La directive NIS 2 (directive (UE) 2022/2555) ne se contente pas d'élargir le nombre d'organisations concernées par la cybersécurité réglementée : elle impose des obligations concrètes, assorties de sanctions parmi les plus lourdes du droit européen, jusqu'à 10 millions d'euros, et engage personnellement les dirigeants. Pour un dirigeant, un DSI ou un DPO, deux questions priment : que dois-je mettre en place, et que est-ce que je risque si je ne le fais pas ? Ce guide répond aux deux, des dix mesures de l'article 21 aux sanctions de l'article 34, en passant par la formation des organes de direction et la notification des incidents, puis propose une méthode de mise en conformité en six étapes et fait le point sur l'accompagnement.
NIS 2 est un texte de cybersécurité, pas une réglementation de protection des données personnelles. Pour une vue d'ensemble (définition, secteurs concernés, calendrier de transposition), consultez le guide pilier Directive NIS 2 : le guide complet.
Les obligations NIS 2 : les dix mesures de l'article 21
Le coeur des obligations NIS 2 tient dans l'article 21 de la directive. Il impose aux entités concernées d'adopter des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité de leurs réseaux et systèmes d'information. La directive énumère dix catégories de mesures, qui constituent le socle minimal de toute démarche de mise en conformité.
- Politiques d'analyse des risques et de sécurité des systèmes d'information.
- Gestion des incidents : détection, traitement et signalement.
- Continuité des activités : sauvegardes, reprise après sinistre (PRA) et gestion de crise.
- Sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires directs.
- Sécurité de l'acquisition, du développement et de la maintenance des réseaux et systèmes, dont la gestion des vulnérabilités.
- Politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques.
- Pratiques de base en matière de cyberhygiène et formation à la cybersécurité.
- Politiques relatives à l'utilisation de la cryptographie et du chiffrement.
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
- Authentification multifacteurs (MFA) et solutions de communication sécurisée.
Ces obligations de fond sont identiques pour les entités essentielles et les entités importantes : seule la supervision diffère (proactive pour les premières, a posteriori pour les secondes). Le règlement d'exécution (UE) 2024/2690 précise les mesures techniques minimales pour certaines catégories d'entités, comme les fournisseurs de services DNS, les datacenters ou les fournisseurs cloud.
La distinction entre ces deux catégories, les seuils de taille et les 18 secteurs visés sont détaillés dans notre guide sur les entités essentielles et importantes concernées par NIS 2.
La formation des dirigeants et des équipes (article 20)
C'est l'une des grandes nouveautés de NIS 2 par rapport au cadre précédent : l'article 20 impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en oeuvre, et surtout de suivre une formation à la cybersécurité. La directive invite aussi les entités à proposer une formation similaire à leurs employés, de manière régulière.
Cette obligation de formation change la nature du sujet : la cybersécurité n'est plus une affaire purement technique reléguée au service informatique, mais une responsabilité de gouvernance qui remonte au comité de direction. Les dirigeants ne peuvent plus déléguer entièrement le risque cyber : ils doivent en comprendre les enjeux pour pouvoir l'arbitrer.
Sur ce volet humain, acculturer les dirigeants comme les équipes aux réflexes de cybersécurité est un préalable utile, quelle que soit votre échéance NIS 2. La mise en conformité NIS 2 elle-même relève du RSSI et de la direction générale, qui doit approuver les mesures de gestion des risques (article 20). Leto vous permet de piloter les mesures de l'article 21 : diagnostic de maturité sur chacune des dix mesures, feuille de route, évaluation des fournisseurs, formation des équipes et suivi des échéances de notification des incidents.
La notification des incidents (article 23)
NIS 2 impose un calendrier de signalement strict en cas d'incident significatif, c'est-à-dire un incident qui cause ou est susceptible de causer une perturbation grave des services ou des pertes financières importantes. La procédure se déroule en trois temps auprès de l'autorité nationale compétente, l'ANSSI en France.
