Pour les organisations, tous secteurs confondus, cadre réglementaire et cybersécurité sont devenus indissociables. La NIS2 directive UE 2022/2555 impose des obligations précises à des dizaines de milliers d’entités françaises. DSI, RSSI et responsables IT, dirigeants des secteurs critiques : Elit-Technologies vous présente les exigences concrètes de ce texte.
Qu'est-ce que la directive NIS2 ?
Cette directive européenne renforce la sécurité des réseaux et des systèmes d’information des entreprises et des organisations de l’UE. Elle remplace la première directive NIS de 2016, jugée trop restreinte
Quelles obligations impose NIS2 aux organisations françaises ?
La directive repose sur quatre piliers :
La logique de la directive NIS2 est globale : déclarer une attaque permet aux autres organisations de s’en prémunir. Un fournisseur d’énergie ou un hôpital paralysé, par exemple, impacte toute une chaîne de services. C’est pourquoi l’article 21 étend l’exigence à la sécurité de la chaîne d’approvisionnement.
Cet aspect a une conséquence indirecte : même non concernées directement, de nombreuses PME doivent se mettre à niveau sous l’impulsion de leurs partenaires assujettis aux obligations.
Votre entreprise est-elle concernée par NIS2 ?
Le seuil de régulation est celui d’une organisation de taille moyenne. Appartenir à un secteur critique rend votre entreprise concernée indépendamment de sa taille. Résultat : environ 15 000 à 18 0000 entités françaises seront désormais régulées, contre 300 à 500 sous l’ancienne directive (source : ANSSI).
Un hôpital de taille moyenne ou un opérateur IT régional constituent des exemples typiques d’organismes concernés par NIS2.
Êtes-vous une entité essentielle ou une entité importante ?
| Question | Si oui | Si non |
|---|---|---|
| 1Votre organisation exerce-t-elle dans un secteur d’activité couvert par NIS2 (énergie, transport, santé, numérique, eau, administrations, services financiers, gestion des déchets, industrie, alimentation, etc.) ? | Oui Passez à la question suivante. | Non Vous n’êtes probablement pas concerné par NIS2 (sauf désignation spécifique par les autorités). |
| 2Votre organisation est-elle une grande ou moyenne entreprise (au moins 50 salariés ou 10 millions d’euros de chiffre d’affaires ou de total de bilan) ? | Oui Vous êtes sans doute assujetti à NIS2. | Non Vérifiez si une disposition particulière vous rend néanmoins concerné (par exemple en raison de votre rôle critique). |
| 3Votre activité relève-t-elle des secteurs critiques les plus élevés (par exemple : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, infrastructures numériques, administrations publiques, espace) ? | Entité essentielle Vous êtes très vraisemblablement une entité essentielle. | Entité importante Vous êtes très probablement une entité importante, si votre secteur figure parmi les autres secteurs couverts par NIS2. |
La différence entre entité essentielle et entité importante ne réside pas dans les exigences de cybersécurité, qui sont largement identiques. Elle concerne surtout l’intensité de la supervision par les autorités :
- entité essentielle : supervision proactive avec possibilité de contrôles réguliers ;
- entité importante : supervision généralement déclenchée après un incident, un signalement ou des indices de non-conformité.
La loi NIS2 est-elle transposée en France ?
La France a manqué l’échéance de transposition d’octobre 2024. La loi Résilience a été adoptée au Sénat en mars 2025, mais reste en attente d’un vote définitif. L’ANSSI recommande cependant explicitement de ne pas attendre ce vote pour se mettre en mouvement. La mise en conformité prend plusieurs mois, et le Référentiel Cyber France (ReCyF), publié en mars 2026, permet déjà de structurer votre démarche.
Quelles sont les sanctions prévues en cas de non-conformité à la directive NIS2 ?
Les pénalités prévues par NIS2 sont :
À titre de comparaison, une cyberattaque coûte en moyenne 59 000 euros à une organisation française et jusqu’à 64 000 euros pour une grande entreprise (source : étude Asterès pour le CriP – juin 2023, données 2022).
Quant aux sanctions du RGPD, elles peuvent atteindre 20 millions d’euros ou 4 % du CA.
Comment Elit-Technologies vous accompagne-t-il vers la conformité NIS2 ?
Elit-Technologies est expert en gouvernance et conformité en cybersécurité depuis près de 20 ans. Labellisés Expert Cyber, dotés d’un SOC certifié ISO 27001, nous accompagnons les entités concernées sur chaque pilier de NIS2. Notre plateforme ECP + ELiA, IA souveraine hébergée en France, offre une cartographie claire du système d’information. Elle facilite le pilotage de la mise en conformité documentée exigée par la directive.
Votre entreprise est-elle concernée par NIS2 ? Évaluez votre situation, demandez un audit de conformité ou échangez directement avec un expert Elit-Technologies.
Questions fréquentes
Qu'est-ce que la directive NIS2 impose à mon équipe IT ?
La directive NIS2 impose à l’équipe IT de renforcer la cybersécurité à travers :
- la gestion des risques cyber ;
- des mesures de protection adaptées ;
- la détection et la réponse aux incidents ;
- la sécurisation des fournisseurs ;
- une documentation des pratiques.
Notez que la responsabilité finale relève toutefois de la direction.
Mon entreprise est-elle concernée par NIS2 ?
Votre entreprise est probablement concernée si :
- Elle exerce une activité dans un secteur couvert par NIS2 (santé, énergie, transport, numérique, eau, services financiers…).
- Elle compte au moins 50 salariés ou réalise au moins 10 millions d’euros de chiffre d’affaires annuel ou de total de bilan.
Par exemple, une entreprise de 50 salariés spécialisée dans les dispositifs médicaux ou un établissement de santé entre généralement dans le champ d’application de NIS2. En cas de doute, vérifiez les critères prévus par la réglementation.
Mes fournisseurs sont-ils concernés par NIS2 ?
Certains de vos fournisseurs peuvent être directement soumis à NIS2. Même lorsqu’ils ne le sont pas, la directive impose de maîtriser les risques liés à la chaîne d’approvisionnement. Vous devez donc :
- évaluer leur niveau de sécurité ;
- intégrer des exigences de cybersécurité dans vos contrats ;
- surveiller les risques qu’ils peuvent faire peser sur vos systèmes d’information.
Combien de temps faut-il pour se mettre en conformité NIS2 ?
Le délai dépend de votre niveau de maturité en cybersécurité. Une organisation déjà structurée peut nécessiter 3 à 6 mois, tandis qu’une entreprise qui doit formaliser ses processus et renforcer ses mesures de sécurité devra souvent prévoir 6 à 18 mois. L’essentiel est d’adopter une démarche progressive, documentée et soutenue par un expert comme Elit-Technologies.