Directive NIS 2 : le guide complet (cybersécurité européenne)

La directive NIS 2 - Network and Information Security 2 (directive (UE) 2022/2555) - est le texte européen de référence sur la cybersécurité des infrastructures critiques. Elle remplace NIS 1 depuis janvier 2023 et impose des obligations concrètes à des milliers d'organisations en France : audits de sécurité, gestion des incidents, sanctions pouvant atteindre 10 millions d'euros. Si vous lisez "NIS" dans un contexte européen de cybersécurité, c'est bien de cette directive dont il s'agit - sans NIS 3 à l'horizon.

Qu'est-ce que la directive NIS 2 ?

NIS 2 (Network and Information Security 2) est une directive européenne (directive (UE) 2022/2555) qui établit un cadre commun de cybersécurité pour les États membres. Elle concerne les entités opérant dans des secteurs considérés comme critiques pour l'économie et la société.

NIS 2 poursuit 3 objectifs principaux :

• Renforcer le niveau de cybersécurité des opérateurs critiques dans toute l'UE ;
• Élargir le périmètre des entités soumises à des obligations de sécurité ;
• Harmoniser les exigences et les sanctions entre les États membres.

NIS 1 et NIS 2 : quelles différences ?

NIS 1 (directive (UE) 2016/1148) était limitée aux Opérateurs de Services Essentiels (OSE) et aux Fournisseurs de Services Numériques (FSN). NIS 2 élargit considérablement ce périmètre :

• NIS 1 : ~100 entités désignées en France (OSE) + quelques FSN. Secteurs étroits (eau, énergie, transport, santé, banque). Sanctions limitées. Contrôles a posteriori.
• NIS 2 : Potentiellement plusieurs milliers d'entités (EE + EI). 18 secteurs couverts. Sanctions pouvant atteindre 10 M€ ou 2% du CA mondial. Supervision renforcée de l'ANSSI.

Qui est concerné par NIS 2 ?

NIS 2 distingue deux catégories d'entités :

Entités essentielles (EE)

Secteurs à haute criticité (annexe I de la directive) :

• Énergie (production, transport, distribution) ;
• Transports (aérien, ferroviaire, maritime, routier) ;
• Secteur bancaire et infrastructures des marchés financiers ;
• Santé (hôpitaux, laboratoires, fabricants de médicaments) ;
• Eau potable et eaux usées ;
• Infrastructure numérique (DNS, IXP, centres de données, cloud) ;
• Gestion des services TIC (MSP, MSSP) ;
• Administrations publiques centrales ;
• Espace.

Entités importantes (EI)

Secteurs à criticité élevée (annexe II) :

• Services postaux et d'expédition ;
• Gestion des déchets ;
• Fabrication (dispositifs médicaux, produits chimiques, industries alimentaires) ;
• Services numériques (places de marché, moteurs de recherche, réseaux sociaux) ;
• Recherche ;
• Fournisseurs de réseaux et services de communications électroniques publics.

En France, la transposition privilégie les seuils de taille : les moyennes entreprises (50+ salariés, CA > 10 M€) des secteurs concernés sont a priori soumises. Certaines entités sont concernées quelle que soit leur taille (DNS racine, registres TLD, certains services de confiance).

Les obligations de NIS 2 (art. 21)

L'article 21 de NIS 2 liste 10 mesures de sécurité que les entités doivent mettre en oeuvre. En France, l'ANSSI détaille les exigences dans ses guides de mise en conformité :

1. Politique de sécurité des systèmes d'information (PSSI) : analyse des risques, objectifs de sécurité, gestion des incidents.
2. Gestion des incidents : détection, analyse, confinement, notification (ANSSI + clients si impact). Délai : alerte précoce 24h, notification 72h, rapport final 30 jours.
3. Continuité d'activité : sauvegarde, PRA/PCA, gestion de crise.
4. Sécurité de la chaîne d'approvisionnement : évaluation des fournisseurs, clauses contractuelles de sécurité.
5. Sécurité des réseaux et systèmes d'information : contrôles d'accès, segmentation, MFA.
6. Politiques et procédures d'évaluation de l'efficacité des mesures : audits, tests de pénétration, revues régulières.
7. Pratiques de cyberhygiène de base et formation à la cybersécurité : sensibilisation des employés, formation des équipes techniques.
8. Cryptographie et chiffrement : politique de chiffrement pour les données sensibles.
9. Sécurité des ressources humaines : contrôles à l'embauche, gestion des accès, séparation des privilèges.
10. Authentification à plusieurs facteurs (MFA) : obligatoire pour l'accès aux systèmes critiques.

Notifications d'incidents NIS 2

NIS 2 impose un régime strict de notification des incidents significatifs :

• Alerte précoce (early warning) : dans les 24 heures suivant la connaissance d'un incident significatif, l'entité doit notifier l'ANSSI.
• Notification d'incident : dans les 72 heures, une notification plus détaillée incluant une évaluation initiale de la sévérité et de l'impact.
• Rapport intermédiaire : à la demande de l'ANSSI.
• Rapport final : dans le mois suivant la clôture de l'incident : causes racines, mesures prises, impact.

