Guide NIS2 : comment se mettre en conformité ?

Qu'est-ce que la directive NIS2 ?

NIS2 (Network and Information Security 2) succède à la directive NIS de 2016 avec un champ élargi et des exigences renforcées. Son objectif : relever le niveau de cybersécurité de l'ensemble des acteurs dont la défaillance pourrait perturber l'économie et la société.

Étant une directive, elle n'est pas d'application directe : chaque État membre la transpose dans son droit national et désigne ses autorités compétentes. En France, l'ANSSI pilote le dispositif et publie les modalités concrètes.

Le texte impose une approche par les risques : des mesures techniques et organisationnelles proportionnées, une gouvernance impliquant l'organe de direction, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement et la cyberhygiène.

Entité essentielle ou importante : la distinction clé

NIS2 classe les organisations en deux catégories, qui déterminent l'intensité du contrôle et le niveau des sanctions. La bascule dépend du secteur et de la taille.

Les mesures de sécurité de base sont comparables entre les deux catégories ; ce sont surtout le contrôle et les sanctions qui diffèrent.

Qui est concerné ?

NIS2 couvre des secteurs « hautement critiques » et « critiques ». Le critère de taille (généralement à partir de la moyenne entreprise : 50 salariés ou 10 M€ de chiffre d'affaires) déclenche l'assujettissement, avec des exceptions pour des acteurs jugés critiques indépendamment de leur taille.

• Secteurs hautement critiques : énergie, transport, banque, santé, eau, infrastructures numériques, administration publique, espace.
• Secteurs critiques : poste et messagerie, gestion des déchets, produits chimiques, agroalimentaire, fabrication, fournisseurs numériques, recherche.
• Fournisseurs et sous-traitants : concernés indirectement via les exigences de sécurité de la chaîne d'approvisionnement.
• Filiales et établissements : à intégrer dans l'analyse de périmètre.

Les obligations de sécurité et de gouvernance

NIS2 impose un socle de mesures minimales, à adapter au risque, et une gouvernance portée par la direction. Ces mesures ne sont pas facultatives : leur absence est en elle-même un manquement.

• Politiques d'analyse des risques et de sécurité des systèmes d'information.
• Gestion des incidents : détection, réponse, notification.
• Continuité d'activité, gestion des sauvegardes et reprise après sinistre.
• Sécurité de la chaîne d'approvisionnement et des relations fournisseurs.
• Sécurité de l'acquisition, du développement et de la maintenance des systèmes, gestion des vulnérabilités.
• Politiques de chiffrement, contrôle d'accès, authentification multifacteur, cyberhygiène.
• Formation à la cybersécurité et implication effective de l'organe de direction.

Quelles sanctions en cas de non-conformité ?

NIS2 prévoit des sanctions différenciées selon la catégorie et introduit une responsabilité directe des dirigeants — une nouveauté qui change la donne au niveau des comités de direction.

Comment se mettre en conformité : la feuille de route en 8 étapes

Étape 1 — Déterminer votre assujettissement

Vérifiez si votre secteur et votre taille vous placent en entité essentielle ou importante, et documentez cette analyse : elle conditionne l'intensité de vos obligations et vos modalités d'enregistrement auprès de l'autorité.

N'oubliez pas d'inclure vos filiales et établissements, et de vérifier les cas particuliers d'acteurs critiques assujettis quelle que soit leur taille.

• Croisez secteur d'activité et seuils de taille.
• Identifiez vos filiales et établissements concernés.
• Enregistrez-vous auprès de l'autorité si requis.

Étape 2 — Impliquer la direction

L'organe de direction doit approuver les mesures de sécurité, être formé aux risques cyber et en assurer le suivi. Sans portage au plus haut niveau, la conformité NIS2 reste théorique — et la responsabilité des dirigeants est désormais engagée.

Inscrivez la cybersécurité à l'ordre du jour des comités de direction et formalisez la gouvernance (rôles, comitologie, reporting).

• Faites approuver la politique de sécurité par la direction.
• Formez les dirigeants aux risques cyber.
• Mettez la cybersécurité à l'agenda des instances de gouvernance.

Étape 3 — Réaliser une analyse de risques

Cartographiez vos actifs, vos menaces et vos vulnérabilités, puis priorisez les mesures en fonction du risque. C'est le socle de votre politique de sécurité des systèmes d'information et le point de départ de tout le dispositif.

Cette analyse doit être vivante : réévaluée régulièrement et après tout changement significatif.

• Inventoriez actifs, systèmes et fonctions critiques.
• Évaluez menaces et vulnérabilités, priorisez les traitements.
• Réévaluez périodiquement l'analyse.

