Directive (UE) 2022/2555
En cours de transposition en France : les obligations ne sont pas encore exigibles, mais la préparation est engagée.
Statut réglementaire vérifié le . Source : ANSSI, page consacrée à la directive NIS 2.
Accompagnement NIS2 : périmètre des entités assujetties, obligations de notification et sanctions
Un accompagnement NIS2 commence par une question de périmètre, et elle n'est pas triviale. La directive (UE) 2022/2555 est entrée en vigueur le 16 janvier 2023 et devait être transposée au plus tard le 17 octobre 2024. Elle élargit considérablement le champ de la directive (UE) 2016/1148 qu'elle abroge, et engage personnellement les organes de direction. Sila détermine si votre entité est essentielle, importante ou hors champ, puis construit le dispositif correspondant.
Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Qui est assujetti
L'assujettissement combine deux critères : le secteur d'activité et la taille de l'entité. L'annexe I énumère les secteurs hautement critiques, dont l'énergie, les transports, les banques, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC en mode interentreprises, l'administration publique et l'espace. L'annexe II énumère d'autres secteurs critiques, dont les services postaux et d'expédition, la gestion des déchets, la fabrication et la distribution de produits chimiques, la production et la distribution de denrées alimentaires, la fabrication, les fournisseurs numériques et la recherche.
L'article 2.1 retient par principe les entités qui dépassent les plafonds des moyennes entreprises au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui atteignent ces plafonds. L'article 3 opère ensuite la répartition entre les deux régimes.
Entités essentielles, article 3.1
Entités relevant des secteurs de l'annexe I qui dépassent les plafonds des moyennes entreprises, soit plus de 250 salariés, ou un chiffre d'affaires annuel supérieur à 50 millions d'euros et un total de bilan annuel supérieur à 43 millions d'euros. S'y ajoutent, indépendamment de leur taille, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les prestataires de services de confiance qualifiés et certaines entités désignées par les États membres.
Entités importantes, article 3.2
Entités relevant des annexes I ou II qui ne sont pas qualifiées d'essentielles, c'est-à-dire principalement les moyennes entreprises : au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan annuel supérieurs à 10 millions d'euros.
Application indépendante de la taille, article 2.2
Certaines entités relèvent de la directive quelle que soit leur taille, notamment les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public, les prestataires de services de confiance, et les entités uniques en leur genre dans un État membre pour un service essentiel ou dont la perturbation pourrait avoir une incidence importante sur la sécurité publique, la sûreté publique ou la santé publique.
Compétence territoriale, article 26
Une entité relève en principe de l'État membre où elle est établie. Les fournisseurs de services DNS, registres de noms de domaine, fournisseurs de services d'informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés, de places de marché en ligne, de moteurs de recherche et de plateformes de réseaux sociaux relèvent de l'État membre de leur établissement principal dans l'Union. S'ils ne sont pas établis dans l'Union mais y offrent des services, l'article 26.3 leur impose de désigner un représentant dans l'Union.
Obligations concrètes et délais de notification
L'article 21 impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche tous risques. L'article 21.2 en énumère dix, dont les politiques d'analyse des risques et de sécurité des systèmes d'information, la gestion des incidents, la continuité des activités et la gestion des crises, la sécurité de la chaîne d'approvisionnement, la sécurité de l'acquisition et de la maintenance, les procédures d'évaluation de l'efficacité des mesures, les pratiques de cyberhygiène et la formation, la cryptographie et le chiffrement, la sécurité des ressources humaines et la gestion des accès, et l'authentification à plusieurs facteurs.
L'article 20 engage les organes de direction : ils approuvent les mesures de gestion des risques, supervisent leur mise en œuvre, peuvent être tenus responsables de leur violation, et sont tenus de suivre une formation régulière en la matière.
Alerte précoce sous 24 heures, article 23.4 a
L'entité transmet au CSIRT ou à l'autorité compétente une alerte précoce sans retard injustifié et en tout état de cause dans les 24 heures suivant la prise de connaissance de l'incident important, en indiquant notamment si l'incident est suspecté d'être causé par des actes illicites ou malveillants, ou s'il peut avoir un impact transfrontière.
Notification d’incident sous 72 heures, article 23.4 b
Sans retard injustifié et en tout état de cause dans les 72 heures suivant la prise de connaissance de l'incident important, l'entité transmet une notification actualisant l'alerte précoce, comportant une évaluation initiale de l'incident, de sa gravité, de son impact et, le cas échéant, des indicateurs de compromission.
