Les champs d’action de la directive européenne NIS2
Qu’est-ce que « NIS2 » ?
En 2022, le Conseil de l’Union européenne et le Parlement européen ont adopté une nouvelle version de la directive NIS. Baptisée « Network and Information Security 2 » (NIS 2), cette évolution vise à renforcer la résilience des organisations face à l’augmentation et à la sophistication des cybermenaces.
Protéger les services critiques de l’UE est une priorité, car si l’un de ces points d’entrée est touché, il peut déstabiliser en cascade le fonctionnement d’un pays membre.
En France, l’organisme dédié à l’application de cette nouvelle directive européenne est l’ANSSI. Ses agents ont les pleins pouvoirs pour faire appliquer les mesures de conformité, les audits et les sanctions, si nécessaire.
Ainsi, NIS2 est la directive européenne cyber qui remplace un texte précédent. NIS1 était trop étroit et NIS2 relève le niveau de cybersécurité exigé des organisations jouant un rôle dans l’économie et les services essentiels.
Elle couvre désormais 18 secteurs d’activité, contre 7 auparavant, et le nombre d’entités directement concernées passe de 500 à plus de 15 000 dans toute la France. (À noter que quelques exceptions ont été attribuées à des prestataires de services, les fournisseurs de services DNS par exemple.)
EE ou EI ? La typologie des entités expliquée.
Au-delà du simple critère du secteur d’activité, les autorités ont pris en compte le degré de criticité, la taille et le chiffre d’affaires afin de segmenter encore davantage les entreprises et organisations. Deux grandes entités se dessinent alors :
- Entités Essentielles (EE) : Si votre entreprise appartient aux secteurs cités plus haut et qu’elle emploie > 250 personnes ou dispose d’un chiffre d’affaires annuel supérieur à 50 millions d’euros (et un bilan annuel supérieur à 43 millions d’euros).
- Entités Importantes (EI) : Pour toutes celles qui emploient > 50 personnes ou dont le chiffre d’affaires et le bilan annuel sont supérieurs à 10 millions d’euros.
À noter que les prestataires, qui disposent d’accès aux infrastructures de ces entreprises « Essentielles » et « Importantes », doivent également se conformer à la directive cybersécurité NIS2.
Une directive cybersécurité qui touche tout le monde !
Vous êtes concerné ? Par où commencer pour vous conformer à la directive NIS2 ?
En mars 2026, l’ANSSI publie le Référentiel Cyber France (ReCyF), une feuille de route organisée autour de quatre piliers qui structurent votre mise en conformité : gouvernance, protection, défense et résilience.
Que se cache-t-il derrière ces quatre chantiers ? D’abord, la gouvernance : désignez un responsable de la sécurité et faites valider une politique claire par votre direction. Ensuite, cartographiez vos risques et vos dépendances, y compris celles liées à vos fournisseurs informatiques. Puis, renforcez vos mesures de protection : gestion des accès, sauvegardes testées, sensibilisation régulière de vos équipes. Enfin, préparez votre capacité de réponse aux incidents, avec des procédures d’alerte et de notification.déjà prêtes à activer.
Si votre entreprise est déjà certifiée ISO 27001, vous partez avec une longueur d’avance ! La structure du ReCyF s’en rapproche fortement, mais elle ne se suffit pas à elle seule.
Vous souhaitez vous enregistrer ? L’ANSSI a ouvert la plateforme >> MonEspaceNIS2 << Cet espace vous permet de vérifier votre statut, d’accéder à des ressources pratiques, et de montrer votre bonne foi auprès de l’autorité de contrôle. Mieux vaut avancer étape par étape que de découvrir vos obligations dans l’urgence.
Ainsi, comme vous avez pu le comprendre, de nombreux secteurs, et donc d’entreprises sont jugés essentiels par la directive NIS2. Si une cyberattaque les paralyse, ils peuvent impacter négativement le bon fonctionnement de notre pays. En temps que prestataire de ces organisations, vous devez prendre certains aspects en compte.
Votre PME n’est peut-être pas concernée mais NIS2 va aussi s’inviter dans vos appels d’offres !
Votre entreprise n’atteint peut-être pas les seuils fixés par NIS2. Pourtant, si vous travaillez avec une entité essentielle ou importante, la directive vous concerne malgré tout de façon indirecte. Dans la majorité des cas, elle n’impose pas d’obligation réglementaire directe aux prestataires et sous-traitants. En revanche, les exigences auxquelles vous êtes confronté découlent des obligations de vos clients soumis à NIS2.
Autrement dit, ce sont des obligations contractuelles et opérationnelles, que ces entités mettent en place pour respecter leurs propres responsabilités. Voici 3 grands axes impactés :
Un encadrement contractuel renforcé pour la cybersécurité.
Concrètement, cela se traduit d’abord par une évolution de vos contrats. Les entités soumises à NIS2 renforcent l’encadrement de leurs relations avec les prestataires qui interviennent sur des fonctions sensibles. Vous verrez ainsi apparaître des clauses de sécurité plus détaillées, l’obligation de respecter certaines politiques internes du client, ou encore des engagements de coopération en cas d’incident. Ces exigences ne viennent pas directement de la directive. C’est votre client régulé qui les impose, afin de sécuriser sa chaîne d’approvisionnement et de démontrer sa propre conformité.
Des attentes techniques et organisationnelles précises.
Par ailleurs, vos contrats intègrent des attentes plus techniques. Elles portent notamment sur la gestion des accès et des habilitations, sur la protection des systèmes et la continuité de service. Autre aspect à prendre en considération, la sauvegarde des données et votre capacité de restauration en cas de cyberattaque. Encore une fois, ces exigences restent des pré-requis contractuels, fixés par votre client, plutôt que des obligations légales directes issues de NIS2.
Une gestion des incidents sous tension.
La gestion des incidents constitue un point particulièrement sensible. Généralement, vous vous engagez par contrat à alerter rapidement votre client dès qu’un incident est susceptible d’affecter le service fourni. Vous devez aussi transmettre les informations utiles à l’analyse de l’incident, puis vous coordonner avec lui sur les actions de remédiation. Cette exigence découle directement des délais imposés par NIS2 aux entités régulées : une alerte sous 24 heures, puis une notification détaillée sous 72 heures. Sans une remontée rapide de votre part, ces délais deviennent impossibles à tenir pour votre client.
Vous souhaitez discuter et faire le point sur la cybersécurité de votre entreprise ou administration ?
Nous sommes à votre écoute pour échanger sur vos préoccupations en cybersécurité.
