Quelles sont les grandes différences avec NIS1 ?

NIS2 élargit considérablement le périmètre (de ~2000 à ~10 000 entités en France), engage la responsabilité personnelle des dirigeants, harmonise les sanctions à l'échelle UE et impose des exigences de sécurité sur la supply chain.

Quand NIS2 est-elle applicable ?

La directive devait être transposée dans chaque État membre avant le 17 octobre 2024. En France, la loi de transposition a été adoptée le 30 avril 2025.

Que se passe-t-il si je ne me conforme pas ?

Des sanctions financières jusqu'à 10 M€ (2% du CA mondial) pour les entités essentielles, une responsabilité personnelle engagée pour les dirigeants et une possible suspension temporaire d'activité.

Un RSSI externalisé suffit-il pour se conformer ?

Un RSSI externalisé est une brique essentielle (pilotage, expertise, reporting), mais la conformité NIS2 nécessite également une plateforme de gestion des risques, des mesures techniques déployées et une sensibilisation des équipes.

Réglementation NIS2

Tout comprendre sur la directive NIS2

La directive NIS2 renforce la cybersécurité des entreprises et administrations européennes. Elle élargit considérablement le périmètre des entités concernées et durcit les sanctions. Avec Data Comply One, pilotez votre conformité NIS2 de façon intégrée.

Planifiez un échange Découvrir le Logiciel NIS2

Oct. 2024

Deadline transposition

~10 000

entités FR concernées

10 M€

ou 2% CA mondial (max)

10 mesures

de sécurité obligatoires

Qu'est-ce que la directive NIS2 ?

La directive NIS2 (Network and Information Security 2) est la révision de la directive NIS de 2016. Adoptée en 2022 et transposée en France par la loi du 30 avril 2025, elle impose des obligations renforcées de cybersécurité à un nombre beaucoup plus large d'entités qu'auparavant. Son objectif : rehausser le niveau de résilience cyber de l'Union Européenne face à la multiplication des attaques.

Nouveautés NIS2 vs NIS1

Périmètre élargi : plus de 10 000 entités françaises désormais concernées

Responsabilité personnelle des dirigeants engagée

Harmonisation européenne des sanctions et des notifications

Supply chain : obligations de sécurisation des fournisseurs TIC

Qui est concerné par NIS2 ?

NIS2 distingue deux catégories d'entités : essentielles et importantes. Critère général : plus de 50 salariés OU 10 M€ de CA, dans l'un des secteurs listés par la directive.

Entités essentielles : énergie, transport, santé, eau, infrastructures numériques, finance, espace, administrations publiques

Entités importantes : services postaux, gestion des déchets, chimie, agroalimentaire, fabrication, services numériques

PME incluses dans les secteurs critiques dès 50 salariés ou 10 M€ de CA

Fournisseurs critiques des entités essentielles (supply chain)

Les 10 mesures de sécurité obligatoires

NIS2 impose 10 mesures minimales de gestion des risques de cybersécurité (article 21). Elles couvrent les volets gouvernance, technique et opérationnel.

Politique de sécurité des SI (PSSI) formalisée

Gestion des incidents et plan de réponse

Continuité d'activité et gestion de crise

Sécurité de la chaîne d'approvisionnement (supply chain TIC)

Acquisition, développement et maintenance sécurisés

Efficacité des mesures : audits périodiques, tests d'intrusion

Cyber-hygiène et formation des collaborateurs

Chiffrement et cryptographie

Contrôle d'accès et gestion des actifs

Authentification multi-facteurs (MFA)

Notification des incidents

En cas d'incident significatif, les entités NIS2 doivent notifier l'ANSSI selon un calendrier strict.

Alerte précoce sous 24h : dès connaissance de l'incident

Notification sous 72h : analyse préliminaire

Rapport final sous 1 mois : causes, mesures correctives

Obligation d'informer les destinataires si impact sur les services

Sanctions et gouvernance

La directive NIS2 engage personnellement la responsabilité des dirigeants. Les sanctions financières sont harmonisées à l'échelle européenne.

Entités essentielles : jusqu'à 10 M€ ou 2 % du CA mondial

Entités importantes : jusqu'à 7 M€ ou 1,4 % du CA mondial

Responsabilité individuelle des dirigeants (article 20)

Suspension temporaire d'activité possible en cas de manquement grave

Gouvernance : la direction engagée

Les organes de direction doivent approuver les mesures de gestion des risques cyber

Ils doivent superviser leur mise en œuvre

Ils doivent suivre des formations pour acquérir les connaissances nécessaires

Simplifiez votre conformité NIS2 avec Data Comply One

Logiciel NIS2

Registre des actifs, analyse de risques, gestion des incidents, supply chain TIC, tableaux de bord NIS2.

Découvrir le logiciel

RSSI externalisé

Expert cyber qui pilote votre mise en conformité NIS2 et votre résilience opérationnelle.

Planifiez un échange

Formation Cybersécurité

Sensibilisation obligatoire des dirigeants et collaborateurs aux enjeux NIS2.

Voir le programme

Audit de maturité

Évaluez votre niveau de conformité NIS2 en 30 min et identifiez vos priorités.

Lancer un audit

FAQ NIS2

Toute organisation de plus de 50 salariés ou 10 M€ de CA dans un des 18 secteurs listés par la directive. Un audit de périmètre est recommandé pour confirmer votre statut (entité essentielle ou importante).