses moyens acceptables de conformité.
- « Un prestataire conforme transfère sa conformité au client. » L’article 21 impose précisément de gérer la sécurité de la chaîne d’approvisionnement et les relations avec les fournisseurs directs.
- « Le rapport de 24 heures doit être complet. » La première échéance porte sur une alerte précoce. L’évaluation est ensuite enrichie.
- « Un outil produit la conformité. » Un outil peut structurer les exigences, les écarts et les preuves. Il ne remplace ni la décision de la direction, ni l’analyse juridique, ni la réalité des mesures déployées.
BLACKPROOF peut aider à cartographier des attentes vers des preuves, à qualifier les manques et à préparer un dossier vérifiable. Sa méthode et sa cartographie de référentiels n’établissent pas une certification NIS 2 et ne remplacent pas un audit ou un conseil juridique qualifié.
Huit questions à poser au prochain comité de direction
- Quelles personnes morales avons-nous réellement évaluées, et à quelle date ?
- Quelles activités et quels services nous placent potentiellement dans une annexe NIS 2 ?
- Quels systèmes d’information supportent ces services, y compris chez des tiers ?
- Qui peut décider qu’un incident est potentiellement important, de jour comme de nuit ?
- Pouvons-nous produire une alerte fiable en 24 heures sans attendre la fin de la forensique ?
- Quelle restauration critique avons-nous réellement testée au cours des douze derniers mois ?
- Quels risques résiduels ont été explicitement acceptés par la direction ?
- Quelle preuve ferait aujourd’hui défaut face à un contrôle, et qui doit la produire ?
Une préparation crédible ne cherche pas à déclarer la conformité avant le droit applicable. Elle rend le périmètre, les décisions, les mesures et les preuves suffisamment explicites pour être vérifiés, corrigés et adaptés lorsque la transposition française sera définitive.