Conformité NIS2 : guide pratique

Par Paul Gillet · Mis à jour le 2026-10-17

NIS2 est la principale loi européenne en matière de cybersécurité : directive (UE) 2022/2555. En tant que directive, elle s'applique par l'intermédiaire du droit national de chaque État membre, dont la transposition était attendue au plus tard le 17 octobre 2024. Les obligations principales sont identiques partout, mais l'enregistrement, la supervision, les sanctions et certains détails varient selon les pays ; vérifiez donc toujours le droit national du pays où vous opérez.

Êtes-vous concerné ?

NIS2 couvre les entités de 18 secteurs. L'annexe I répertorie les secteurs à criticité élevée : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion de services TIC interentreprises (B2B), administration publique et espace. L'annexe II répertorie les autres secteurs critiques : services postaux et de messagerie, gestion des déchets, produits chimiques, alimentation, industrie manufacturière (y compris dispositifs médicaux, électronique, machines et véhicules), fournisseurs numériques et recherche.

En règle générale, une entité entre dans le périmètre si elle exerce dans l'UE une activité relevant de l'un de ces secteurs et si elle est au moins de taille moyenne (50 salariés ou plus, ou chiffre d'affaires annuel et total du bilan supérieurs à 10 millions d'euros). Certaines entités relèvent du champ quelle que soit leur taille, comme les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les prestataires de services de confiance et les fournisseurs de réseaux de communications électroniques publics. Les entités sont classées comme essentielles ou importantes ; elles doivent respecter les mêmes mesures, mais la supervision et les amendes maximales diffèrent.

Ce qu'exige NIS2

• Gouvernance (article 20) : les organes de direction doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre et suivre une formation en cybersécurité. Ils peuvent voir leur responsabilité engagée en cas de manquements.
• Mesures de gestion des risques (article 21) : une approche « tous risques » couvrant (a) l'analyse des risques et les politiques de sécurité ; (b) la gestion des incidents ; (c) la continuité d'activité, les sauvegardes, la reprise après sinistre et la gestion de crise ; (d) la sécurité de la chaîne d'approvisionnement ; (e) la sécurité lors de l'acquisition, du développement et de la maintenance, y compris la gestion et la divulgation des vulnérabilités ; (f) l'évaluation de l'efficacité de ces mesures ; (g) l'hygiène informatique de base et la formation ; (h) la cryptographie et le chiffrement ; (i) la sécurité des ressources humaines, la gestion des accès et la gestion des actifs ; et (j) l'authentification multifacteur ou continue et les communications sécurisées.
• Notification des incidents (article 23) : pour un incident significatif, une alerte précoce au CSIRT ou à l'autorité compétente dans les 24 heures suivant la prise de connaissance, une notification d'incident dans les 72 heures, et un rapport final dans un délai d'un mois.
• Enregistrement : la plupart des entités doivent s'enregistrer auprès de leur autorité nationale.

Le règlement d'exécution

Pour certains fournisseurs numériques, la Commission a précisé les mesures de l'article 21 dans le règlement d'exécution (UE) 2024/2690 : fournisseurs de services DNS, registres de noms de domaine de premier niveau, services d'informatique en nuage et de centres de données, réseaux de diffusion de contenu, fournisseurs de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux et prestataires de services de confiance. Son annexe est nettement plus précise que l'article 21 lui-même. Les exigences NIS2 de ControlMapping reprennent les points de cette annexe, avec les intitulés de l'ENISA et la correspondance officielle de l'ENISA avec ISO 27001 et NIST CSF 2.0. Les autres entités suivent leur droit national, mais l'annexe et les recommandations de mise en œuvre de l'ENISA constituent une bonne référence pour tous.

Les étapes

1. Confirmer le périmètre et la classification au regard du droit national de chaque pays où vous opérez, et vous enregistrer lorsque c'est requis.
2. Informer l'organe de direction : il doit approuver les mesures et suivre la formation, commencez donc par là.
3. Réaliser une analyse d'écarts au regard de l'article 21, ou de l'annexe du règlement d'exécution si celui-ci vous est applicable. Si vous êtes certifié ISO 27001, partez de la comparaison ISO 27001 → NIS2.
4. Mettre en place les mesures manquantes, la sécurité de la chaîne d'approvisionnement et la gestion des vulnérabilités représentant généralement le plus gros du travail.
5. Mettre en place la procédure de notification : définir qui juge si un incident est significatif, et s'entraîner à respecter les délais de 24 heures et de 72 heures, y compris en dehors des heures ouvrées.
6. Conserver des preuves d'efficacité (article 21, paragraphe 2, point f) : audits, tests et indicateurs démontrant le bon fonctionnement des mesures.

ISO 27001 suffit-il à être conforme à NIS2 ?

Pas à lui seul, mais il vous fait parcourir une grande partie du chemin. La correspondance de l'ENISA relie chaque point du règlement d'exécution à des clauses ISO 27001 ou à des mesures de l'annexe A ; une organisation certifiée ISO dispose donc de la plupart des mesures techniques et organisationnelles. Ce qu'ISO ne couvre pas : les délais de notification, la formation et la responsabilité des dirigeants, l'enregistrement, et les exigences techniques spécifiques que certains points de l'annexe détaillent davantage que l'annexe A. C'est votre autorité nationale, et non votre organisme de certification, qui détermine si vous êtes conforme.

Supervision et sanctions

Les autorités nationales supervisent les entités essentielles de manière proactive (audits, inspections, analyses de sécurité) et les entités importantes a posteriori, généralement à la suite d'un incident ou d'une plainte. Les amendes maximales s'élèvent à au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et à 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

Comment ce site vous aide

Chaque exigence NIS2 présentée ici renvoie à ISO 27001 et à NIST CSF 2.0 via la correspondance de l'ENISA, puis vers les autres référentiels par leur intermédiaire. Le tableau ci-dessous indique la part de NIS2 couverte par chacun des référentiels que vous possédez déjà.

Vous avez déjà un autre référentiel ?

Nombre d'exigences NIS2 auxquelles chaque référentiel que vous suivez peut-être déjà correspond. Ouvrez un rapport d'écarts pour la liste exigence par exigence.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Les décomptes proviennent des mêmes données que le analyse des écarts ; une correspondance signifie que les exigences sont liées, et non qu'une exigence en satisfait une autre.

Questions

Depuis quand NIS2 est-il applicable ?

Les États membres devaient appliquer leurs lois nationales de transposition de NIS2 à partir du 18 octobre 2024. Plusieurs ont pris du retard ; vérifiez donc où en est la situation dans le pays où vous opérez.

Quels sont les délais de notification des incidents NIS2 ?

Une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident significatif, une notification d'incident dans les 72 heures, et un rapport final dans un délai d'un mois.

NIS2 s'applique-t-il aux entreprises situées hors de l'UE ?

Oui, c'est possible. Certains fournisseurs numériques qui proposent des services dans l'UE sans y avoir d'établissement doivent désigner un représentant dans un État membre.

Ceci ne constitue pas un conseil juridique ou en conformité. Consultez le texte officiel ainsi que votre auditeur, évaluateur ou régulateur avant de vous y fier.