La directive NIS2 (UE 2022/2555) est entrée en application en France le 1er octobre 2024 via la transposition portée par la loi REIA. Elle concerne environ 15 000 entités en France contre 500 sous NIS1, et impose 10 mesures techniques et organisationnelles à l’article 21. Cet article reprend chaque mesure avec ce que l’ANSSI attend concrètement, et propose une checklist d’audit utilisable telle quelle.
Êtes-vous concerné ? EE vs EI
NIS2 distingue deux statuts :
- Entité essentielle (EE) : grande entreprise (≥ 250 salariés ou ≥ 50 M€ CA) opérant dans un secteur de haute criticité de l’annexe I (énergie, transports, banque, santé, eau, infrastructures numériques, administrations publiques, espace, etc.)
- Entité importante (EI) : moyenne entreprise (≥ 50 salariés ou ≥ 10 M€ CA) dans l’annexe I ou II (postes, déchets, agroalimentaire, industrie manufacturière, fournisseurs numériques, recherche)
L’ANSSI fournit un simulateur officiel (« MonEspaceNIS2 ») depuis avril 2025 pour déterminer son statut. Sur les 60+ organisations que nous avons accompagnées sur le cadrage, 1 sur 3 ne se savait pas concernée.
Calendrier de mise en conformité
Les 10 mesures de l’article 21 décortiquées
L’article 21 §2 de NIS2 énumère 10 mesures minimales. Voici ce que chaque mesure recouvre concrètement, avec les preuves d’audit que l’ANSSI ou un OQA attendra.
(a) Politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information
Attendu : politique de sécurité formelle, analyse de risque cyber documentée (typiquement EBIOS RM), revue annuelle minimum.
Preuves : PSSI signée par le DG, analyse de risque datée < 12 mois, PV de revue.
(b) Gestion des incidents
Attendu : procédure de gestion d’incident incluant détection, classification, escalade, traitement, communication interne et externe, et retour d’expérience.
Preuves : procédure documentée, journal d’incidents des 12 derniers mois, exercices de gestion de crise.
(c) Continuité des activités (sauvegardes, PRA, PCA, gestion de crise)
Attendu : sauvegardes immuables et testées, PRA cible < RTO documenté, PCA exercé au moins une fois par an, dispositif de gestion de crise activable 24/7.
Preuves : derniers tests de restauration, scénarios d’exercice PCA, comptes rendus.
(d) Sécurité de la chaîne d’approvisionnement
Attendu : inventaire des fournisseurs critiques, clauses de sécurité dans les contrats, évaluation de leur posture, plan de réversibilité.
Preuves : liste fournisseurs critiques + niveau de criticité, questionnaire CAIQ ou équivalent renseigné, rapports d’audit fournisseurs.
(e) Sécurité dans l’acquisition, le développement et la maintenance
Attendu : intégration sécurité dans les projets (security by design), revue de code, tests d’intrusion avant mise en production, gestion des vulnérabilités.
Preuves : méthodologie SDLC documentée, rapports de pentest, suivi des vulnérabilités (SCA, SAST, DAST).
(f) Politiques et procédures permettant d’évaluer l’efficacité des mesures
Attendu : indicateurs (KPI/KRI) de la sécurité, audits internes et externes, plan d’amélioration continue.
Preuves : tableau de bord sécurité, derniers rapports d’audit, suivi des actions correctives.
(g) Pratiques d’hygiène informatique de base et formation à la cybersécurité
Attendu : sensibilisation annuelle de tous les collaborateurs, formations renforcées pour les profils à risque (DSI, admins, dirigeants), campagnes de phishing simulé.
Preuves : taux de complétion des formations, résultats des campagnes phishing simulé, e-learning à jour.
(h) Politiques et procédures relatives à l’utilisation de la cryptographie
Attendu : politique de chiffrement (en transit + au repos), gestion des clés conforme aux référentiels ANSSI (RGS, B1), inventaire des certificats.
Preuves : politique de chiffrement, inventaire certificats avec dates d’expiration, configuration TLS conforme.
