NIS2 : votre entreprise est-elle concernée, et qu'est-ce que ça implique ?
NIS2 concerne les entreprises de dix-huit secteurs qui comptent au moins 50 salariés, ou dépassent 10 millions d'euros de chiffre d'affaires et de bilan. Elle impose des mesures de gestion du risque, la notification des incidents en 24 puis 72 heures, et engage la responsabilité des dirigeants.
L’essentiel
- Deux critères suffisent à savoir si l'on est concerné : le secteur d'activité et la taille de l'entreprise.
- Trois délais de notification s'enchaînent : alerte à 24 heures, notification à 72 heures, rapport final à un mois.
- Une entreprise sous les seuils peut être touchée indirectement, par les exigences qu'un client concerné lui répercute.
- Aucune certification n'est exigée : ce sont des mesures, et la capacité à prouver qu'on les applique.
Sommaire de l’article
La directive européenne NIS2 élargit les obligations de cybersécurité à des milliers d'entreprises de taille moyenne. Beaucoup de dirigeants ne savent pas encore s'ils sont concernés. Cet article répond à cette question d'abord, puis explique ce que la directive impose concrètement.
Qu'est-ce que NIS2 change par rapport à NIS1 ?
Le périmètre, surtout. La directive (UE) 2022/2555 étend les obligations de quelques centaines d'opérateurs à des milliers d'entreprises, et rend les dirigeants responsables des mesures adoptées.
NIS1
- Quelques centaines d'opérateurs désignés
- Peu de secteurs couverts
- Fournisseurs rarement concernés
NIS2
- Des milliers d'entités, dès la taille moyenne
- Dix-huit secteurs, dont l'industrie et le numérique
- Sécurité de la chaîne d'approvisionnement exigée
- Dirigeants impliqués et responsables
La date limite de transposition dans les droits nationaux était fixée au 17 octobre 2024. En France, l'autorité compétente est l'ANSSI, et c'est le texte de transposition qui arrête le périmètre exact des entités visées. L'ANSSI propose un service en ligne pour vérifier si votre entité est concernée.
Comment savoir dans quelle catégorie on tombe ?
En croisant votre secteur et votre taille. Les grandes entreprises des secteurs hautement critiques sont des entités essentielles ; les autres entreprises concernées sont des entités importantes.
- Mon secteur figure-t-il dans la directive ? Énergie, transports, santé, numérique, services informatiques gérés, industrie manufacturière, agroalimentaire, déchets, chimie, poste…
- Ai-je atteint la taille moyenne ? Au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan.
- Un client concerné m'impose-t-il des exigences ? Même sous les seuils, un contrat peut répercuter les obligations.
| Critère | Entité essentielle | Entité importante |
|---|---|---|
| Taille | grande entreprise : 250 salariés ou plus, ou plus de 50 M€ de chiffre d'affaires | entreprise moyenne : 50 salariés ou plus, ou plus de 10 M€ de chiffre d'affaires et de bilan |
| Secteurs | hautement critiques : énergie, transports, banque, santé, eau, infrastructure numérique, services informatiques gérés, administration | les précédents en taille moyenne, plus : poste, déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs numériques, recherche |
| Contrôle | à tout moment, sans soupçon préalable | en cas d'indice de manquement |
| Sanction maximale | 10 M€ ou 2 % du chiffre d'affaires mondial | 7 M€ ou 1,4 % du chiffre d'affaires mondial |
Qu'est-ce que la directive impose concrètement ?
Des mesures de gestion du risque proportionnées, la capacité à notifier un incident dans des délais courts, et l'implication formelle de la direction.
- Analyse des risques et politique de sécurité.
- Gestion des incidents.
- Continuité d'activité, sauvegardes et gestion de crise.
- Sécurité de la chaîne d'approvisionnement.
- Sécurité de l'acquisition, du développement et de la maintenance.
- Évaluation de l'efficacité des mesures.
- Hygiène informatique et formation.
- Cryptographie et chiffrement.
- Sécurité des ressources humaines, contrôle d'accès, gestion des actifs.
- Authentification multifacteur et communications sécurisées.
- 24 h
- Alerte précoce à l'autorité, dès la connaissance de l'incident.
- 72 h
- Notification avec une première évaluation de la gravité et de l'impact.
- 1 mois
- Rapport final : description, cause probable, mesures prises.
Source : article 23 de la directive (UE) 2022/2555.
Ce qui bloque en pratique n'est jamais le délai administratif : c'est de ne pas avoir les journaux qui permettent de dire ce qui s'est passé. Les organes de direction, eux, approuvent les mesures, supervisent leur mise en œuvre et doivent se former. La responsabilité ne se délègue pas au prestataire, même quand l'exécution l'est.
Et les prestataires informatiques dans tout ça ?
Ils sont concernés à double titre. Directement, d'abord : les services gérés et les services de sécurité gérés figurent parmi les secteurs hautement critiques. Un prestataire qui atteint les seuils est donc lui-même une entité au sens de la directive.
Indirectement, ensuite : la sécurité de la chaîne d'approvisionnement fait partie des mesures exigées. Une entreprise concernée doit évaluer ses fournisseurs informatiques, ce qui fait remonter l'exigence chez des prestataires qui ne seraient pas visés eux-mêmes.
Par où commencer sans se perdre ?
Par l'inventaire. On ne protège pas ce qu'on ne sait pas posséder, et aucune mesure n'est applicable sans savoir ce qui tourne, où, et pour qui.
- Inventaire Ce qui tourne, où, sous quelle responsabilité
- Écarts Mesure par mesure : en place, sans preuve, absente
- Journalisation Et une procédure d'incident déjà lue
- Preuve Tests, revues d'accès, réexamen régulier
Beaucoup d'entreprises découvrent qu'une part de leurs obligations est déjà couverte, et qu'il manque surtout la preuve. Passer d'une pratique correcte à une pratique démontrable est souvent le vrai chantier. Notre checklist d'audit en donne le point de départ, et la détection continue relève d'un SOC managé.
Questions fréquentes
Une entreprise de 30 salariés est-elle concernée ?
En principe non, sauf exceptions prévues par la directive pour certaines activités, quelle que soit la taille. Elle peut l'être indirectement, comme fournisseur d'une entité concernée, par les exigences répercutées dans un contrat.
Faut-il une certification pour être conforme ?
Non. NIS2 impose des mesures et une capacité à notifier, pas un label. Une certification ISO 27001 aide à structurer la démarche et à apporter la preuve, sans être exigée.
Que risque un dirigeant ?
Au-delà des amendes de l'entité, la directive prévoit que les dirigeants puissent être tenus responsables des manquements, et suspendus temporairement de leurs fonctions dans les entités essentielles en cas de manquement grave.
Quel lien avec le RGPD ?
Les deux se cumulent : un incident peut devoir être notifié à l'ANSSI au titre de NIS2 et à la CNIL au titre du RGPD si des données personnelles sont touchées. Voir RGPD et prestataire informatique.
Sources et ressources officielles
- Directive (UE) 2022/2555, dite NIS2EUR-Lex, Journal officiel de l'Union européenne
- La directive NIS 2ANSSI
- MesServicesCyber : suis-je concerné par NIS 2 ?ANSSI
- Guide d'hygiène informatiqueANSSI
