NIS2 : la nouvelle donne réglementaire de la cybersécurité en Europe

La directive NIS2 (Network and Information Security 2) est le texte réglementaire le plus ambitieux jamais adopté par l’Union européenne en matière de cybersécurité. Entrée en vigueur le 16 janvier 2023 et devant être transposée par les États membres avant le 17 octobre 2024, elle élargit considérablement le périmètre des entreprises concernées par des obligations de cybersécurité.

En France, le processus de transposition législative est en cours, et l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a publié des guides pour accompagner les organisations dans leur mise en conformité. En 2026, les entreprises concernées doivent impérativement avoir entamé — voire achevé — leur processus de mise en conformité.

Pour les PME et TPE de Nice, des Alpes-Maritimes et de la Côte d’Azur, cette directive peut sembler lointaine ou réservée aux grands groupes. C’est une erreur. NIS2 concerne potentiellement des milliers de PME françaises, y compris des entreprises de taille modeste. Cet article vous explique tout ce que vous devez savoir pour vous préparer.

Qu’est-ce que la directive NIS2 ?

De NIS1 à NIS2 : un changement d’échelle

La première directive NIS, adoptée en 2016, ne concernait qu’un nombre limité d’opérateurs de services essentiels (OSE) et de fournisseurs de services numériques. Son bilan était mitigé : application inégale entre les États membres, périmètre trop restreint, et sanctions insuffisantes pour être dissuasives.

NIS2 corrige ces lacunes avec une ambition décuplée :

• Périmètre élargi : de quelques centaines d’entités à potentiellement plus de 15 000 entreprises en France et 160 000 en Europe
• Obligations renforcées : mesures de sécurité techniques et organisationnelles détaillées
• Sanctions dissuasives : amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial
• Responsabilité de la direction : les dirigeants peuvent être personnellement tenus responsables
• Harmonisation européenne : un cadre commun pour tous les États membres

Les objectifs de NIS2

La directive poursuit plusieurs objectifs fondamentaux :

• Élever le niveau global de cybersécurité de l’Union européenne
• Harmoniser les exigences entre les États membres pour éviter les disparités
• Améliorer la coopération entre les autorités nationales et européennes
• Renforcer la résilience des chaînes d’approvisionnement numériques
• Garantir une notification rapide des incidents pour une réaction coordonnée

Quelles entreprises sont concernées par NIS2 ?

Les deux catégories d’entités

NIS2 distingue deux catégories d’entités soumises à des obligations différentes :

Entités essentielles (EE) — obligations les plus strictes :

• Énergie (électricité, gaz, pétrole, hydrogène)
• Transports (aérien, ferroviaire, maritime, routier)
• Secteur bancaire et infrastructures des marchés financiers
• Santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux)
• Eau potable et eaux usées
• Infrastructures numériques (DNS, datacenters, cloud, CDN)
• Administration publique
• Espace

Entités importantes (EI) — obligations significatives mais allégées :

• Services postaux et d’expédition
• Gestion des déchets
• Fabrication, production et distribution de produits chimiques
• Production, transformation et distribution alimentaire
• Fabrication (dispositifs médicaux, produits informatiques, équipements électriques, machines, véhicules)
• Fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux)
• Recherche

Les critères de taille

En plus du secteur d’activité, NIS2 utilise des critères de taille pour déterminer les entreprises concernées :

• Moyennes entreprises : 50 à 249 employés, ou chiffre d’affaires entre 10 et 50 millions d’euros
• Grandes entreprises : 250 employés ou plus, ou chiffre d’affaires supérieur à 50 millions d’euros

Mais attention : certaines petites entreprises peuvent aussi être concernées si elles opèrent dans des secteurs critiques ou si elles font partie de la chaîne d’approvisionnement d’une entité essentielle. C’est un point crucial pour les PME de la région niçoise.

L’effet cascade sur les sous-traitants et fournisseurs

C’est l’un des aspects les plus importants de NIS2 pour les PME : les entités essentielles et importantes doivent sécuriser leur chaîne d’approvisionnement. Concrètement, cela signifie que si vous êtes fournisseur ou prestataire d’une entreprise soumise à NIS2, celle-ci vous imposera probablement des exigences de cybersécurité comme condition de la relation commerciale.

Exemple concret : Si votre TPE de Nice fournit des services informatiques à un hôpital ou à une collectivité locale (entité essentielle), vous serez indirectement soumis aux exigences NIS2 via les clauses contractuelles imposées par votre client.