(i) Sécurité des ressources humaines, politique de contrôle d’accès et gestion des actifs
Attendu : processus d’arrivée/départ (provisioning/deprovisioning), gestion des privilèges (PAM), inventaire des actifs (matériel + logiciel + cloud).
Preuves : procédure RH, configuration IAM/PAM, CMDB à jour.
(j) Authentification multifactorielle et sécurisation des communications
Attendu : MFA sur tous les accès externes ET sur les comptes à privilèges internes, communications sensibles chiffrées (vidéo, téléphonie, messagerie).
Preuves : taux de couverture MFA, configuration des outils de communication.
Obligation de notification d’incident (24h / 72h / 1 mois)
NIS2 impose un schéma de notification en trois temps via le CSIRT national (CERT-FR pour la France) :
À retenir : un incident est notifiable s’il est « significatif », c’est-à-dire s’il cause une indisponibilité opérationnelle grave OU s’il affecte d’autres entités. Le seuil exact dépend du secteur (acte d’exécution UE 2024/2690 pour les secteurs numériques notamment).
Sanctions : ce qui change vraiment
| Type d’entité | Sanction administrative maximale | Mesures complémentaires |
|---|---|---|
| Entité essentielle (EE) | 10 M€ ou 2 % du CA mondial annuel (le plus élevé) | Suspension d’activité, interdiction d’exercer pour le DG, audits forcés |
| Entité importante (EI) | 7 M€ ou 1,4 % du CA mondial | Audits forcés, injonctions, publication des manquements |
Point nouveau par rapport à NIS1 : la responsabilité personnelle des dirigeants est explicitement engagée (article 20 NIS2). Le DG peut être interdit d’exercice de fonctions de direction en cas de manquement grave.
Checklist d’audit prête à l’emploi
Bloc 1 — Gouvernance (a, f)
- PSSI signée par le DG, version < 2 ans
- Analyse de risque EBIOS RM ou ISO 27005 datée < 12 mois
- Comité sécurité trimestriel avec PV
- Indicateurs sécurité (KPI/KRI) suivis mensuellement
- Plan d’audit pluriannuel, dernier rapport disponible
Bloc 2 — Incident et continuité (b, c)
- Procédure de gestion d’incident formalisée
- Astreinte sécurité 24/7 ou contrat MSSP équivalent
- Sauvegardes immuables testées au moins trimestriellement
- RTO/RPO documentés par valeur métier
- Exercice PCA annuel avec rapport et plan d’action
Bloc 3 — Tiers et achats (d)
- Cartographie des fournisseurs critiques avec niveau de criticité
- Clauses de sécurité standard intégrées aux contrats
- Évaluation annuelle des fournisseurs critiques (CAIQ ou audit)
- Plan de réversibilité pour les services SaaS critiques
Bloc 4 — Technique (e, h, i, j)
- MFA sur 100 % des accès externes
- MFA sur 100 % des comptes à privilèges
- EDR déployé sur 95 %+ du parc
- Gestion des vulnérabilités avec SLA documentés
- Inventaire des certificats avec alertes d’expiration
- SDLC sécurisé avec revue de code et SAST
Bloc 5 — Humain (g)
- Module e-learning sécurité obligatoire pour 100 % des collaborateurs
- Au moins 2 campagnes de phishing simulé par an
- Formation renforcée pour DSI, admins, COMEX
- Sensibilisation à l’arrivée (intégration dans l’onboarding RH)
NIS2 ne révolutionne pas la cybersécurité d’entreprise — elle systématise des bonnes pratiques connues. Ce qui change vraiment, c’est l’élargissement du périmètre, le caractère personnel des sanctions et l’obligation de notification en 24h. Préparez l’organisationnel avant le technique.
Recommandation
Si vous démarrez : commencez par les blocs 1 (gouvernance) et 2 (incident/continuité). Ce sont les seuls qui demandent un investissement temps important. Les blocs 3 à 5 se résolvent surtout avec du budget outillage et de la discipline opérationnelle. Visez d’être « conforme dans l’esprit » d’ici fin 2025 et « conforme dans la lettre » d’ici mi-2026.
