Qui est concerné ?
NIS2 élargit les obligations de cybersécurité à 18 secteurs d’activité. Pour les entreprises visées, cela signifie un socle de mesures validé par la direction et un premier signalement d’incident à l’ANSSI sous 24 heures, avec des sanctions financières. La première chose à établir est donc simple : en faites-vous partie, et à quel titre ?
Dans le cas général, deux conditions se combinent : le secteur d’activité et la taille de l’entreprise.
- Le secteur : Les annexes de la directive recensent 18 secteurs. Onze sont dits « hautement critiques » (énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services informatiques entre entreprises, administration publique, spatial). Les sept autres sont dits « critiques » (postal, déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs numériques, recherche).
- La taille : Une entreprise d’au moins 50 salariés, ou qui dépasse 10 M€ de chiffre d’affaires et de total de bilan, relève en principe des entités importantes. À partir de 250 salariés, ou de 50 M€ de chiffre d’affaires et 43 M€ de bilan, dans un secteur hautement critique, elle relève des entités essentielles.
Et si vous êtes hors du champ : Les entreprises soumises à la directive doivent sécuriser leur chaîne d’approvisionnement. Elles répercutent donc leurs exigences sur leurs fournisseurs, par le contrat (questionnaires sécurité, clauses cyber, audits).
Mon entreprise est-elle concernée par NIS2 ? Le test en 2 minutes
NIS2 : êtes-vous concerné ?
5 questions, 2 minutes, un verdict clair — et les prochaines étapes.
Quelles sont les obligations de la directive NIS2 ?
Le texte ne fournit pas de liste d’outils. Il fixe des obligations de résultat, à décliner selon la taille et le niveau de risque de chaque entité.
- Un socle de mesures validées par la direction (analyse de risques, MFA, sauvegardes, supervision, continuité d’activité, sécurité des fournisseurs…)
- L’enregistrement auprès de l’ANSSI via MonEspaceNIS2
- La notification des incidents : alerte sous 24 h, déclaration sous 72 h, rapport final sous un mois.
Les sanctions : jusqu’à 10 M€ ou 2 % du CA mondial (essentielles), 7 M€ ou 1,4 % (importantes); et la responsabilité des dirigeants peut être engagée.
Par où commencer
NIS2 ne demande pas de tout reconstruire. La directive demande de savoir ce que vous exploitez et d’être capable de le remettre en route quand il tombe. Vu sous cet angle, le socle attendu recoupe largement ce qu’une exploitation sérieuse met déjà en place, et ce sont des chantiers de quelques mois plutôt que de quelques années.
C’est le quotidien de nos ingénieurs infrastructure : maintenir en condition des systèmes qui doivent rester disponibles, avec la supervision et l’astreinte qui vont avec. Si vous voulez un état des lieux avant d’engager un programme de conformité, parlons-en.
Demander un état des lieux
FAQ
La directive est en vigueur depuis janvier 2023 ; la transposition française se déploie par paliers, pilotée par l’ANSSI. L’enregistrement sur MonEspaceNIS2 est déjà ouvert — et une mise en conformité sérieuse prend 12 à 18 mois.
Mêmes obligations de fond. La supervision est proactive pour les essentielles, a posteriori pour les importantes ; les plafonds de sanction diffèrent (10 M€/2 % contre 7 M€/1,4 %).
Notifier l’ANSSI en trois temps : alerte sous 24 heures, notification circonstanciée sous 72 heures, rapport final sous un mois. Le délai court à partir du moment où vous avez connaissance de l’incident, pas du moment où vous en comprenez la cause, et c’est ce qui le rend difficile à tenir. Ce qui se prépare à froid : une détection qui remonte l’anomalie sans attendre, et une personne désignée pour décider de la notification. Le dossier lui-même, contacts et description du système d’information, gagne à être écrit avant d’en avoir besoin.
Tout dépend de l’état de départ : c’est justement ce qu’un diagnostic permet d’établir. À mettre au regard du coût d’une cyberattaque pour une PME française qui est de plusieurs centaines de milliers d’euros.
Non. L’inventaire des actifs, la gestion des vulnérabilités, les sauvegardes testées et la supervision demandent plusieurs mois de travail. Les entreprises qui attendent la publication des décrets pour commencer se retrouveront à traiter en urgence ce qui pouvait être étalé.