Un incident est "significatif" s'il a causé ou est susceptible de causer une perturbation opérationnelle grave ou des pertes financières significatives, ou s'il a affecté d'autres personnes.

NIS 2 et le RGPD : articulation

NIS 2 et le RGPD se complètent mais ne se confondent pas :

• Objet : NIS 2 couvre la cybersécurité des réseaux et systèmes ; le RGPD couvre la protection des données personnelles.
• Périmètre : NIS 2 = entités de secteurs critiques ; RGPD = tout organisme traitant des données personnelles (donc potentiellement tous).
• Chevauchement pratique : les mesures de sécurité art. 21 NIS 2 (chiffrement, MFA, gestion des incidents) couvrent largement les exigences de sécurité de l'art. 32 RGPD. Une violation de données peut déclencher à la fois la procédure NIS 2 (ANSSI) et la procédure RGPD (CNIL, 72h).
• Autorités compétentes : ANSSI pour NIS 2 ; CNIL pour le RGPD. Deux procédures distinctes, potentiellement simultanées.

Sanctions NIS 2

NIS 2 prévoit des sanctions significatives :

• Entités essentielles : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel total (le montant le plus élevé est retenu).
• Entités importantes : jusqu'à 7 millions d'euros ou 1,4% du CA mondial.
• Responsabilité personnelle possible des dirigeants en cas de manquement grave.

Transposition en France

La transposition de NIS 2 en droit français est en cours. Le projet de loi a été présenté en Conseil des ministres. L'ANSSI est l'autorité nationale compétente. Les entités concernées devront s'enregistrer auprès de l'ANSSI via une plateforme dédiée (MonEspaceANSSI).

Calendrier prévisionnel :

• Publication de la loi de transposition : courant 2025 (initialement prévue avant fin 2024, reporté).
• Entrée en vigueur effective pour les entités : progressive après publication des décrets d'application.

NIS 2 est-il obligatoire pour les PME ?

NIS 2 vise principalement les moyennes et grandes entreprises des secteurs concernés. Les micro-entreprises (< 10 salariés, CA < 2 M€) sont en principe exclues, sauf si elles fournissent certains services critiques (registres de noms de domaine, prestataires de confiance, opérateurs de réseaux). Pour les autres PME : vérifier si votre secteur est listé et si vous dépassez les seuils de taille.

Ce guide pose le cadre général de la directive NIS 2. Pour approfondir chaque volet : vérifiez si votre organisation est soumise à la directive avec notre guide sur les entités concernées par NIS 2, essentielles et importantes ; détaillez vos obligations et les sanctions encourues avec le guide obligations et sanctions NIS 2 ; suivez le calendrier de mise en conformité avec la transposition de NIS 2 en France ; articulez cybersécurité et protection des données avec NIS 2 et RGPD, ce qui change pour le DPO ; et distinguez les régimes qui se recoupent avec notre guide DORA, NIS 2 et RGPD, quel texte s'applique.

Pour piloter cette mise en conformité au quotidien, de la qualification de votre entité au diagnostic des dix mesures de l'article 21, jusqu'au suivi des notifications d'incident auprès de l'ANSSI, Leto propose un logiciel de conformité NIS 2.

Questions fréquemment posées

Qu'est-ce que la directive NIS 2 en bref ?

NIS 2 (directive (UE) 2022/2555) est le texte européen qui impose des obligations de cybersécurité aux entités des secteurs critiques (énergie, santé, transports, infrastructure numérique, etc.). Elle remplace NIS 1 depuis octobre 2024, avec des sanctions pouvant atteindre 10 M€ ou 2% du CA mondial.

NIS 2 remplace-t-elle NIS 1 ?

Oui. La directive NIS 2 abroge et remplace la directive NIS 1 (2016/1148) depuis le 17 octobre 2024 (date limite de transposition dans les États membres). Les régimes nationaux issus de NIS 1 (ex : le régime OIV en France) restent en place en parallèle pendant la période de transition.

Comment savoir si mon organisation est concernée par NIS 2 ?

Vérifiez (1) si votre secteur est listé en annexe I ou II de la directive (18 secteurs au total), (2) si vous dépassez les seuils de taille (généralement : 50+ salariés ou CA > 10 M€), (3) si vous êtes un fournisseur critique quelle que soit votre taille. En cas de doute : consultez le site de l'ANSSI ou faites réaliser un diagnostic de conformité.

Quelles sont les principales obligations de NIS 2 ?

Les 10 mesures de l'art. 21 : politique de sécurité, gestion des incidents (notification 24h/72h), continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité réseau, évaluation de l'efficacité, formation, chiffrement, sécurité RH, MFA.

Quelle est la différence entre entité essentielle et entité importante ?

Les entités essentielles (EE) opèrent dans les secteurs à "haute criticité" (annexe I : énergie, santé, eau, transport, banque, infrastructure numérique, espace, administrations centrales). Les entités importantes (EI) sont dans les secteurs à "criticité élevée" (annexe II : déchets, services postaux, fabrication, services numériques, recherche). Les sanctions maximales diffèrent : 10 M€/2% CA pour les EE, 7 M€/1,4% CA pour les EI.