Directive NIS2

La directive NIS2 (Network and Information Security 2), officiellement la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022, constitue le principal cadre législatif de l'Union européenne en matière de cybersécurité des réseaux et des systèmes d'information. Elle abroge et remplace la Directive NIS (directive 2016/1148), dont elle élargit substantiellement le périmètre et renforce les exigences. Publiée au Journal officiel de l'Union européenne (L 333) le 27 décembre 2022, elle est entrée en vigueur le 16 janvier 2023, avec un délai de transposition en droit national fixé au 17 octobre 2024.

Contexte et historique

La directive NIS originelle (2016)

La Directive NIS (directive 2016/1148), adoptée le 6 juillet 2016 et devant être transposée avant le 9 mai 2018, imposait des mesures de sécurité à deux types d'acteurs : les opérateurs de services essentiels (OSE) dans sept secteurs (énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, infrastructures numériques) et les fournisseurs de services numériques (FSN). L'évaluation conduite par la Commission européenne entre 2019 et 2020 a révélé plusieurs insuffisances structurelles : hétérogénéité marquée des niveaux de protection entre États membres, périmètre insuffisant excluant des secteurs devenus critiques, absence d'exigences harmonisées sur la sécurité de la chaîne d'approvisionnement, et régime de sanctions insuffisamment dissuasif.

Élaboration de NIS2

La Commission européenne a présenté sa proposition de révision en décembre 2020, dans le cadre de la stratégie de cybersécurité de l'UE pour la décennie numérique. Après trilogue entre le Parlement européen, le Conseil et la Commission, le texte final a été adopté le 14 décembre 2022. La multiplication des cyberattaques de grande ampleur — notamment les attaques par rançongiciel ciblant des hôpitaux, des administrations publiques et des infrastructures critiques — a accéléré le calendrier législatif et justifié l'extension considérable du périmètre.

Champ d'application

Entités essentielles et entités importantes

NIS2 substitue à la distinction OSE/FSN une catégorisation fondée sur la taille des entités et la criticité de leur secteur :

Catégorie	Critères	Régime de supervision
Entités essentielles (EE)	Grandes entreprises (≥ 250 salariés, ou CA > 50 M€ et bilan > 43 M€) dans les secteurs à haute criticité ; certaines entités indépendamment de leur taille	Supervision ex ante : contrôles proactifs, audits périodiques imposés
Entités importantes (EI)	Moyennes entreprises (≥ 50 salariés, ou CA > 10 M€) dans les secteurs à haute criticité ou dans les secteurs critiques supplémentaires	Supervision ex post : contrôles déclenchés par incident ou signalement

Certaines entités sont classées comme essentielles indépendamment de leur taille : fournisseurs de réseaux de communications électroniques publics, prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau (TLD), gestionnaires de DNS, et entités de l'administration publique centrale. Les États membres peuvent également désigner comme essentielles des entités de taille inférieure présentant un risque systémique élevé.

Secteurs couverts

La directive couvre 18 secteurs répartis en deux annexes, contre 7 dans NIS1.

Secteurs à haute criticité (annexe I) :

• Énergie (électricité, pétrole, gaz naturel, hydrogène, chauffage et refroidissement urbains)
• Transports (aérien, ferroviaire, fluvial et maritime, routier)
• Secteur bancaire
• Infrastructures des marchés financiers
• Santé (établissements de soins, laboratoires de référence, fabricants de dispositifs médicaux critiques, industrie pharmaceutique)
• Eau potable
• Eaux usées
• Infrastructure numérique (points d'échange Internet, fournisseurs de services DNS, registres TLD, prestataires de services cloud, centres de données, réseaux de diffusion de contenu CDN, services de confiance, opérateurs de réseaux de communications électroniques publics)
• Gestion des services TIC interentreprises (fournisseurs de services gérés MSP, fournisseurs de services de sécurité gérés MSSP)
• Administration publique centrale
• Espace (opérateurs d'infrastructures au sol)

Secteurs critiques supplémentaires (annexe II) :

• Services postaux et de messagerie
• Gestion des déchets
• Fabrication, production et distribution de produits chimiques
• Production, transformation et distribution de denrées alimentaires
• Fabrication (dispositifs médicaux, équipements informatiques et électroniques, machines, véhicules automobiles, autres équipements de transport)
• Fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux)
• Recherche

Obligations principales

Gouvernance et responsabilité des dirigeants

L'article 20 de la directive établit que les organes de direction des entités essentielles et importantes — conseils d'administration et directions générales — doivent approuver les mesures de gestion des risques en matière de cybersécurité et en superviser la mise en œuvre. Les États membres sont tenus de prévoir des règles permettant d'engager la responsabilité personnelle des membres des organes de direction en cas de violation caractérisée des obligations NIS2. Les dirigeants ont par ailleurs l'obligation de suivre des formations spécifiques à la cybersécurité et de veiller à ce que leurs collaborateurs bénéficient de sensibilisations équivalentes.

