NIS2
Directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union
Directive (UE) 2022/2555 du 14 décembre 2022 ; projet de loi français relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (en cours d'examen)
En deux mots
NIS2 impose à des milliers d'entreprises et d'administrations de secteurs jugés importants de gérer leurs risques cyber, de protéger leurs systèmes et de signaler rapidement les incidents graves à l'ANSSI. La direction de l'entreprise devient personnellement responsable de ces mesures. En France, environ 15 000 entités seront concernées, dont de nombreuses PME et ETI.
Qui est concerné
Entités publiques et privées des 18 secteurs des annexes I (secteurs hautement critiques) et II (autres secteurs critiques) qui sont au moins des entreprises moyennes (50 salariés ou plus, ou chiffre d'affaires annuel et total de bilan supérieurs à 10 M€), ainsi que certaines entités quelle que soit leur taille (communications électroniques, services de confiance, DNS, registres de noms de domaine, administrations). Elles sont classées entités essentielles ou entités importantes.
Sanctions
Selon la directive (art. 34) et le projet de loi : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, jusqu'à 7 M€ ou 1,4 % pour une entité importante (le montant le plus élevé étant retenu), prononcées par une commission des sanctions placée auprès de l'ANSSI, avec possibilité de suspension temporaire des dirigeants pour les entités essentielles.
Autorité de contrôle
ANSSI (Agence nationale de la sécurité des systèmes d'information), CERT-FR pour les notifications d'incidents
État au 14 octobre 2026 : la directive devait être transposée au plus tard le 17 octobre 2024 et s'appliquer à compter du 18 octobre 2024, mais la France ne l'a toujours pas transposée. Le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » a été déposé au Sénat le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Son examen en séance publique, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour le 6 octobre 2026, sans nouvelle date (point de blocage : l'article 16 bis sur le chiffrement). La loi n'est donc ni adoptée définitivement ni promulguée, et aucun décret d'application n'est publié : les obligations NIS2 ne sont pas encore opposables en droit français, et une procédure européenne en manquement vise la France. Déjà disponibles : la plateforme MonEspaceNIS2 de l'ANSSI (pré-enregistrement volontaire et gratuit ouvert depuis le 24 novembre 2025, obligatoire après publication de la loi et des décrets) et le référentiel ReCyF de l'ANSSI publié le 17 mars 2026 (document de travail non contraignant à ce stade). L'ANSSI a évoqué un objectif de conformité complète des entités fin 2028, sans valeur juridique à ce jour. À l'échelle européenne, la proposition « Omnibus numérique » prévoit un point unique de notification des incidents géré par l'ENISA, sans modifier les délais NIS2 ; elle n'est pas adoptée.
Ce que couvre le questionnaire
| Questions de périmètre | 3 |
| Gouvernance et responsabilité de la direction | 4 |
| Gestion des risques et mesures de sécurité | 6 |
| Continuité d'activité et chaîne d'approvisionnement | 3 |
| Gestion et notification des incidents | 3 |
Version 1 du questionnaire.