Rapport intermédiaire et rapport final, article 23.4 c et d
Un rapport intermédiaire est transmis à la demande du CSIRT ou de l'autorité compétente. Un rapport final est transmis au plus tard un mois après la notification d'incident, décrivant notamment la gravité et l'impact de l'incident, le type de menace ou la cause profonde, les mesures d'atténuation appliquées et en cours, et le cas échéant l'impact transfrontière.
Définition de l'incident important, article 23.3
Un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité concernée, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.
Sanctions et autorité compétente
L'article 34 fixe les plafonds des amendes administratives, en retenant dans les deux cas le montant le plus élevé entre la somme forfaitaire et le pourcentage du chiffre d'affaires annuel mondial.
L'article 32 dote les autorités, à l'égard des entités essentielles, de pouvoirs de supervision étendus : inspections sur place, audits de sécurité ciblés, demandes d'informations, et possibilité de suspendre temporairement une certification ou une autorisation ou de demander l'interdiction temporaire d'exercer des fonctions de direction. L'article 33 organise un régime a posteriori pour les entités importantes, l'autorité intervenant lorsqu'elle est informée d'un manquement.
Entités essentielles, article 34.4 : 10 000 000 EUR ou 2 %
Amende administrative d'un montant maximal s'élevant à au moins 10 000 000 EUR ou à au moins 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité essentielle appartient, le montant le plus élevé étant retenu.
Entités importantes, article 34.5 : 7 000 000 EUR ou 1,4 %
Amende administrative d'un montant maximal s'élevant à au moins 7 000 000 EUR ou à au moins 1,4 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité importante appartient, le montant le plus élevé étant retenu.
Responsabilité des dirigeants, articles 20.1 et 32.6
Les organes de direction peuvent être tenus responsables de la violation des obligations de l'article 21. L'article 32.6 permet en outre à l'autorité compétente de demander l'interdiction temporaire d'exercer des fonctions dirigeantes au sein de l'entité essentielle concernée, à l'encontre de toute personne exerçant des responsabilités dirigeantes au niveau de directeur général ou de représentant légal, en cas de manquement persistant.
Pourquoi engager la préparation maintenant
Les obligations ne sont pas encore exigibles en droit français. Il existe pourtant trois raisons, toutes vérifiables dans le texte lui-même, de ne pas attendre la publication des décrets pour s'y mettre.
La chaîne d'approvisionnement répercute déjà les exigences par contrat
L'article 21.2, point d, impose aux entités assujetties de traiter la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité des relations entre chaque entité et ses fournisseurs ou prestataires directs. L'article 41 fixait au 17 octobre 2024 l'échéance de transposition pour l'ensemble des États membres. Une entreprise dont un client est assujetti dans un État membre où la transposition est intervenue voit donc ces exigences arriver par la voie contractuelle, indépendamment de l'état du droit français. Le fournisseur n'est pas assujetti ; son client l'est, et lui répercute l'obligation.
Les mesures demandées ne se mettent pas en place dans un délai court
L'article 21.2 énumère dix catégories de mesures, qui ne relèvent pas du paramétrage technique : politiques d'analyse des risques, gestion des incidents, continuité d'activité et gestion des sauvegardes, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition et du développement, procédures d'évaluation de l'efficacité, pratiques d'hygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification à plusieurs facteurs. L'article 20 y ajoute l'approbation de ces mesures par les organes de direction et une obligation de formation à leur charge. L'article 23 suppose enfin une procédure écrite désignant à l'avance qui qualifie l'incident et qui notifie, faute de quoi le délai de vingt-quatre heures ne peut être tenu.
Les mesures recoupent celles du RGPD et de DORA
Les mesures de sécurité de l'article 21 recoupent celles que l'article 32 du règlement (UE) 2016/679 impose déjà à tout responsable de traitement, et la procédure de notification de l'article 23 doit de toute façon être articulée avec celle de l'article 33 du RGPD, dont les délais et l'autorité diffèrent. Pour les entités financières, l'article 4 de la directive écarte ses propres obligations de gestion des risques et de notification au profit du règlement (UE) 2022/2554, qui impose des exigences équivalentes. Le travail engagé aujourd'hui sur l'un de ces régimes sert donc les autres, et l'ordonner en une seule fois coûte moins que de le reprendre trois fois.
