Ce que dit la directive européenne, l'état d'avancement en France, et les premières étapes concrètes pour savoir si votre entreprise est concernée.
La directive européenne NIS2 (Network and Information Security 2) relève sensiblement le niveau d'exigence en cybersécurité pour un grand nombre d'organisations en Europe — bien au-delà des seuls grands opérateurs déjà couverts par la première directive NIS. En France, sa mise en œuvre passe par un texte national encore en cours de finalisation : voici où en sont les choses et comment avancer sans attendre le dernier feu vert législatif.
Par rapport à la première directive NIS, NIS2 élargit fortement le périmètre des secteurs concernés (énergie, santé, transport, numérique, mais aussi administration publique, gestion des déchets, industrie manufacturière et bien d'autres) et introduit deux catégories d'organisations : les entités essentielles et les entités importantes, avec des obligations proportionnées à leur criticité. Le texte insiste particulièrement sur trois points : la responsabilité des dirigeants dans la gouvernance de la sécurité, la déclaration rapide des incidents significatifs aux autorités, et la sécurité de la chaîne d'approvisionnement (vos prestataires et sous-traitants font désormais partie du périmètre à sécuriser).
La transposition de NIS2 dans le droit français se fait via le projet de loi Résilience, qui couvre à la fois NIS2, DORA (résilience opérationnelle numérique pour la finance) et la directive CER (résilience des entités critiques). Le calendrier définitif d'adoption reste à confirmer — nous vous recommandons de suivre les publications officielles de l'ANSSI plutôt qu'une date figée, la matière évoluant régulièrement.
En attendant la version définitive du texte, l'ANSSI a mis à disposition le Référentiel Cyber France (ReCyF), qui liste les mesures de sécurité recommandées pour atteindre les objectifs fixés par NIS2. Ce référentiel n'est pas obligatoire en soi, mais les organisations qui s'y appuient dès maintenant pourront s'en prévaloir lors de futurs contrôles — c'est donc un excellent point de départ pour structurer une démarche de mise en conformité sans attendre.
Avec l'élargissement des secteurs couverts, beaucoup plus d'ETI et de PME qu'auparavant vont se retrouver dans le périmètre de NIS2 — directement, ou indirectement en tant que fournisseur d'une entité essentielle ou importante. L'ANSSI propose un outil d'auto-évaluation, MonEspaceNIS2, qui permet de se faire une première idée de son statut. C'est un bon point de départ, à confirmer ensuite avec un accompagnement dédié si le résultat est positif ou ambigu.
Anticiper dès maintenant évite de subir la mise en conformité dans l'urgence une fois le texte définitivement adopté — et c'est souvent, en soi, une bonne occasion de moderniser sa posture de sécurité.