NIS 2
La directive NIS 2 est le cadre réglementaire européen en matière de cybersécurité. Elle impose désormais à des milliers d’entreprises des obligations strictes pour sécuriser leurs systèmes d’information et garantir leur résilience face aux cyberattaques. Il est obligatoire de s’y conformé pour certaine entreprise, c’est pour cela qu’on parle de directive.
NIS2, la nouvelle obligation de cybersécurité
Elle remplace NIS 1 et fait passer le nombre d’entreprises concernées de quelques centaines à plus de 15 000 en France, réparties dans 18 secteurs d’activité. La directive distingue deux catégories selon votre taille et votre criticité :
– les entités essentielles (EE) : Une Grande entreprise opérant dans un secteur de l’Annexe I.
> Sanctions financières : Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel (le montant le plus élevé étant retenu).
– les entités importantes (EI) : Une moyenne entreprise dans l’Annexe I, ou toute entreprise (Moyenne ou Grande) dans l’Annexe II.
> Sanctions financières : Jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial annuel.
NIS 2 transforme la cybersécurité d’une simple contrainte technique en une obligation réglementaire et stratégique majeure pilotée directement par les directions d’entreprises.
Dans les deux cas, la responsabilité personnelle des dirigeants est engagée.
Qui est concerné par NIS 2 ?
Le critère général de taille
En règle générale, NIS 2 s’applique aux organisations de taille moyenne à grande :
Moyenne entreprise : De 50 à 249 salariés OU un chiffre d’affaires / bilan annuel supérieur à 10 millions d’euros.
Grande entreprise : Plus de 250 salariés OU un chiffre d’affaires supérieur à 50 millions d’euros (et bilan > 43 M€).
Annexe I : Secteurs hautement critiques
Énergie
- Électricité : Producteurs, gestionnaires de réseau de transport/distribution, fournisseurs, exploitants de points de charge.
- Pétrole : Exploitants d’oléoducs, de raffineries, d’installations de stockage et de production.
- Gaz : Fournisseurs, gestionnaires de réseaux de transport, de distribution et de stockage, exploitants de GNL.
- Hydrogène : Producteurs, stockeurs et transporteurs d’hydrogène.
- Chauffage et refroidissement urbain : Exploitants de réseaux de chaleur ou de froid.
Transports
- Aérien : Compagnies aériennes, gestionnaires d’aéroports, entités du contrôle du trafic aérien.
- Ferroviaire : Gestionnaires d’infrastructures, entreprises ferroviaires (fret et voyageurs).
- Maritime et fluvial : Compagnies de transport maritime/fluvial, gestionnaires de ports, services de trafic maritime.
- Routier : Autorités routières responsables du contrôle de la circulation, exploitants de systèmes de transport intelligents (STI).
Infrastructures des marchés financiers
- Exploitants de plateformes de négociation et contreparties centrales.
Secteur bancaire
- Établissements de crédit (banques).
Santé
-
Prestataires de soins de santé (hôpitaux, cliniques).
-
Laboratoires de référence de l’UE.
-
Entités réalisant des activités de recherche et développement de médicaments.
-
Fabricants de produits pharmaceutiques de base et de préparations pharmaceutiques.
-
Fabricants de dispositifs médicaux considérés comme critiques en cas d’urgence publique.
Eau potable
-
Fournisseurs et distributeurs d’eau destinée à la consommation humaine.
Eaux usées
-
Entreprises de collecte, d’évacuation, de traitement et d’épuration des eaux usées.
Infrastructures numériques
-
DNS & TLD :
Fournisseurs de services DNS, registres de noms de domaine de premier niveau (TLD). -
Cloud & Datacenters : Fournisseurs de services d’informatique en nuage (cloud) et exploitants de centres de données (data centers).
-
Réseaux de diffusion : Fournisseurs de réseaux de diffusion de contenu (CDN).
-
Services de confiance :
Prestataires de services de confiance (signature électronique, horodatage, etc.). -
Télécoms : Fournisseurs de réseaux ou de services de communications électroniques accessibles au public.
Gestion des services TIC (interentreprises – B2B)
-
MSP (Managed Service Providers) : Prestataires de services gérés.
-
MSSP (Managed Security Service Providers) : Prestataires de services de sécurité gérés.
Espace
-
Opérateurs d’infrastructures terrestres fournissant des services basés sur des moyens spatiaux.
Administration publique
-
Administrations publiques centrales (ministères, agences nationales).
-
Administrations publiques régionales (régions, départements, grandes collectivités selon la transposition nationale).