Intervention de Sila : analyse d'écart et accompagnement NIS2
La première question est celle du périmètre, et elle n'est pas triviale : elle croise le rattachement sectoriel aux annexes I et II, les seuils de taille de l'article 2.1 appréciés au niveau du groupe le cas échéant, les cas d'application indépendante de la taille de l'article 2.2, et la compétence territoriale de l'article 26 pour les entités multi-établissements ou non établies dans l'Union.
Vient ensuite l'écart entre le dispositif existant et les dix mesures de l'article 21.2, avec une attention particulière à la sécurité de la chaîne d'approvisionnement de l'article 21.2 d, qui impose de répercuter des exigences sur les fournisseurs et prestataires directs et donc de reprendre la documentation contractuelle.
Enfin, la procédure de notification : qualification de l'incident important au sens de l'article 23.3, chaîne de décision permettant de tenir le délai de 24 heures, modèles d'alerte précoce, de notification à 72 heures et de rapport final à un mois, et articulation avec la notification de violation de données de l'article 33 du règlement (UE) 2016/679 lorsque l'incident emporte les deux qualifications.
Un mot sur l'état du droit français, parce qu'il commande le calendrier. La directive est en cours de transposition en France : les obligations ne sont pas encore exigibles, mais la préparation est engagée. À la date de vérification indiquée en tête de page, le texte porté devant le Parlement, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, est encore désigné par l'ANSSI comme un projet de loi, et les décrets d'application ne sont pas publiés.
La préparation, elle, est bien engagée du côté de l'autorité. L'ANSSI diffuse depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui correspond au référentiel de cybersécurité mentionné à l'article 14 de ce projet. Il est publié en tant que document de travail et présenté comme par défaut non obligatoire : une entité qui anticipe dispose donc déjà du document de référence sur lequel s'appuyer.
Deux conséquences pratiques. Les modalités d'enregistrement, l'autorité à saisir et le régime de sanction interne dépendent de textes non encore publiés : une mise en conformité conduite aujourd'hui porte sur ce que la directive impose par elle-même, et reste révisable sur les points que la transposition fixera. Et Sila ne chiffre aucune échéance nationale, ne prétend pas connaître des seuils qui ne sont pas arrêtés, et n'avance aucune date prévisionnelle de promulgation.
La méthode, en quatre étapes
01Diagnostic d'écart
Détermination du champ d'application du texte à l'activité réelle, puis comparaison entre ce que le texte impose et ce qui existe déjà dans l'organisation. Le diagnostic conclut sur une liste d'écarts hiérarchisés par exposition, non sur une note globale. Une organisation hors champ le sait à l'issue de cette étape, et la mission s'arrête là.
02Cartographie
Recensement de ce sur quoi porteront les mesures : traitements et flux de données, systèmes, prestataires, contrats en cours, rôles et responsabilités. La cartographie est le document de travail commun à toute la suite de la mission, et c'est elle qui est opposable en cas de contrôle.
03Mesures techniques et organisationnelles
Mise en œuvre des mesures que la cartographie a rendues nécessaires : procédures internes, politiques, clauses contractuelles à renégocier avec les prestataires, arbitrages de gouvernance, et formation des personnes concernées. Les mesures techniques relevant du système d'information sont spécifiées par Sila et mises en œuvre par vos équipes ou votre prestataire.
04Dossier de preuves
Constitution du dossier opposable à l'autorité de contrôle : registres, analyses d'impact, politiques datées et versionnées, traces de décision, preuves de formation. La conformité ne se démontre pas par l'absence d'incident mais par la production de ce dossier, ce qui suppose qu'il soit tenu à jour après la fin de la mission.
Devis personnalisé sous 48 h
Le périmètre d'une mission ne se devine pas : il dépend de votre assujettissement, du nombre de traitements, de systèmes et de contrats concernés, et de ce qui existe déjà dans votre organisation. Aucun montant n'est donc affiché sur ce site.
La démarche commence par un échange de cadrage, sans frais et sans engagement, destiné à délimiter ce sur quoi la mission portera. Un devis personnalisé vous est adressé sous 48 h, détaillant le périmètre, les livrables et le montant.
Questions fréquentes
Quelles entreprises sont concernées par la directive NIS2 ?