- Sous 24 heures : une alerte précoce, indiquant si l'incident est suspecté de résulter d'un acte malveillant ou peut avoir un impact transfrontalier.
- Sous 72 heures : une notification d'incident avec une évaluation initiale de la gravité, de l'impact et des indicateurs de compromission.
- Sous 1 mois : un rapport final détaillant la cause profonde, les mesures d'atténuation appliquées et l'impact réel.
Ce calendrier rappelle celui du RGPD, sans se confondre avec lui. En cas de violation de données personnelles, le RGPD impose une notification à la CNIL sous 72 heures. Un même incident, par exemple un rançongiciel chiffrant une base de données clients, peut donc déclencher les deux régimes en parallèle, avec un point de vigilance : l'alerte NIS 2 sous 24 heures est plus courte que le délai RGPD. La bonne pratique consiste à bâtir une procédure unique de gestion d'incident qui embarque les deux circuits dès la détection. Pour structurer la sécurité en amont, voir notre guide sur la politique de sécurité informatique.
Les sanctions NIS 2 : jusqu'à 10 millions d'euros
L'article 34 de la directive fixe des sanctions administratives nettement supérieures à celles du cadre précédent, et différenciées selon la catégorie d'entité.
- Entités essentielles : amende administrative maximale de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé s'appliquant.
- Entités importantes : amende maximale de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total.
Au-delà des amendes, l'autorité dispose de pouvoirs de supervision étendus : injonctions de se mettre en conformité, instructions contraignantes, obligation d'informer les clients d'une menace, et publication des manquements (le name and shame). Pour les entités essentielles, l'autorité peut aller jusqu'à suspendre temporairement une certification ou une autorisation, voire interdire temporairement à un dirigeant d'exercer ses fonctions de direction.
La responsabilité personnelle des dirigeants
C'est le point le plus marquant pour la gouvernance. NIS 2 (article 20 combiné à l'article 32) engage la responsabilité personnelle des organes de direction en cas de manquement grave aux obligations de gestion des risques. La conformité cyber devient ainsi un sujet de comité de direction, pas seulement un sujet technique. Pour un DPO ou un RSSI, c'est un levier : le sponsoring de la direction, souvent difficile à obtenir, devient une obligation légale.
Comparaison éclair avec le RGPD
Les deux régimes partagent une logique de sanction dissuasive, mais diffèrent sur trois points. Le RGPD plafonne ses amendes à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, des seuils plus élevés que ceux de NIS 2. Le RGPD vise l'organisation en tant que responsable de traitement, sans nommer les dirigeants dans le texte, là où NIS 2 engage leur responsabilité personnelle. Enfin, l'autorité diffère : la CNIL pour le RGPD, l'ANSSI pour NIS 2. Pour comprendre l'articulation des deux textes, voir le guide pilier sur la directive NIS 2 et notre guide de référence sur le RGPD.
Mise en conformité NIS 2 : la méthode en six étapes
La directive fixe ce qu'une entité essentielle ou importante doit faire : elle ne dit pas par où commencer. Or c'est la question que se pose le DPO, le RSSI ou le directeur administratif et financier d'une ETI qui découvre que son organisation entre dans le champ : quel ordre, quels livrables, qui fait quoi. La méthode ci-dessous procède par étapes plutôt que de tout traiter de front, et chaque étape produit un livrable utile le jour où les obligations deviendront exigibles.
Ce qui est exigible aujourd'hui en France
Une directive doit être transposée pour s'appliquer. La date limite était le 17 octobre 2024, et la France ne l'a pas tenue : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024 et adopté par le Sénat le 12 mars 2025, a de nouveau été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026, sans nouvelle date (voir notre actualité sur ce report). Le calendrier et l'état d'avancement du texte sont suivis dans notre guide sur la transposition de NIS 2 en France.
Deux éléments rendent pourtant l'attente coûteuse :
- Le contenu attendu est publié. L'ANSSI a mis à disposition le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. Il a encore le statut de document de travail, mais c'est la grille sur laquelle les contrôles s'appuieront.
