NIS2

Les obligations NIS2, traduites en actions

Si votre entreprise est concernée, NIS2 attend trois choses : une direction impliquée, des mesures de gestion des risques et la notification des incidents importants.

Mis à jour le 29 octobre 2026

1. Une direction impliquée

Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. La cybersécurité n'est plus seulement un sujet informatique.

2. Des mesures de gestion des risques

La directive (article 21) liste au minimum les thèmes suivants :

Politiques de sécurité et analyse des risques

Savoir ce qui compte et fixer des règles simples.

Gestion des incidents

Détecter, réagir, limiter l'impact et apprendre.

Continuité d'activité et gestion de crise

Sauvegardes, plan de reprise, organisation de crise.

Sécurité de la chaîne d'approvisionnement

Maîtriser les risques liés aux fournisseurs et prestataires.

Sécurité des systèmes et gestion des vulnérabilités

Mises à jour, correctifs, configuration.

Évaluation de l'efficacité des mesures

Vérifier régulièrement que les protections fonctionnent.

Hygiène informatique et formation

Les bonnes pratiques de base et la sensibilisation des équipes.

Cryptographie et chiffrement

Protéger les données lorsque c'est pertinent.

Contrôle d'accès et gestion des actifs

Qui a accès à quoi, et l'inventaire de ce qu'il faut protéger.

Authentification multifacteur et communications sécurisées

MFA et canaux de communication protégés.

3. La notification des incidents importants

Les incidents « importants » au sens de la directive doivent être notifiés à l'autorité compétente selon un calendrier par étapes. Tous les incidents ne sont pas concernés : cela dépend de critères réglementaires précis. En France, les modalités exactes dépendront de la loi de transposition, encore en cours d'adoption à la date de mise à jour de cette page.

Et les sanctions ?

NIS2 prévoit des mécanismes de supervision et des sanctions, dont les plafonds sont fixés par chaque État membre dans le cadre défini par la directive. Plutôt que de raisonner en amendes, retenez ceci : les mesures demandées sont d'abord celles qui protègent votre activité.

Obligation, recommandation ou bonne pratique ?

Obligation légale : ce qu'impose un texte en vigueur (directive transposée, RGPD…).
Référentiel / recommandation : les guides de l'ANSSI, ISO 27001… utiles, mais pas des lois. Cas particulier : le Référentiel Cyber France (ReCyF) de l'ANSSI fixera les objectifs de sécurité obligatoires une fois la loi adoptée ; ses « moyens acceptables de conformité » resteront, eux, facultatifs.
Bonne pratique : ce qui améliore votre sécurité sans être juridiquement exigé.

Notre bilan distingue toujours ces trois niveaux.

Passez de la théorie à votre situation.

Cyber Score, risques et plan d'action en 15 minutes.

Démarrer mon bilan