NIS2 : Ce que les entreprises doivent savoir avant 2025

NIS2 : ce que les entreprises doivent savoir en novembre 2026

NIS2 fait de la cybersécurité un sujet de gouvernance. Pour une entreprise concernée, l'enjeu n'est pas seulement de rédiger des procédures : il faut connaître ses obligations, réduire ses risques opérationnels et démontrer que les mesures fonctionnent.

La directive européenne 2022/2555 imposait aux États membres une transposition au plus tard le 17 octobre 2024, avec application des mesures à partir du 18 octobre 2024. Cette échéance européenne ne signifie toutefois pas que chaque pays a achevé sa transposition à cette date.

En novembre 2026, une démarche sérieuse doit donc articuler veille nationale, analyse du périmètre et plan de sécurisation. Attendre une checklist universelle ou une certification supposée obligatoire serait une mauvaise stratégie.

Distinguer le calendrier européen de la situation française

NIS2 est une directive, et non un règlement directement applicable dans toutes ses dispositions. Les textes nationaux précisent notamment les autorités compétentes, l'enregistrement, les modalités de contrôle et les conditions de mise en œuvre.

La page NIS2 de l'ANSSI accessible lors de cette vérification présente encore la transposition française comme étant en cours. Cette information ne permet pas de certifier une date d'achèvement en novembre 2026. Avant de fixer une échéance juridique interne, vérifiez la loi promulguée, ses textes d'application et les instructions effectivement applicables.

Il faut également distinguer un référentiel préparatoire d'une obligation opposable. Conservez la date et la source de chaque interprétation. Les obligations déjà applicables, notamment sectorielles ou contractuelles, ne disparaissent pas pendant cette transition.

Votre entreprise entre-t-elle dans le périmètre ?

Examiner ensemble l'activité et la taille

Les articles 2 et 3, ainsi que les annexes I et II, définissent le périmètre européen. Celui-ci couvre notamment l'énergie, les transports, la santé, certaines infrastructures numériques, des services TIC interentreprises, les services postaux, les déchets et certaines activités manufacturières.

En règle générale, l'analyse concerne les entités exerçant une activité visée qui correspondent à une entreprise moyenne, ou dépassent les plafonds correspondants, selon les règles européennes de taille auxquelles renvoie la directive.

La formule « plus de 50 salariés ou 10 millions d'euros de chiffre d'affaires » est donc insuffisante. Effectifs, données financières et liens avec d'autres entreprises doivent être examinés selon les règles pertinentes. Une filiale ne doit pas raisonner uniquement sur ses chiffres isolés.

Certaines catégories sont concernées indépendamment de leur taille, notamment certains prestataires DNS ou de services de confiance. Des mécanismes nationaux d'identification interviennent également. Une petite structure ne peut donc pas conclure automatiquement à son exclusion.

Justifier la qualification retenue

Les entités essentielles et importantes ne se distinguent pas simplement par leur secteur. La qualification combine les critères de l'article 3, dont la taille et des catégories particulières.

Les deux catégories doivent gérer leurs risques et signaler les incidents concernés. Leur supervision diffère : les entités essentielles peuvent faire l'objet de contrôles proactifs, tandis que celle des entités importantes repose généralement sur des éléments laissant supposer une non-conformité.

Formalisez une note de périmètre et actualisez-la après une acquisition, une réorganisation ou un changement significatif d'activité.

La direction doit approuver, suivre et comprendre

L'article 20 prévoit l'approbation des mesures de gestion des risques par les organes de direction et la supervision de leur mise en œuvre. Il prévoit également leur formation ; les États membres doivent encourager une formation régulière des salariés.

La direction doit pouvoir répondre à des questions concrètes :

• Quels services doivent être rétablis en priorité ?
• Quels scénarios pourraient interrompre l'activité ?
• Quels fournisseurs concentrent les dépendances ?
• Qui finance et pilote les corrections ?
• Quelles preuves montrent que les protections sont efficaces ?

Conservez les décisions, arbitrages, formations et revues. Confier les opérations à un prestataire n'efface pas la responsabilité de supervision.

Transformer les exigences en mesures vérifiables

L'article 21 prévoit des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées. Il vise notamment la gestion des incidents, la continuité, la sécurité de la chaîne d'approvisionnement, les vulnérabilités, l'évaluation de l'efficacité, l'hygiène numérique et les accès.

Commencez par relier les processus métier aux applications, données, infrastructures, personnes et fournisseurs. Une analyse de risques structurée permet ensuite de hiérarchiser les scénarios plutôt que d'empiler les contrôles.

Une sauvegarde déclarée opérationnelle ne suffit pas : testez la restauration, vérifiez les accès et conservez les résultats. Une revue des habilitations doit déboucher sur des corrections traçables. Pour les fournisseurs, adaptez l'examen à la prestation, aux accès privilégiés et aux conséquences d'une interruption.

Chaque mesure devrait avoir un responsable, une preuve attendue, une fréquence de vérification et une procédure de traitement des écarts. C'est cette chaîne qui rend le dispositif pilotable.

Préparer les notifications avant la crise

L'article 23 organise le signalement des incidents importants à compter de leur prise de connaissance :

• Une alerte précoce, sans retard injustifié et dans les 24 heures.
• Une notification, sans retard injustifié et dans les 72 heures, avec une règle spécifique plus courte pour les prestataires de services de confiance.
• Un rapport final, généralement dans le mois suivant la notification ; des dispositions particulières encadrent les incidents toujours en cours.

Toute alerte technique n'est pas automatiquement un incident important. Définissez les critères d'escalade, les personnes habilitées à décider et le canal national applicable.

Préparez une fiche recensant les horaires, services affectés, impacts, hypothèses et mesures prises. N'attendez pas la conclusion de l'investigation pour mobiliser les décideurs. Si des données personnelles sont touchées, examinez séparément les obligations du RGPD.

Comprendre les sanctions sans en faire le seul moteur

Pour les manquements visés, l'article 34 impose des plafonds nationaux d'amendes administratives d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, selon le montant le plus élevé. Pour les entités importantes, ces valeurs sont de 7 millions d'euros ou 1,4 %.

Il ne s'agit ni d'une amende automatique après un incident ni d'un tarif uniforme. La situation, le manquement et le droit national comptent. La continuité et la maîtrise des risques restent les premiers objectifs.

Une feuille de route directement exploitable

1. Qualifier le périmètre : activités, taille, pays, catégorie et interlocuteurs compétents.
2. Attribuer les responsabilités : sponsor, pilotes, suppléants et circuit d'arbitrage.
3. Cartographier les dépendances : services, actifs, fournisseurs et priorités de reprise.
4. Évaluer les écarts : exigences applicables, mesures existantes et preuves disponibles.
5. Prioriser les corrections : scénarios critiques, responsables et critères de clôture.
6. Tester la réponse : escalade, notification et restauration dans un même exercice.
7. Entretenir le dispositif : changements, revues, preuves et suivi des écarts.

Faire vivre la conformité

Domyno associe une plateforme SaaS de cyber-gouvernance à un expert humain dédié : les agents préparent le travail, l'humain le valide. Le module Contrôles & conformité rassemble bibliothèque de contrôles, preuves et plans d'action pour relier les exigences aux travaux suivis.

Cette organisation soutient le programme ; elle ne remplace ni l'analyse juridique, ni les mesures techniques, ni les décisions de direction. Pour examiner son application à votre contexte, demandez une démonstration.