Entrée en application progressive depuis 2024, la directive européenne NIS2 (Network and Information Security 2) élargit considérablement le nombre d'entreprises et d'administrations soumises à des obligations de cybersécurité renforcées. Ce texte, transposé en droit français, concerne désormais des milliers d'organisations qui n'étaient jusque-là pas couvertes par la réglementation précédente. Explications.
Un champ d'application très élargi
La première directive NIS, adoptée en 2016, ne couvrait qu'un nombre restreint d'opérateurs jugés critiques (énergie, transport, santé, finance). NIS2 étend ce périmètre à de nombreux secteurs supplémentaires : gestion des déchets, fabrication de produits critiques, services postaux, administration publique, espace, ou encore fournisseurs de services numériques. Les entreprises sont classées en deux catégories :
- Entités essentielles : secteurs les plus sensibles (énergie, santé, transport, banque, infrastructures numériques), soumises aux obligations les plus strictes et à des contrôles pouvant être menés sans préavis.
- Entités importantes : périmètre plus large incluant notamment certains prestataires numériques et industriels, avec des obligations proches mais un régime de contrôle a posteriori.
Le critère de taille (nombre de salariés et chiffre d'affaires) entre également en jeu pour déterminer si une entreprise est concernée. Les micro-entreprises et petites entreprises, sauf exceptions listées par le texte, restent en principe hors du champ d'application direct de la directive, même si elles peuvent être indirectement concernées en tant que sous-traitantes d'une entité essentielle ou importante, via les clauses de sécurité imposées dans les contrats.
Les obligations concrètes imposées aux entreprises
NIS2 impose un socle commun de mesures de gestion des risques cyber, parmi lesquelles :
- La mise en place d'une analyse des risques et de politiques de sécurité des systèmes d'information formalisées.
- Un plan de gestion des incidents et de continuité d'activité, incluant la gestion de crise.
- La sécurisation de la chaîne d'approvisionnement, c'est-à-dire l'évaluation du niveau de sécurité des prestataires et fournisseurs.
- Le chiffrement des données sensibles et l'authentification multifacteur pour les accès critiques.
- L'obligation de notifier tout incident de sécurité significatif à l'autorité nationale compétente, en France l'Agence nationale de la sécurité des systèmes d'information (ANSSI), dans des délais précis (généralement 24 heures pour une alerte précoce, puis un rapport complet sous un mois).
Ce socle d'obligations s'inspire largement des meilleures pratiques déjà en vigueur dans les secteurs historiquement les plus régulés, comme la banque ou l'énergie, que la directive vient désormais généraliser à un périmètre beaucoup plus large d'organisations, y compris de taille intermédiaire.
Des sanctions qui engagent la responsabilité des dirigeants
Point notable de la directive, elle prévoit une responsabilité accrue des organes de direction, qui doivent approuver les mesures de gestion des risques et suivre une formation dédiée. Les sanctions financières peuvent atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires mondial pour les manquements les plus graves, un niveau comparable à celui du RGPD en matière de protection des données. Cette mise en jeu directe de la responsabilité des dirigeants marque une inflexion par rapport au régime antérieur, où les obligations de cybersécurité étaient souvent perçues comme relevant exclusivement de la direction informatique.
Comment les entreprises françaises s'organisent
Face à ces obligations, de nombreuses organisations ont engagé un audit de conformité pour déterminer leur statut (entité essentielle, importante, ou non concernée) et cartographier les écarts avec les exigences du texte. Les principales étapes généralement suivies sont :
- Un diagnostic de maturité cyber initial, souvent réalisé avec l'appui d'un prestataire spécialisé ou de l'ANSSI pour les organismes publics.
- La mise à jour des politiques de sécurité et des contrats fournisseurs pour intégrer des clauses de sécurité.
- Le déploiement ou le renforcement d'outils de détection des incidents (SOC, supervision continue).
- La formation des équipes dirigeantes et des collaborateurs aux bonnes pratiques de cybersécurité.
Ces démarches de mise en conformité représentent souvent un investissement significatif, tant financier qu'organisationnel, en particulier pour les entités de taille intermédiaire qui découvrent ces obligations pour la première fois. Plusieurs fédérations professionnelles ont mis en place des guides sectoriels pour accompagner leurs adhérents dans cette transition, une démarche encouragée par l'ANSSI qui privilégie une approche progressive et pédagogique plutôt qu'un régime purement répressif dans les premières années d'application du texte.