- L'échéance se resserre. Devant la commission spéciale de l'Assemblée, le 1er octobre 2026, le directeur général de l'ANSSI a indiqué que l'agence envisage d'exiger une conformité complète des entités d'ici fin 2028 (voir notre actualité). C'est une intention exprimée en audition, pas une règle écrite, mais elle donne un ordre de grandeur.
Étape 1 : qualifier l'entité et le périmètre
Tout part de l'article 3 de la directive : le secteur (annexes I et II), les seuils de taille et les exceptions qui s'appliquent quelle que soit la taille. Le livrable n'est pas un « oui » ou un « non » : c'est une note de qualification datée, qui cite le secteur, l'annexe, les seuils retenus, la catégorie (entité essentielle ou importante) et le raisonnement pour les filiales. Elle fixe aussi le périmètre : quels réseaux, systèmes, données et prestataires supportent les activités régulées. Un groupe dont une seule filiale entre dans le champ n'a pas le même chantier qu'une entité dont tout le système d'information est concerné.
Les ressources officielles de l'ANSSI, autorité nationale compétente, sont la source à privilégier pour qualifier votre situation : cyber.gouv.fr/nis2, et le parcours d'identification sur MesServicesCyber.
Étape 2 : installer la gouvernance
L'article 20, présenté plus haut, fait de la direction le premier acteur de la conformité. Avant tout diagnostic technique, il faut donc lui donner une forme concrète :
- désigner un sponsor au comité de direction, qui porte le sujet et arbitre le budget ;
- nommer un pilote opérationnel (souvent le RSSI, parfois le DPO ou la direction des risques dans une ETI sans RSSI à temps plein) ;
- fixer un rituel de revue (trimestriel en régime de croisière) et la forme de l'approbation formelle des mesures ;
- planifier la formation des membres de la direction, et en garder la trace.
Étape 3 : mesurer l'écart aux dix mesures de l'article 21
L'analyse d'écart est le coeur de la démarche : chacune des dix catégories de mesures listées plus haut s'évalue une par une. Trois choix de méthode font la différence entre un diagnostic utile et un tableur oublié :
- Choisir une grille unique. En France, le ReCyF est la référence naturelle, puisqu'il décline les objectifs de NIS 2 en mesures. Pour les fournisseurs cloud, DNS, centres de données ou services gérés, le règlement d'exécution (UE) 2024/2690 fixe déjà des exigences techniques détaillées. Une organisation déjà certifiée ISO 27001 part de sa déclaration d'applicabilité et ne traite que le delta.
- Noter la maturité, pas la présence. « Il existe une politique de sauvegarde » ne dit rien. Une échelle à quatre niveaux (inexistant, informel, formalisé, appliqué et contrôlé) oblige à distinguer le document de la pratique.
- Exiger une preuve par mesure. Un écart n'est fermé que si la preuve existe : procédure signée, export de configuration, compte rendu de test de restauration. C'est cette preuve que demandera un contrôle.
L'analyse de risques, première mesure de la liste, sert de fil conducteur : c'est elle qui justifie la proportionnalité exigée par l'article 21, paragraphe 1.
Étape 4 : bâtir un plan d'action priorisé
L'analyse d'écart produit une liste ; le plan d'action en fait un programme. Chaque écart devient une action avec un responsable, une échéance, un coût estimé et la preuve attendue à la clôture. La priorisation croise l'exposition au risque, le coût et les dépendances entre actions. Dans la plupart des ETI, quelques chantiers à fort impact et faible coût reviennent en tête de liste :
- l'authentification multifacteur sur les accès distants et les comptes à privilèges ;
- des sauvegardes déconnectées, avec un test de restauration réellement joué ;
- une procédure de gestion d'incident écrite, avec une astreinte et des contacts à jour ;
- l'inventaire des fournisseurs critiques et une évaluation de leur sécurité, puisque l'article 21, paragraphe 3, demande de tenir compte des vulnérabilités propres à chaque fournisseur.