Étape 4 — Déployer les mesures techniques et organisationnelles

Mettez en œuvre le socle attendu : contrôle d'accès, authentification multifacteur, chiffrement, journalisation, segmentation réseau, gestion des correctifs et des vulnérabilités, sauvegardes testées. Formalisez chaque politique pour la rendre auditable.

L'objectif n'est pas d'empiler les outils, mais de couvrir les risques identifiés de façon cohérente et documentée.

• Déployez MFA, chiffrement et contrôle d'accès fin.
• Gérez correctifs et vulnérabilités de façon proactive.
• Testez régulièrement vos sauvegardes et votre reprise.

Étape 5 — Structurer la gestion des incidents

Mettez en place détection, procédure de réponse et chaîne de notification permettant de respecter les délais imposés. Ces délais sont courts : ils ne se tiennent qu'avec une procédure préparée et testée à l'avance.

Définissez qui alerte, qui qualifie, qui décide de notifier, et selon quel modèle, afin de ne rien improviser en situation de crise.

• Alerte précoce sous 24 h, notification sous 72 h, rapport final sous 1 mois.
• Désignez les rôles de la cellule de crise.
• Testez la procédure par des exercices.

Étape 6 — Sécuriser la chaîne d'approvisionnement

La chaîne d'approvisionnement est aujourd'hui un vecteur d'attaque majeur : compromettre un fournisseur pour atteindre ses clients. NIS2 vous impose d'évaluer la sécurité de vos fournisseurs critiques et d'intégrer des exigences de sécurité dans vos contrats.

Suivez ensuite ces engagements dans le temps : la sécurité d'un fournisseur n'est pas acquise une fois pour toutes.

• Cartographiez et évaluez vos fournisseurs critiques.
• Intégrez des clauses de sécurité dans vos contrats.
• Suivez les engagements et les incidents fournisseurs.

Étape 7 — Former et sensibiliser

Le facteur humain reste la première porte d'entrée des attaques. Déployez un programme de sensibilisation régulier (phishing, mots de passe, réflexes de signalement) et des formations ciblées pour les fonctions exposées et les dirigeants.

Une culture cyber partagée transforme chaque collaborateur en première ligne de défense.

• Sensibilisez tous les collaborateurs régulièrement.
• Formez spécifiquement les fonctions exposées et la direction.
• Mesurez l'efficacité (tests de phishing, taux de signalement).

Étape 8 — Auditer et améliorer en continu

Testez vos dispositifs par des audits, des exercices et, le cas échéant, des tests d'intrusion ; mesurez, corrigez et documentez. NIS2 exige une amélioration continue démontrable, pas une conformité figée.

S'appuyer sur un cadre reconnu comme l'ISO 27001 structure durablement cette démarche et facilite la preuve.

• Planifiez audits et exercices réguliers.
• Documentez les écarts et les plans de correction.
• Envisagez l'ISO 27001 comme cadre structurant.

Les erreurs fréquentes à éviter

• Attendre la transposition nationale finale pour agir : les fondamentaux cyber sont exigibles et longs à déployer.
• Croire que la cybersécurité est « affaire d'IT » : NIS2 responsabilise directement la direction.
• Oublier la chaîne d'approvisionnement, vecteur d'attaque majeur.
• Ne pas préparer la procédure de notification, impossible à improviser sous 24 heures.
• Sous-estimer le périmètre : filiales, établissements et acteurs critiques sont souvent oubliés.
• Empiler des outils sans analyse de risques cohérente.
• Négliger la sensibilisation, alors que le facteur humain reste la première cause d'incident.

Comment Data Comply One vous accompagne

Data Comply One structure votre mise en conformité NIS2 de bout en bout : analyse de risques, politiques de sécurité, gestion des incidents, suivi des fournisseurs et tableau de bord de progression. Tout est centralisé et démontrable en cas de contrôle de l'ANSSI.

Deux modes s'offrent à vous : gérer votre conformité vous-même avec le logiciel, ou l'externaliser à nos experts — un RSSI externalisé — qui pilotent le dispositif pour vous directement sur la plateforme, en articulant NIS2 avec vos autres obligations. C'est un atout précieux pour les ETI et PME nouvellement assujetties, souvent démunies en interne.

La formation cybersécurité embarque dirigeants et équipes, et la démarche s'aligne naturellement avec l'ISO 27001 pour ceux qui visent une certification reconnue. Vous transformez une contrainte en socle de confiance vis-à-vis de vos clients et partenaires.

Où en êtes-vous ? ·