Directive NIS 2

Pour un salarié, NIS 2 se traduira surtout par des règles internes plus nettes, en France dès que la loi de transposition sera en vigueur. L'article 21 demande que chaque entité concernée prenne une liste minimale de mesures, parmi lesquelles les pratiques de base de cyberhygiène, la formation à la cybersécurité, des politiques de contrôle d'accès et, selon les besoins, l'authentification à plusieurs facteurs¹. L'article 20 demande aussi aux États d'encourager les entités à former régulièrement leur personnel, pour que chacun sache repérer les risques et juger les pratiques de sécurité¹.

Le point qui dépend le plus de vous, c'est la remontée des incidents. La directive demande qu'une entité envoie une alerte précoce au CSIRT ou à l'autorité compétente dans les 24 heures après avoir eu connaissance d'un incident important, puis une notification d'incident sous 72 heures et un rapport final dans le mois qui suit¹. Ces délais perdent leur sens si l'information reste bloquée en route. Un courriel suspect ouvert le lundi et signalé le jeudi, ce sont trois jours pendant lesquels un attaquant a pu avancer sans que personne ne le cherche.

Au sens de la directive, un incident est « important » s'il cause, ou peut causer, une perturbation grave des services ou des pertes financières pour l'entité, ou des dommages considérables à d'autres personnes¹. Le tri revient à l'équipe sécurité ; votre rôle est de signaler. Si l'incident touche des données personnelles, le RGPD ajoute sa propre obligation : notifier la CNIL au plus tard 72 heures après une violation qui présente un risque pour les personnes⁴. L'article sur le RGPD détaille cette procédure.

Dans le programme Brain, ce geste correspond au réflexe « Signaler tout incident de sécurité à l'équipe cybersécurité ». Signalez aussi vos propres erreurs, un clic malheureux par exemple : sans votre signalement, l'équipe sécurité peut ne jamais apprendre qu'une attaque a commencé. L'article sur la culture de la sanction explique pourquoi la peur d'être puni pousse à cacher les incidents.

NIS 2 fait remonter la cybersécurité au niveau des organes de direction. La directive demande qu'ils approuvent les mesures de gestion des risques et supervisent leur mise en œuvre, qu'ils puissent être tenus responsables si l'entité viole ces obligations, et que leurs membres suivent une formation¹. En France, ces obligations s'appliqueront quand la loi de transposition sera en vigueur.

Pour les amendes, les États doivent prévoir un plafond d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, quand une entité essentielle manque à ses obligations de sécurité ou de déclaration. Pour une entité importante, ce plafond est d'au moins 7 millions d'euros ou 1,4 %¹. Dans une entité essentielle qui ne corrige pas ses manquements malgré les injonctions de l'autorité, la directive permet aussi à celle-ci de demander qu'une personne exerçant des responsabilités de direction, au niveau de directeur général ou de représentant légal, soit temporairement interdite d'exercer ces responsabilités dans l'entité¹.

La sécurité de la chaîne d'approvisionnement fait partie des mesures exigées par la directive, y compris les relations avec les fournisseurs et prestataires directs¹ : l'article sur l'évaluation du risque fournisseur y est consacré. Pour aider les organisations, l'ANSSI a publié une version de travail de son Référentiel Cyber France (ReCyF), qui liste les mesures qu'elle recommande pour atteindre les objectifs de sécurité de NIS 2². Un exercice de crise sur table permet de vérifier, avant un vrai incident, que l'alerte peut partir en moins de 24 heures.

La directive a été publiée au Journal officiel de l'Union européenne le 27 décembre 2022. Les États devaient la transposer au plus tard le 17 octobre 2024 et l'appliquer à partir du 18 octobre 2024, date à laquelle la directive NIS de 2016 a été abrogée¹. Ils devaient aussi établir la liste de leurs entités essentielles et importantes au plus tard le 17 avril 2025¹.

L'article 21 fixe une liste minimale de mesures, fondée sur une approche « tous risques »¹ :

• analyse des risques et politiques de sécurité des systèmes d'information ;
• gestion des incidents ;
• continuité des activités, sauvegardes et gestion de crise ;
• sécurité de la chaîne d'approvisionnement ;
• sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités ;
• évaluation de l'efficacité des mesures ;
• cyberhygiène de base et formation à la cybersécurité ;
• cryptographie et, le cas échéant, chiffrement ;
• sécurité des ressources humaines, contrôle d'accès et gestion des actifs ;
• authentification à plusieurs facteurs et communications sécurisées, selon les besoins.

L'article 23 fixe le calendrier de déclaration d'un incident important¹ :

Délais comptés à partir du moment où l'entité a connaissance de l'incident important
24 heures      alerte précoce au CSIRT ou à l'autorité compétente
72 heures      notification d'incident, avec une première évaluation de gravité et d'impact
sur demande    rapport intermédiaire
1 mois         rapport final, compté à partir de la notification d'incident

La Commission européenne a envoyé des lettres de mise en demeure le 28 novembre 2024, puis des avis motivés le 7 mai 2025. Le 8 juillet 2026, elle a saisi la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières jusqu'à la transposition complète⁵.

En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Dans sa version déposée, son titre II, consacré à la cybersécurité, renvoie à la directive (UE) 2022/2555 et définit les entités essentielles et importantes, avec par exemple un seuil d'au moins 50 salariés pour une entité importante⁶. Le gouvernement l'a déposé au Sénat le 15 octobre 2024, en procédure accélérée, et le Sénat l'a adopté le 12 mars 2025. La commission spéciale de l'Assemblée nationale a déposé son texte le 10 septembre 2025⁷. La Conférence des présidents de l'Assemblée avait inscrit le projet de loi aux séances des 7 et 9 octobre 2026⁸, puis l'en a retiré le 6 octobre 2026, sans fixer de nouvelle date⁹. À la date de consultation, le dossier législatif ne mentionne aucun examen en séance publique à l'Assemblée⁷.

En attendant, l'ANSSI invite les futures entités essentielles et importantes à renforcer dès maintenant leur niveau de sécurité, et précise que son référentiel ReCyF pourra être ajusté au fil des débats parlementaires².