Le plan se présente ensuite à la direction pour approbation, ce qui boucle avec l'étape 2 : c'est ce document daté et approuvé qui matérialise la responsabilité des dirigeants.
Étape 5 : préparer la notification des incidents
Les délais de l'article 23 (24 heures, 72 heures, un mois) ne se tiennent pas sans préparation : des critères de qualification d'un incident significatif écrits à l'avance, un registre des incidents, une chaîne de décision qui sait qui notifie, et des modèles prêts. Le directeur général de l'ANSSI a écarté en juillet 2026 un guichet unique de notification RGPD et NIS 2 (voir notre actualité) : la procédure interne doit donc embarquer le circuit ANSSI et le circuit CNIL de l'article 33 du RGPD dès la détection. Notre guide NIS 2 et RGPD détaille cette articulation, et notre guide sur la réaction à une violation de données rappelle le volet RGPD.
Étape 6 : prouver et maintenir la conformité
NIS 2 n'est pas un projet avec une date de fin. L'article 21, paragraphe 2, point f, exige des procédures pour évaluer l'efficacité des mesures : la conformité se démontre dans la durée. Quatre habitudes la rendent tenable :
- un dossier de preuves vivant, rangé par mesure, mis à jour à chaque clôture d'action ;
- une revue périodique de l'analyse d'écart, au moins annuelle, et après chaque incident majeur ou changement de périmètre ;
- des exercices : test de restauration, exercice de crise, simulation de notification ;
- la formation continue des équipes aux réflexes de cyberhygiène, qui figure elle-même parmi les mesures de l'article 21.
Ce dossier sert aussi au-delà du régulateur. Les entités soumises à NIS 2 vont exiger des garanties de leurs fournisseurs, et une organisation capable de produire ses preuves répond plus vite aux questionnaires de sécurité de ses clients.
Se faire accompagner sur NIS 2 : qui fait quoi
« Accompagnement NIS 2 » recouvre des métiers différents, qu'il vaut mieux ne pas confondre :
- Le conseil et l'audit. Un cabinet peut conduire l'analyse d'écart, l'analyse de risques ou un audit technique. L'ANSSI qualifie des prestataires selon des référentiels publics, par exemple les PACS pour l'accompagnement et le conseil en sécurité et les PASSI pour l'audit : c'est un critère de choix objectif.
- La remédiation technique. Déployer l'authentification multifacteur, durcir les configurations ou refaire les sauvegardes relève de la DSI et de ses intégrateurs.
- Le pilotage de la conformité. Tenir le plan d'action, collecter les preuves, suivre les fournisseurs et les incidents, rendre compte à la direction : c'est un travail quotidien, qui revient en interne une fois la mission de conseil terminée.
C'est sur ce troisième volet que le choix d'un outil compte. Un tableur suffit pour un diagnostic ponctuel ; il tient mal quand il faut assigner des actions à dix personnes, garder l'historique des preuves et présenter l'avancement au comité de direction chaque trimestre.
Outiller la démarche avec Leto
L'outil NIS 2 de Leto suit les étapes de cette méthode : qualification de l'entité, diagnostic des dix mesures de l'article 21, feuille de route assignée et suivie, évaluation des fournisseurs par questionnaires, analyse de risques selon la méthode EBIOS Risk Manager, registre des incidents avec les échéances de 24 heures, 72 heures et un mois. Pour les équipes qui utilisent déjà Leto pour le RGPD, les fournisseurs, les incidents et les formations sont suivis au même endroit, et les incidents qui appellent aussi une notification à la CNIL sont repérés. Leto ne remplace ni le RSSI ni un prestataire de sécurité : il structure la démarche et conserve les preuves.
Prêt à mesurer votre écart ? Découvrir l'outil de conformité NIS 2 de Leto.
Questions fréquemment posées
Quelles sont les principales obligations de NIS 2 ?
