Trois questions, dans cet ordre
La première porte sur votre secteur. La directive liste les secteurs hautement critiques à son annexe I, de l'énergie aux infrastructures numériques en passant par la santé et l'eau. Elle en liste d'autres à son annexe II, dont la chimie, l'agroalimentaire, la fabrication de dispositifs médicaux et la gestion des déchets. Hors de ces annexes, la directive ne vous vise pas directement.
La deuxième porte sur votre taille. Le seuil est celui de l'entreprise moyenne au sens européen, soit cinquante salariés, ou un chiffre d'affaires et un bilan supérieurs à dix millions d'euros. En dessous, vous sortez du champ par principe.
La troisième porte sur les exceptions, et c'est celle qu'on oublie. Certaines entités relèvent de la directive quelle que soit leur taille. C'est le cas des fournisseurs de services DNS, des registres de noms de domaine, des prestataires de services de confiance et de certaines administrations. C'est aussi le cas d'une organisation qui est le seul prestataire d'un service essentiel dans son pays, ou dont la défaillance aurait un effet important sur la sécurité publique.
Essentielle ou importante
Les obligations de sécurité sont les mêmes pour les deux catégories. Ce qui change, c'est la surveillance et la sanction.
Une entité essentielle fait l'objet d'un contrôle qui peut intervenir à tout moment, sans incident déclencheur. Une entité importante n'est contrôlée qu'a posteriori, lorsqu'un élément donne à penser qu'elle ne respecte pas ses obligations. Les plafonds d'amende diffèrent également, dix millions d'euros ou deux pour cent du chiffre d'affaires mondial pour les premières, sept millions ou un virgule quatre pour cent pour les secondes.
Ce que la directive demande
L'article 21 énumère dix familles de mesures, à proportionner au risque. Analyse des risques et politique de sécurité, traitement des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité du développement et de la maintenance, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification à plusieurs facteurs.
Rien d'exotique pour qui connaît l'ISO 27001. La correspondance entre les deux est bonne, et une certification existante constitue une base solide. Elle ne suffit pas pour autant, parce que la directive ajoute des obligations que la norme ne porte pas.
La notification, le point le plus concret
- Une alerte précoce dans les vingt-quatre heures suivant la connaissance d'un incident important.
- Une notification complète dans les soixante-douze heures.
- Un rapport final dans le mois.
Ces délais supposent une organisation prête, avec des astreintes, des critères de qualification de l'incident et des modèles préparés. C'est le point sur lequel nous trouvons le plus d'écarts en audit, bien avant les mesures techniques.
La responsabilité des dirigeants est l'autre nouveauté. L'organe de direction approuve les mesures, surveille leur mise en œuvre et peut être tenu responsable des manquements. Il doit aussi suivre une formation. Ce n'est plus un sujet qui se délègue entièrement.
Et le texte applicable, alors
NIS 2 est une directive. Ce que vous appliquez est la loi de votre pays, pas le texte européen. La Belgique a transposé en octobre 2024 et le Portugal en 2025, pendant que la France attend encore sa loi. Les seuils, les délais et les autorités compétentes varient donc d'un pays à l'autre.
Nous faisons le point pays par pays, sur les transpositions française, portugaise et belge. Contactez-nous.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité, dite NIS 2, articles 3, 21, 23 et 32 à 34 et annexes I et II.
- Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises.
- Loi belge du 26 avril 2024, en vigueur le 18 octobre 2024.
- Décret-loi portugais n° 125/2025, complété par un règlement du Centre national de cybersécurité en juin 2026.