Mesures techniques et organisationnelles

L'article 21 établit la liste minimale des domaines devant être couverts par les mesures de sécurité :

• Politiques d'analyse des risques et de sécurité des réseaux informatiques et systèmes d'information
• Gestion des incidents (détection, classification, réponse, rétablissement)
• Plan de continuité d'activité et gestion des crises, incluant sauvegardes et plans de reprise après sinistre
• Sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs et sous-traitants directs
• Sécurité lors de l'acquisition, du développement et de la maintenance des systèmes, incluant la gestion et la divulgation des vulnérabilités
• Politiques et procédures d'évaluation de l'efficacité des mesures : audits de cybersécurité et tests d'intrusion
• Pratiques de base de cyberhygiène et sensibilisation des utilisateurs
• Politiques relatives à la cryptographie et au chiffrement des données
• Sécurité des ressources humaines et gestion des accès (principe du moindre privilège)
• Utilisation de l'authentification multifacteur ou d'une authentification continue

Des référentiels comme l'ISO/IEC 27001, la méthode EBIOS Risk Manager publiée par l'ANSSI, ou les lignes directrices de l'ENISA (Agence de l'Union européenne pour la cybersécurité) constituent des cadres de mise en conformité reconnus.

Notification des incidents

L'article 23 institue un mécanisme de notification en trois étapes pour les incidents qualifiés de significatifs — susceptibles de causer une perturbation opérationnelle grave, des pertes financières importantes, ou d'affecter d'autres personnes physiques ou morales :

1. Alerte précoce (délai : 24 heures) : transmission au CSIRT national ou à l'autorité compétente d'une alerte précisant si l'incident est suspecté d'être d'origine malveillante et s'il présente un caractère transfrontalier.
2. Notification d'incident (délai : 72 heures) : évaluation initiale comprenant la sévérité, l'impact et les indicateurs de compromission disponibles.
3. Rapport final (délai : 1 mois après la notification d'incident) : rapport complet décrivant la nature et la cause probable de l'incident, les mesures correctives adoptées et l'impact transfrontalier le cas échéant.

Les incidents impliquant simultanément des données à caractère personnel nécessitent une double notification : auprès de l'autorité NIS2 compétente et auprès de l'autorité de protection des données au titre du RGPD (délai RGPD : 72 heures).

Sécurité de la chaîne d'approvisionnement

L'article 21(2)(d) introduit une obligation explicite d'évaluer les risques liés aux fournisseurs, sous-traitants et prestataires directs. Les entités assujetties doivent intégrer des clauses de sécurité dans leurs contrats fournisseurs et évaluer les pratiques de sécurité des tiers, notamment leur capacité à gérer les vulnérabilités. L'ENISA coordonne au niveau européen des évaluations de risques liés à des chaînes d'approvisionnement spécifiques, dont les conclusions alimentent les politiques des autorités nationales compétentes.

Sanctions et pouvoirs de supervision

La directive impose des sanctions administratives différenciées selon la catégorie d'entité :

Catégorie d'entité	Amende maximale
Entités essentielles	10 000 000 € ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé étant retenu)
Entités importantes	7 000 000 € ou 1,4 % du chiffre d'affaires annuel mondial total (le montant le plus élevé étant retenu)

Les autorités nationales compétentes disposent également de pouvoirs d'injonction (mise en conformité sous délai, suspension temporaire d'une certification ou autorisation), de publication des manquements constatés (name and shame), et — pour les entités essentielles uniquement — d'interdiction temporaire d'exercer applicable aux personnes physiques assumant des fonctions dirigeantes. Ces sanctions s'appliquent indépendamment d'éventuelles sanctions pénales prévues par le droit national.

Transposition nationale

France

En France, l'ANSSI est désignée comme autorité nationale compétente principale pour NIS2. L'agence a estimé que la directive concernerait entre 10 000 et 15 000 entités françaises, contre environ 500 sous NIS1, soit une multiplication par 20 à 30 du nombre d'entités régulées. La France disposait d'une expérience préalable en matière de régulation des infrastructures critiques via le régime des opérateurs d'importance vitale (OIV), issu de la loi de programmation militaire (LPM) de 2013, et via le régime NIS1. Le projet de loi de transposition a été soumis au Parlement en 2024. L'ANSSI a annoncé un dispositif d'assujettissement progressif par vagues successives pour permettre aux entités nouvellement concernées d'organiser leur mise en conformité sans saturer l'appareil de supervision.