NIS 2 impose, à travers l'article 21, dix catégories de mesures de gestion des risques : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, et authentification multifacteurs. S'y ajoutent l'obligation de notification des incidents (article 23) et la formation des dirigeants (article 20).
Quelles sont les sanctions prévues par NIS 2 ?
Les entités essentielles risquent une amende administrative allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé s'appliquant. Les entités importantes risquent jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. S'y ajoutent des mesures de supervision (injonctions, publication des manquements) et, pour les entités essentielles, la suspension temporaire d'une autorisation ou des fonctions de direction.
Les dirigeants sont-ils personnellement responsables sous NIS 2 ?
Oui. NIS 2 engage la responsabilité personnelle des organes de direction : ils doivent approuver les mesures de gestion des risques, en superviser la mise en oeuvre et suivre une formation à la cybersécurité. En cas de manquement grave, leur responsabilité peut être recherchée, et l'autorité peut interdire temporairement à un dirigeant d'exercer ses fonctions de direction dans les cas les plus sérieux.
Quels sont les délais de notification d'un incident NIS 2 ?
La procédure se fait en trois temps auprès de l'ANSSI : une alerte précoce sous 24 heures, une notification avec évaluation initiale sous 72 heures, et un rapport final détaillé sous 1 mois. Ces délais concernent les incidents significatifs, c'est-à-dire ceux qui causent ou peuvent causer une perturbation grave des services ou des pertes financières importantes.
La formation à la cybersécurité est-elle obligatoire sous NIS 2 ?
Oui. L'article 20 impose aux organes de direction de suivre une formation à la cybersécurité afin de pouvoir comprendre et arbitrer les risques. La directive invite également les entités à proposer une formation régulière à leurs employés. C'est l'une des nouveautés de NIS 2, qui fait de la sensibilisation un sujet de gouvernance et non plus seulement une question technique.
NIS 2 et RGPD : les sanctions se cumulent-elles ?
Les deux régimes sont distincts et peuvent s'appliquer simultanément à un même incident. Une violation de données personnelles relève du RGPD (sanction jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, autorité CNIL), tandis qu'un incident affectant un service critique relève de NIS 2 (jusqu'à 10 millions d'euros, autorité ANSSI). Un même rançongiciel touchant des données clients peut donc déclencher les deux régimes en parallèle, avec des autorités et des délais différents.
Comment se mettre en conformité NIS 2 ?
La démarche suit six étapes : qualifier l'entité (essentielle ou importante) et son périmètre, installer la gouvernance exigée par l'article 20, mesurer l'écart aux dix mesures de l'article 21, bâtir un plan d'action priorisé et approuvé par la direction, préparer la notification des incidents de l'article 23, puis maintenir un dossier de preuves et réviser l'analyse au moins chaque année.
Combien de temps prend une mise en conformité NIS 2 ?
Il n'y a pas de durée réglementaire. L'analyse d'écart prend en général quelques semaines ; le plan d'action s'étale sur plusieurs trimestres selon la maturité de départ. Le directeur général de l'ANSSI a indiqué le 1er octobre 2026 que l'agence envisage d'exiger une conformité complète d'ici fin 2028, une intention qui reste à confirmer après le vote de la loi de résilience.
Qui peut accompagner une mise en conformité NIS 2 ?
Trois types d'acteurs interviennent : un cabinet de conseil ou d'audit pour le diagnostic et l'analyse de risques (l'ANSSI qualifie des prestataires, par exemple PACS et PASSI), la DSI et ses intégrateurs pour la remédiation technique, et une équipe interne outillée pour le pilotage dans la durée. Le choix dépend de la maturité de départ et des ressources disponibles.
Qu'est-ce que le ReCyF ?
Le Référentiel Cyber France est le référentiel mis à disposition par l'ANSSI le 17 mars 2026. Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2 et sert de grille naturelle pour l'analyse d'écart. Il a encore le statut de document de travail.