La directive (UE) 2022/2555 vise les entités relevant des secteurs hautement critiques de l'annexe I et des autres secteurs critiques de l'annexe II qui atteignent ou dépassent les plafonds des moyennes entreprises au sens de l'article 2.1. Sont qualifiées d'essentielles au titre de l'article 3.1 les entités de l'annexe I dépassant 250 salariés, ou 50 millions d'euros de chiffre d'affaires annuel et 43 millions d'euros de total de bilan ; sont importantes au titre de l'article 3.2 les autres, à partir de 50 salariés ou de 10 millions d'euros de chiffre d'affaires et de total de bilan. L'article 2.2 soumet en outre certaines entités à la directive indépendamment de leur taille.
Dans quel délai un incident doit-il être notifié au titre de NIS2 ?
L'article 23.4 de la directive (UE) 2022/2555 impose trois échéances : une alerte précoce au CSIRT ou à l'autorité compétente dans les 24 heures suivant la prise de connaissance de l'incident important ; une notification d'incident comportant une évaluation initiale de sa gravité et de son impact dans les 72 heures ; un rapport final au plus tard un mois après la notification d'incident. Un rapport intermédiaire peut être demandé dans l'intervalle par le CSIRT ou l'autorité compétente.
Quelles sanctions la directive NIS2 prévoit-elle ?
L'article 34 de la directive (UE) 2022/2555 impose aux États membres de prévoir, pour les entités essentielles, des amendes administratives d'un montant maximal s'élevant à au moins 10 000 000 EUR ou à au moins 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité appartient, le montant le plus élevé étant retenu ; et, pour les entités importantes, à au moins 7 000 000 EUR ou à au moins 1,4 % du même chiffre d'affaires, le montant le plus élevé étant retenu.
Les dirigeants peuvent-ils être tenus personnellement responsables au titre de NIS2 ?
Oui. L'article 20.1 de la directive (UE) 2022/2555 prévoit que les organes de direction approuvent les mesures de gestion des risques en matière de cybersécurité, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation ; l'article 20.2 leur impose de suivre une formation régulière. L'article 32.6 permet en outre à l'autorité compétente, en cas de manquement persistant d'une entité essentielle, de demander l'interdiction temporaire d'exercer des fonctions dirigeantes à l'encontre de toute personne exerçant des responsabilités au niveau de directeur général ou de représentant légal.
Une entreprise non établie dans l'Union européenne peut-elle relever de NIS2 ?
Oui pour les catégories visées à l'article 26.1 b de la directive (UE) 2022/2555, notamment les fournisseurs de services d'informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés, de places de marché en ligne, de moteurs de recherche et de plateformes de réseaux sociaux. L'article 26.3 impose alors à l'entité qui offre des services dans l'Union sans y être établie de désigner un représentant établi dans l'un des États membres où elle offre ses services, ce qui la place sous la compétence de cet État membre.
Aller plus loin sur une question précise
Le croisement du secteur et de la taille, les entités visées indépendamment de leur taille, et pourquoi la différence entre les deux catégories porte sur le contrôle plus que sur les obligations.
NIS2 : entité essentielle ou importante ?Ce qui fait qu'un incident est « important » au sens de l'article 23.3, la séquence alerte précoce / notification / rapport final, et les deux notifications distinctes que déclenche un incident touchant des données personnelles.
NIS2 : alerte précoce 24 h et notification d’incidentCe que ce régime déclenche ailleurs
L'article 4 de la directive (UE) 2022/2555 écarte l'application de ses obligations de gestion des risques et de notification lorsqu'un acte sectoriel de l'Union impose des exigences au moins équivalentes. Pour les entités financières visées à l'article 2 du règlement (UE) 2022/2554, c'est DORA qui s'applique à ce titre.
Distinguer NIS2 de DORA pour une entité financièreUn incident de cybersécurité portant sur des données personnelles ouvre deux notifications distinctes, à deux autorités, dans deux délais. La procédure interne doit prévoir les deux, faute de quoi le délai de 24 heures est mécaniquement manqué.
Articuler la notification NIS2 et la notification RGPDL'annexe III, point 2, du règlement (UE) 2024/1689 classe à haut risque les systèmes d'IA destinés à être utilisés comme composants de sécurité dans la gestion et l'exploitation des infrastructures numériques critiques.
Qualifier un système d'IA dans une infrastructure critiqueTextes de référence
Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.