Que dit la directive NIS2 pour les entreprises françaises ?

Qui est concerné par NIS2 en France

NIS2 a élargi massivement le périmètre par rapport à NIS1. Sont concernées :

• Entités essentielles : 250+ salariés ou 50+ M€ de CA dans 11 secteurs (énergie, transports, banques, infrastructures financières, santé, eau potable, eaux usées, infrastructure numérique, gestion services TIC, administration publique, espace).
• Entités importantes : 50+ salariés ou 10+ M€ de CA dans 7 secteurs additionnels (services postaux et courriers, gestion des déchets, fabrication de produits chimiques, agroalimentaire, fabrication, fournisseurs numériques, recherche).

Les fournisseurs critiques d'entités NIS2 sont indirectement concernés via les exigences contractuelles imposées par les grands donneurs d'ordre.

Les obligations principales

• Mesures techniques et organisationnelles : politique de sécurité SI, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement, gestion des vulnérabilités.
• Notification d'incident : alerte précoce sous 24h, notification complète sous 72h, rapport final sous 1 mois. Destinataire : l'ANSSI via la plateforme dédiée.
• Gouvernance : désignation d'un référent NIS2, formation du conseil d'administration, validation par le dirigeant exécutif (qui engage sa responsabilité personnelle).
• Tests réguliers : audit, exercice de crise cyber, simulation d'incident.

Calendrier de mise en conformité

La transposition française n'est pas promulguée à ce jour : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025, attend son examen en séance publique à l'Assemblée nationale. Les obligations ci-dessous ne sont donc pas encore opposables. Ce qui est utile dès maintenant : tester son éligibilité sur le portail de l'ANSSI, désigner un référent, cartographier ses systèmes essentiels et préparer sa chaîne de notification. Une organisation qui attend la promulgation pour commencer aura quelques mois pour faire ce qui en demande douze.

Les étapes que la transposition rendra obligatoires :

• Se déclarer auprès de l'ANSSI, une fois le dispositif ouvert.
• Désigner un référent et nommer un suppléant.
• Mettre en place les mesures techniques et organisationnelles.
• Conduire un audit initial et planifier les exercices.

Les contrôles ne peuvent pas commencer avant la promulgation. Ce n'est pas une raison d'attendre : la mise en conformité d'une entité essentielle se compte en mois, la période qui suivra la promulgation sera courte, et l'organisation qui aura cartographié ses systèmes et testé sa chaîne de notification en amont s'y présentera sans urgence.

Voir notre sectorielle crise cyber pour le détail des risques cyber 2026, et notre service cellule de crise pour structurer la cellule cyber compatible NIS2.