Ce qu'il faut retenir
- NIS2 élargit fortement le nombre d'entreprises soumises à des obligations de cybersécurité en Europe.
- Les organisations sont classées en entités essentielles ou importantes, avec des obligations proches mais des régimes de contrôle différents.
- La notification rapide des incidents à l'ANSSI devient une obligation légale pour les organisations concernées.
- La responsabilité des dirigeants est directement engagée en cas de non-conformité.
- La mise en conformité représente un chantier organisationnel important, en particulier pour les entités de taille intermédiaire.
Sources : Agence nationale de la sécurité des systèmes d'information (ANSSI), Commission européenne.
Le cas des collectivités territoriales
Les collectivités territoriales, en particulier les plus grandes d'entre elles, se trouvent également concernées par certaines dispositions de NIS2, dans un contexte où les cyberattaques visant les administrations locales se sont multipliées ces dernières années, touchant parfois des services essentiels à la population (état civil, gestion de l'eau, transports publics). Plusieurs associations d'élus locaux ont demandé un accompagnement renforcé de l'État pour aider les collectivités les moins dotées en ressources informatiques à se mettre en conformité.
Le calendrier de mise en conformité
La transposition de NIS2 en droit français s'accompagne d'un calendrier de mise en conformité échelonné, permettant aux entités nouvellement concernées de s'organiser progressivement. L'ANSSI a publié plusieurs guides méthodologiques pour accompagner cette montée en compétence, avec une attention particulière portée aux petites structures identifiées comme entités importantes qui découvrent, pour certaines, l'existence même de ces obligations.
NIS2 et le secteur de la santé, un cas particulièrement sensible
Le secteur de la santé, déjà identifié comme critique par la première directive NIS de 2016, voit ses obligations encore renforcées sous NIS2, dans un contexte où les établissements hospitaliers restent des cibles privilégiées des attaques par rançongiciel, en raison de la sensibilité des données traitées et de la pression opérationnelle qui pousse souvent les victimes à négocier rapidement avec les attaquants pour restaurer leurs systèmes.
La coopération européenne en matière de cybersécurité
NIS2 s'accompagne également d'un renforcement de la coopération entre les autorités nationales de cybersécurité des États membres, via le réseau des équipes de réponse aux incidents de sécurité informatique (CSIRT) et un groupe de coopération européen chargé d'harmoniser les pratiques et de faciliter le partage d'informations sur les menaces émergentes à l'échelle du continent.
L'accompagnement proposé par l'ANSSI
Pour faciliter cette transition, l'ANSSI a mis en place plusieurs dispositifs d'accompagnement dédiés aux structures les moins matures en matière de cybersécurité, notamment des diagnostics gratuits ou subventionnés et des référentiels méthodologiques simplifiés adaptés à la taille des organisations concernées, avec l'objectif affiché de ne pas transformer cette obligation réglementaire en un frein disproportionné pour les entités de taille intermédiaire.
Les retours d'expérience des premières entités auditées
Les premières organisations ayant fait l'objet d'un audit de conformité NIS2 rapportent des délais de mise en conformité souvent plus longs qu'anticipé, en particulier lorsque la cartographie initiale des systèmes d'information et des prestataires tiers n'était pas préalablement formalisée. Ce constat renforce, selon plusieurs experts du secteur, l'intérêt d'engager cette démarche le plus en amont possible plutôt que d'attendre l'approche des échéances réglementaires.
Un cadre appelé à évoluer
Comme pour la plupart des textes européens de cette nature, plusieurs ajustements et clarifications sont attendus dans les prochaines années, à mesure que les autorités nationales et la Commission européenne tireront les enseignements des premières années d'application de la directive sur le terrain.
Une vigilance qui dépasse la seule échéance réglementaire
Au-delà de la seule conformité à la lettre du texte, les experts en cybersécurité rappellent que la véritable protection contre les cyberattaques repose avant tout sur une culture de la sécurité diffusée à l'ensemble des collaborateurs, bien plus que sur la seule existence de procédures documentées répondant formellement aux exigences réglementaires.
À terme, cette réglementation devrait progressively harmoniser le niveau de maturité cyber des organisations européennes, réduisant les écarts actuellement constatés entre grands groupes internationaux, souvent déjà bien équipés, et structures de taille intermédiaire encore en phase de rattrapage sur ces enjeux devenus incontournables pour la résilience économique du continent.