Les obligations concrètes de NIS2

1. La gestion des risques cyber

NIS2 impose une approche basée sur les risques. Les entités doivent mettre en place des mesures techniques et organisationnelles « appropriées et proportionnées » couvrant au minimum :

• L’analyse de risques et les politiques de sécurité des systèmes d’information
• La gestion des incidents : détection, réponse, récupération
• La continuité d’activité : plans de sauvegarde, reprise après sinistre, gestion de crise
• La sécurité de la chaîne d’approvisionnement : évaluation des risques liés aux fournisseurs
• La sécurité dans l’acquisition, le développement et la maintenance des systèmes
• L’évaluation de l’efficacité des mesures de cybersécurité (tests, audits)
• La cyberhygiène et la formation à la cybersécurité
• Le chiffrement et les politiques de contrôle d’accès
• L’authentification multi-facteurs (MFA) et les communications sécurisées
• La sécurité des ressources humaines et la gestion des actifs

2. La notification des incidents

NIS2 établit un processus de notification en trois étapes particulièrement exigeant :

• Alerte précoce sous 24 heures : notification initiale au CSIRT national (en France, l’ANSSI) dans les 24 heures suivant la prise de connaissance d’un incident significatif
• Notification d’incident sous 72 heures : rapport détaillé incluant une évaluation initiale de la gravité et de l’impact
• Rapport final sous 1 mois : description détaillée de l’incident, son type, sa cause probable, les mesures d’atténuation prises et l’impact transfrontalier éventuel

Un incident est considéré comme « significatif » s’il cause ou peut causer :

• Une perturbation opérationnelle grave du service
• Des pertes financières importantes pour l’entité
• Un préjudice pour d’autres personnes physiques ou morales

3. La responsabilité de la direction

C’est l’une des innovations majeures de NIS2 : les organes de direction (conseil d’administration, gérant, directeur général) sont directement responsables de la mise en œuvre des mesures de cybersécurité. Concrètement :

• La direction doit approuver les mesures de gestion des risques
• La direction doit superviser leur mise en œuvre
• Les membres de la direction doivent suivre une formation en cybersécurité
• En cas de manquement, les dirigeants peuvent être personnellement sanctionnés

4. Les sanctions prévues

NIS2 prévoit des sanctions graduées mais potentiellement très lourdes :

• Entités essentielles : amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé)
• Entités importantes : amendes jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial
• Sanctions administratives : injonctions de mise en conformité, astreintes, suspension temporaire de certifications
• Responsabilité personnelle des dirigeants : possibilité d’interdiction temporaire d’exercer des fonctions de direction

Calendrier de mise en conformité en 2026

Où en sommes-nous ?

• Janvier 2023 : entrée en vigueur de la directive NIS2
• Octobre 2024 : date limite de transposition en droit national (la France a pris du retard, comme plusieurs autres États membres)
• 2025 : adoption progressive de la loi de transposition française et des décrets d’application
• 2026 : les entités concernées doivent être en conformité ou en cours de mise en conformité avancée

Ce qu’il faut retenir en 2026

Même si la transposition française a connu des retards, l’urgence est réelle. L’ANSSI a clairement indiqué que les entreprises ne devaient pas attendre la publication finale des textes pour agir. Les entreprises qui n’ont pas encore commencé leur démarche de mise en conformité prennent un risque considérable, à la fois réglementaire et opérationnel.

Guide pratique : 10 étapes pour mettre votre PME en conformité NIS2

Étape 1 : Déterminer si vous êtes concerné

Commencez par vérifier si votre entreprise entre dans le périmètre de NIS2 :

• Identifiez votre secteur d’activité dans la liste des secteurs couverts
• Vérifiez si vous dépassez les seuils de taille (50 employés ou 10M€ de CA)
• Évaluez si vous faites partie de la chaîne d’approvisionnement d’une entité essentielle
• Consultez l’outil d’auto-évaluation proposé par l’ANSSI sur MonEspaceNIS2

Étape 2 : Réaliser un état des lieux de votre cybersécurité

Avant de pouvoir vous mettre en conformité, vous devez savoir où vous en êtes :

• Inventaire complet de vos systèmes d’information et actifs numériques
• Cartographie de vos flux de données
• Évaluation de vos mesures de sécurité existantes
• Identification de vos points faibles et vulnérabilités

Étape 3 : Réaliser une analyse de risques formelle

NIS2 exige une approche basée sur les risques. Vous devez :

• Identifier les menaces pesant sur vos systèmes
• Évaluer la probabilité et l’impact de chaque risque
• Prioriser les risques selon leur criticité
• Documenter votre analyse dans un registre des risques

Des méthodologies comme EBIOS Risk Manager (recommandée par l’ANSSI) sont particulièrement adaptées aux PME françaises.

