Directive NIS 2 en France : votre entreprise est-elle concernée et que faire ?
Directive NIS 2 : entités essentielles et importantes, secteurs, critères de taille, obligations de gestion des risques et de notification, état de la transposition française à vérifier.
La directive européenne NIS 2 (directive (UE) 2022/2555) impose des obligations de cybersécurité à des entités dites essentielles ou importantes, dans de nombreux secteurs, en général à partir d'une taille de moyenne entreprise. Savoir si vous êtes concerné dépend de deux questions : votre activité figure-t-elle dans les secteurs listés, et dépassez-vous les seuils de taille ? La directive doit être transposée en droit national : en France, cette transposition passe par un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Son état d'avancement et les textes d'application en vigueur à ce jour doivent être vérifiés sur les sites officiels (ANSSI, Légifrance, SGDSN), car ce guide ne peut pas garantir la date exacte d'entrée en vigueur de chaque obligation.
Ce que change NIS 2 par rapport à NIS 1
La première directive NIS de 2016 visait un nombre limité d'opérateurs de services essentiels. NIS 2 élargit fortement le champ :
- Plus de secteurs : énergie, transports, santé, eau, infrastructures numériques, administration publique, mais aussi gestion des services informatiques, fabrication, services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fournisseurs numériques et d'autres.
- Plus d'entités : de nombreuses entreprises de taille moyenne ou grande qui n'étaient pas concernées le deviennent.
- Des obligations plus précises : mesures de gestion des risques, notification des incidents, gouvernance impliquant la direction.
- Des sanctions renforcées : la directive prévoit des amendes administratives dont les plafonds sont élevés, à moduler selon le droit national.
Entité essentielle ou importante ?
La directive distingue deux catégories, soumises à des régimes de supervision différents. Voici une lecture simplifiée, à confirmer avec les textes.
| Critère | Entités essentielles | Entités importantes |
|---|---|---|
| Secteurs | Secteurs de forte criticité (par exemple énergie, transports, santé, eau, infrastructures numériques, administration publique) | Autres secteurs critiques (par exemple services postaux, gestion des déchets, fabrication, produits chimiques, alimentation, fournisseurs numériques) |
| Taille | En général grandes entreprises | En général entreprises moyennes et grandes |
| Supervision | Contrôle a priori et a posteriori | Contrôle principalement a posteriori |
La taille se détermine selon les seuils européens des PME (effectifs, chiffre d'affaires, total de bilan). Certaines entités sont concernées quelle que soit leur taille, par exemple certains fournisseurs de services numériques critiques. Les TPE et les petites entreprises sont en principe hors champ, mais elles peuvent être touchées indirectement comme sous-traitants : un donneur d'ordre soumis à NIS 2 doit gérer les risques de sa chaîne d'approvisionnement et pourra exiger de ses fournisseurs des garanties de sécurité.
Les obligations principales
Sans détailler chaque article, la directive attend notamment des entités concernées :
- Gouvernance : les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et doivent se former. La responsabilité des dirigeants peut être engagée.
- Mesures de gestion des risques : politique d'analyse des risques et de sécurité des systèmes d'information, gestion des incidents, continuité d'activité (sauvegardes, reprise après sinistre, gestion de crise), sécurité de la chaîne d'approvisionnement, sécurité dans l'acquisition et le développement, cryptographie, contrôle d'accès, authentification multifacteur, formation à la cyberhygiène.
- Notification des incidents : alerte précoce rapide, puis notification de l'incident et rapport final selon des délais fixés par la directive (alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois pour les incidents importants). Les modalités exactes sont précisées par le droit national.
- Enregistrement auprès de l'autorité compétente, en France l'ANSSI.
Beaucoup de ces mesures rejoignent l'hygiène de base décrite dans le plan d'action sur 90 jours, l'authentification multifacteur et les sauvegardes.
Démarche pour savoir si vous êtes concerné
- Identifiez votre secteur d'activité précis, selon la nomenclature des annexes de la directive. Une activité principale ou une filiale peut vous rattacher à un secteur que vous n'imaginiez pas, comme l'infogérance ou la gestion de services informatiques pour d'autres entreprises.
- Calculez votre taille : effectifs, chiffre d'affaires et total de bilan, en tenant compte des entreprises liées ou partenaires selon les règles européennes.
- Consultez les sources officielles : le site de l'ANSSI publie des informations pour les entités et, selon l'avancement, des outils d'auto-évaluation ou un service d'enregistrement.
- Vérifiez l'état de la transposition sur Légifrance et sur le site du SGDSN ou de l'ANSSI.
- Demandez à vos clients s'ils vous considèrent comme un maillon de leur chaîne d'approvisionnement soumise à NIS 2 : certains imposent déjà des clauses de sécurité.
Exemple illustratif
Une société de 120 salariés exerce comme prestataire d'infogérance pour d'autres entreprises. Elle n'a pas d'activité énergétique ni de santé, mais gère à distance les systèmes de ses clients. Cette activité de gestion de services informatiques figure parmi les secteurs de la directive, avec une taille qui dépasse le seuil moyen : elle doit examiner sérieusement son statut. À l'inverse, un cabinet de conseil de 15 personnes sans activité listée est en principe hors champ, mais peut recevoir des demandes de sécurité de clients soumis à la directive.
Quel coût de mise en conformité ?
Il dépend de votre maturité de départ. Une entreprise qui applique déjà l'hygiène de base, a un inventaire, des sauvegardes testées et un processus d'incident aura peu d'écart à combler. À l'inverse, une entreprise partie de zéro devra prévoir un diagnostic, un plan de remédiation, des outils de journalisation et de détection, de la formation et de la documentation. On retrouve les familles de dépenses décrites dans le guide sur le coût de la cybersécurité d'une PME. Un audit réalisé par un prestataire qualifié peut aider à cadrer l'écart : voir le prix d'un audit.
Articulation avec le RGPD
NIS 2 et le RGPD sont deux régimes distincts. Un même incident peut déclencher une notification à l'ANSSI au titre de NIS 2 et une notification à la CNIL au titre du RGPD, si des données personnelles sont concernées, avec des délais et des autorités différents. Préparez une procédure de crise qui traite les deux à la fois : voir le guide sur que faire après une cyberattaque.
Quand consulter un professionnel
La qualification d'une entité (secteur, taille, entités liées) est une question juridique complexe. Faites-vous accompagner par un avocat spécialisé ou un consultant compétent avant de conclure que vous êtes, ou n'êtes pas, concerné, surtout si votre groupe compte plusieurs entités.
Questions fréquentes
Une PME de 30 personnes est-elle concernée ?
En principe, les petites entreprises sont hors champ, avec des exceptions pour certaines activités. Elle peut néanmoins être concernée indirectement via ses clients soumis à la directive.
La direction est-elle personnellement responsable ?
La directive prévoit que les organes de direction supervisent les mesures et peuvent voir leur responsabilité engagée selon le droit national. Vérifiez le texte français applicable.
Où s'enregistrer et quand ?
Les modalités d'enregistrement dépendent de la transposition française et des services de l'ANSSI. Consultez le site officiel pour les informations à jour.
Sources et références
- ANSSI — informations sur NIS 2 et outils pour les entités concernées.
- SGDSN — coordination de la politique de sécurité nationale et projet de loi de transposition.
- Légifrance — textes français en vigueur.
- EUR-Lex — texte de la directive (UE) 2022/2555.