Autres États membres

À la date du 17 octobre 2024, seule une minorité d'États membres avait achevé sa transposition, conduisant la Commission européenne à engager des procédures d'infraction :

• La Belgique a adopté sa loi de transposition le 26 avril 2024, avec le Centre for Cyber Security Belgium (CCB) comme autorité compétente.
• La Croatie, la Lituanie et la Hongrie figuraient parmi les premiers États à avoir respecté le délai du 17 octobre 2024.
• L'Allemagne a conduit un processus législatif appuyé sur les travaux de l'Office fédéral de la sécurité des technologies de l'information (BSI).
• La Grèce et la Bulgarie accusaient des retards significatifs au-delà de la date limite.

Coopération européenne

NIS2 crée le réseau CyCLONe (Cyber Crisis Liaison Organisation Network), destiné à la gestion opérationnelle des cybercrises transfrontalières à grande échelle. Il complète le réseau des CSIRT nationaux et le groupe de coopération NIS, qui réunit les autorités nationales compétentes pour élaborer des orientations et partager les bonnes pratiques entre États membres.

Articulation avec d'autres réglementations

NIS2 s'inscrit dans un écosystème réglementaire européen cohérent :

• DORA (règlement (UE) 2022/2554) : applicable aux entités financières (établissements de crédit, compagnies d'assurance, gestionnaires de fonds, prestataires de services de paiement), DORA constitue une lex specialis par rapport à NIS2 — les entités financières couvertes par DORA sont exemptées des exigences NIS2 équivalentes pour les domaines déjà régulés. Les deux textes partagent des exigences sur les tests de résilience avancés (TLPT — Threat-Led Penetration Testing).
• RGPD (règlement (UE) 2016/679) : un incident de sécurité impliquant des données personnelles peut déclencher simultanément une notification NIS2 et une notification RGPD, avec des délais et des destinataires distincts. Les deux régimes sont complémentaires mais ne se substituent pas l'un à l'autre.
• ISO/IEC 27001 : plusieurs autorités nationales, dont l'ANSSI, reconnaissent la certification ISO 27001 comme moyen de démontrer partiellement la conformité aux mesures de l'article 21. Des cartographies entre NIS2 et ISO 27001 ont été publiées par l'ANSSI et l'ENISA.
• Cyber Resilience Act (CRA, règlement (UE) 2024/2847) : adopté en octobre 2024, il fixe des exigences de cybersécurité pour les produits comportant des éléments numériques (logiciels, objets connectés) mis sur le marché européen — complémentaire de NIS2 qui cible les opérateurs de services.

Outils et pratiques de mise en conformité

La mise en conformité NIS2 mobilise un ensemble d'outils et de méthodes :

• Analyse d'impact sur l'activité (BIA — Business Impact Analysis) : identification et hiérarchisation des processus métier critiques à protéger en priorité
• Audit de cybersécurité : évaluation de l'écart entre le niveau de sécurité existant et les exigences de l'article 21
• SIEM (Security Information and Event Management) : centralisation et corrélation en temps réel des événements de sécurité pour la détection des incidents
• SOC : centre opérationnel de supervision de la sécurité, interne ou externalisé auprès d'un MSSP
• Architecture Zero Trust : modèle éliminant toute confiance implicite dans les accès réseau, adapté aux environnements hybrides et cloud
• Cyberassurance : mécanisme de transfert du risque résiduel ; les assureurs conditionnent de plus en plus la couverture à la démonstration d'un niveau de maturité cohérent avec NIS2
• Tests d'intrusion : simulation d'attaques pour évaluer l'efficacité des défenses, recommandée par l'ANSSI dans le cadre des mesures de l'article 21

Métiers et formation

L'extension du périmètre de NIS2 a considérablement amplifié la demande de compétences spécialisées en cybersécurité. Les profils les plus sollicités sont :

• Ingénieur en cybersécurité : conception et déploiement des architectures techniques conformes aux exigences NIS2
• RSSI (Responsable de la sécurité des systèmes d'information) : pilotage de la politique de sécurité globale, interface avec la direction générale et les autorités de supervision
• Auditeur en cybersécurité et consultant en conformité NIS2/DORA : évaluation des écarts et accompagnement des plans de remédiation
• Analyste SOC : surveillance des événements de sécurité et qualification des incidents en temps réel
• Spécialiste en gestion des risques numériques : évaluation et traitement des risques selon les cadres EBIOS Risk Manager (méthode ANSSI) ou ISO 27005

Des filières reconnues incluent les masters en cybersécurité labellisés SecNumedu par l'ANSSI, les certifications ISO/IEC 27001 (Lead Implementer, Lead Auditor) et les formations aux référentiels de l'ENISA. La cybersécurité des PME représente un segment en forte croissance : les entités importantes de taille intermédiaire (50 à 249 salariés) se trouvent pour la première fois soumises à des exigences de sécurité structurées, alors qu'elles en étaient largement exclues sous NIS1.

Voir aussi

• Cybersécurité
• ANSSI
• ISO/IEC 27001
• DORA (Digital Operational Resilience Act)
• Plan de continuité d'activité
• Conformité RGPD
• Directive NIS