Étape 4 : Définir et mettre en œuvre un plan de sécurité

Sur la base de votre analyse de risques, déployez les mesures nécessaires :

• Politique de sécurité formalisée et validée par la direction
• Sécurité réseau : pare-feu, segmentation, VPN, surveillance
• Sécurité des postes : antivirus/EDR, chiffrement, mises à jour
• Gestion des identités : MFA, principe du moindre privilège, revue des accès
• Sauvegardes : stratégie 3-2-1, tests de restauration réguliers
• Chiffrement : données en transit et au repos

Étape 5 : Mettre en place une gestion des incidents

Préparez-vous à détecter, gérer et notifier les incidents :

• Définir une procédure de gestion des incidents claire
• Désigner une équipe de réponse avec des rôles définis
• Mettre en place des outils de détection (logs, alertes, monitoring)
• Préparer les templates de notification pour respecter les délais NIS2
• Organiser des exercices de simulation réguliers

Étape 6 : Élaborer un plan de continuité d’activité

• PCA (Plan de Continuité d’Activité) : comment maintenir vos services critiques en cas d’incident
• PRA (Plan de Reprise d’Activité) : comment restaurer vos systèmes après un sinistre
• Tests réguliers de vos plans et de vos sauvegardes

Étape 7 : Sécuriser votre chaîne d’approvisionnement

• Inventorier vos fournisseurs critiques (hébergeur, éditeurs logiciels, prestataires IT)
• Évaluer leur niveau de sécurité
• Intégrer des clauses de cybersécurité dans vos contrats
• Mettre en place un suivi régulier de la sécurité de vos fournisseurs

Étape 8 : Former et sensibiliser

• Formation obligatoire de la direction aux enjeux de cybersécurité
• Sensibilisation de tous les collaborateurs : phishing, mots de passe, bonnes pratiques
• Formations spécialisées pour les équipes techniques
• Programme de sensibilisation continu (pas uniquement une session annuelle)

Étape 9 : Documenter et formaliser

NIS2 exige une traçabilité de vos efforts de cybersécurité :

• Politique de sécurité du SI (PSSI) formalisée
• Registre des risques à jour
• Procédures documentées (gestion des incidents, continuité, etc.)
• Comptes rendus des revues de sécurité
• Preuves de formation et de sensibilisation

Étape 10 : Auditer et améliorer en continu

• Réaliser des audits réguliers (internes ou externes)
• Effectuer des tests d’intrusion (pentest) périodiques
• Mener des revues de sécurité trimestrielles
• Mettre à jour votre analyse de risques en fonction de l’évolution des menaces
• S’inscrire dans une démarche d’amélioration continue (PDCA)

Les erreurs à éviter dans votre démarche NIS2

• Attendre que tout soit finalisé : n’attendez pas la publication de tous les décrets pour agir. Les principes de NIS2 sont clairs et vous pouvez commencer dès maintenant.
• Considérer NIS2 comme un simple exercice de conformité : c’est une opportunité de renforcer réellement votre sécurité, pas juste une case à cocher.
• Négliger l’aspect humain : la technologie seule ne suffit pas. La formation et la culture de sécurité sont essentielles.
• Sous-estimer le volet chaîne d’approvisionnement : même si vous n’êtes pas directement concerné, vos clients le sont peut-être.
• Ne pas impliquer la direction : NIS2 fait de la cybersécurité un sujet de gouvernance, pas uniquement un sujet technique.

Connect 3S : votre partenaire NIS2 dans les Alpes-Maritimes

Chez Connect 3S, nous accompagnons depuis des années les PME et TPE de Nice, Cannes, Antibes, Sophia Antipolis et de toute la Côte d’Azur dans leur démarche de cybersécurité. La mise en conformité NIS2 est au cœur de notre expertise :

• Diagnostic NIS2 : nous évaluons votre situation actuelle et déterminons si vous êtes dans le périmètre de la directive
• Analyse de risques EBIOS RM : nous réalisons votre analyse de risques selon la méthodologie recommandée par l’ANSSI
• Plan de mise en conformité : nous construisons avec vous un plan d’action priorisé et réaliste, adapté à votre budget et à vos ressources
• Déploiement technique : nous mettons en place les solutions de sécurité nécessaires (pare-feu, EDR, MFA, sauvegardes, chiffrement)
• Formation et sensibilisation : nous formons votre direction et vos équipes aux enjeux NIS2 et aux bonnes pratiques
• Suivi et amélioration continue : nous vous accompagnons dans la durée avec des audits réguliers et une veille réglementaire

NIS2 n’est pas une contrainte, c’est une opportunité de protéger durablement votre entreprise. N’attendez pas la dernière minute pour vous mettre en conformité.

Vous voulez savoir si votre entreprise est concernée par NIS2 ? Contactez Connect 3S pour un diagnostic gratuit et un accompagnement personnalisé.