Comment se mettre en conformité à NIS 2 ?
Cybersécurité : l’Union européenne impose un nouveau cap avec la directive NIS 2
Sommaire
- Qu’est-ce que la directive NIS 2 ?
- Pourquoi se conformer à NIS 2 ?
- Qui est concerné par NIS 2 ?
- Étapes pour se mettre en conformité à NIS 2
- Les exigences de sécurité à respecter
- Risques en cas de non-conformité
- Se faire accompagner pour réussir
Qu’est-ce que la directive NIS 2 ?
La directive NIS 2 (Network and Information Security 2) est le nouveau cadre réglementaire européen en matière de cybersécurité, adopté en 2022 et transposé en droit national en 2024. Elle succède à NIS 1 (2016) et élargit considérablement son champ d’application pour inclure des milliers d’entités dans plus de 18 secteurs critiques.
Son objectif : élever le niveau de cybersécurité de l’ensemble du tissu économique et institutionnel de l’Union européenne, en imposant des obligations strictes en matière de gouvernance, gestion des risques et réaction aux incidents.
Pourquoi se conformer à NIS 2 ?
Se mettre en conformité à la directive NIS 2 n’est pas une option. C’est :
- Une obligation légale pour des milliers d’organisations ;
- Une garantie de résilience face aux cyberattaques (rançongiciels, compromissions, fuites…) ;
- Un levier de confiance pour vos clients, partenaires et usagers ;
- Un avantage concurrentiel dans un contexte où la sécurité devient un critère clé dans les appels d’offres.
Les amendes prévues en cas de non-conformité peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Qui est concerné par NIS 2 ?
La directive distingue deux types d’entités :
- Les entités essentielles (EE) : infrastructures critiques, santé, énergie, transport, services publics…
- Les entités importantes (EI) : numérique, commerce, fabrication, services TIC, recherche…
Les critères de désignation incluent le secteur d’activité, le nombre d’employés, le chiffre d’affaires, ainsi que des critères de criticité.
💡 À noter : même des PME ou collectivités locales peuvent être concernées. L’outil MonEspaceNIS2 de l’ANSSI permet de vérifier si vous êtes dans le périmètre.
Les étapes pour se mettre en conformité à NIS 2
Voici les 6 étapes clés pour engager votre conformité :
- Identifier si vous êtes concerné
Utilisez les annexes I et II de la directive, et comparez votre activité avec les définitions officielles. Vérifiez également les seuils de taille (effectifs, chiffre d’affaires, bilan). - S’enregistrer auprès de l’autorité nationale
Toute entité entrant dans le périmètre doit s’enregistrer via le portail MonEspaceNIS2 auprès de l’ANSSI, en précisant son secteur, ses systèmes, ses localisations… - Désigner un responsable NIS2 pour la cyber conformité
Comme le DPO pour le RGPD, une personne référente doit piloter la conformité à NIS 2, coordonner les audits, former les équipes et superviser les mesures de sécurité. - Cartographier ses systèmes d’information critiques
Il est essentiel d’identifier les actifs, les réseaux et les systèmes concernés, y compris les dépendances numériques (sous-traitants, cloud, fournisseurs tiers). - Évaluer les risques et planifier les actions
Réalisez une analyse de risque cybersécurité pour chaque SI identifié. Priorisez les actions correctrices, notamment sur les vulnérabilités connues et les chaînes d’approvisionnement. - Documenter et piloter la conformité
Tenir à jour un dossier de conformité NIS 2, avec la cartographie des SI critiques, les mesures techniques, les processus mis en place, les politiques internes, et les incidents survenus ou évités.
Quelles sont les exigences de sécurité de NIS 2 ?
L’article 21 de la directive liste les mesures minimales à mettre en œuvre, parmi lesquelles :
- Politique de gestion des risques cybersécurité
- Gestion des incidents et alertes
- Plan de continuité d’activité et reprise après incident
- Sécurité de la chaîne d’approvisionnement
- Chiffrement des données sensibles
- Formation des équipes à l’hygiène informatique
- Contrôle d’accès, journalisation et traçabilité
- Évaluation régulière des mesures de sécurité
Chaque entité devra démontrer sa capacité à anticiper, détecter, réagir et se remettre des incidents majeurs.
Que risque-t-on en cas de non-conformité à NIS 2 ?
Les autorités nationales (ex. : l’ANSSI en France) pourront :
- Mener des audits ou inspections ;
- Émettre des injonctions ou sanctions ;
- Imposer des amendes jusqu’à 10 millions € ou 2 % du CA mondial.
En cas de cyberattaque grave, l’entité non conforme s’expose à des conséquences juridiques, financières et réputationnelles importantes.