Annexe II : Autres secteurs critiques
Services postaux et d’expédition
- Prestataires de services postaux et de livraison de colis.
Gestion des déchets
- Entreprises de collecte, de transport, de valorisation et d’élimination des déchets (hors eaux usées).
Produits chimiques
- Entreprises de fabrication, de production et de distribution de substances et mélanges chimiques.
Alimentation
- Entreprises de production, de transformation et de distribution en gros de denrées alimentaires (y compris la grande distribution industrielle).
Industries manufacturières (Fabrication de matériel)
-
Dispositifs médicaux et dispositifs médicaux de diagnostic in vitro.
-
Produits informatiques, électroniques et optiques.
-
Équipements électriques.
-
Machines et équipements non classés ailleurs.
-
Véhicules automobiles, remorques et semi-remorques.
-
Autre matériel de transport (aéronautique, ferroviaire, naval).
Fournisseurs numériques
-
Marketplaces (places de marché en ligne).
-
Moteurs de recherche en ligne.
-
Plateformes de réseaux sociaux.
Recherche
- Organismes et centres de recherche (hors enseignement supérieur sauf s’ils mènent des activités de recherche critiques).
Certaines entités sont automatiquement soumises à NIS 2, même s’il s’agit de petites ou micro-entreprises :
– Infrastructures clés d’Internet : Fournisseurs DNS, registres TLD, prestataires de services de confiance.
– Télécoms : Fournisseurs de réseaux et services de communications électroniques publics.
Monopoles ou services critiques : Entités étant le seul fournisseur d’un service essentiel dans un État membre.
– Entités résilientes (REC) : Entités identifiées comme critiques au titre de la directive REC (UE 2022/2557).
– Opérateurs sous NIS 1 : Anciens Opérateurs de Services Essentiels (OSE).
Comment Basilis peut m’aider à obtenir NIS 2 ?
Chez Basilis, nous structurons votre mise en conformité autour des 4 piliers de la directive :
– Gouvernance : Implication et formation obligatoire des dirigeants, validation des mesures de sécurité
– Gestion des risques (Article 21) : Politiques de sécurité, contrôle des accès, chiffrement et continuité d’activité
– Notification des incidents (24h / 72h / 1 mois) : Alerte précoce, notification détaillée puis rapport final à l’ANSSI
– Chaîne d’approvisionnement : Évaluation et sécurisation de vos fournisseurs et sous-traitants
Vous souhaitez que notre équipe vous recontacte pour échanger par mail ou téléphone ?
Mon entreprise est-elle concernée par NIS 2 ?
Vous êtes concerné si votre entreprise compte plus de 50 salariés ou réalise plus de 10 millions d’euros de chiffre d’affaires, et opère dans l’un des 18 secteurs des Annexes I et II de la directive : énergie, transports, santé, infrastructures numériques, services postaux, agroalimentaire, industrie manufacturière, etc. Attention toutefois : certaines entités sont concernées quelle que soit leur taille (fournisseurs DNS, télécoms, prestataires de services de confiance). Et même si vous passez sous les seuils, vos clients soumis à NIS 2 vous demanderont des garanties de sécurité en tant que fournisseur. Notre diagnostic gratuit vous donne la réponse en 3 minutes.
Quelle est la différence entre entité essentielle (EE) et entité importante (EI) ?
La distinction repose sur votre taille et votre secteur. Une grande entreprise (250+ salariés ou 50 M€ de CA) d’un secteur de l’Annexe I est une entité essentielle ; une moyenne entreprise de l’Annexe I ou toute entreprise de l’Annexe II est une entité importante. La différence est concrète : les EE font l’objet d’une supervision proactive de l’ANSSI et risquent jusqu’à 10 M€ ou 2 % du CA mondial d’amende, contre une supervision a posteriori et 7 M€ ou 1,4 % pour les EI. Dans les deux cas, les obligations de fond (article 21) sont les mêmes et la responsabilité personnelle des dirigeants est engagée.
Je ne suis pas directement soumis à NIS 2. Pourquoi mes clients m’imposent-ils quand même des exigences de cybersécurité ?
C’est l’effet cascade de l’article 21 : la directive oblige les entités régulées à sécuriser leur chaîne d’approvisionnement, c’est-à-dire à évaluer et encadrer la sécurité de leurs fournisseurs et sous-traitants. Concrètement, un grand compte soumis à NIS 2 exigera de vous des preuves de sécurité (questionnaires, clauses contractuelles, certifications type ISO 27001) avant de signer ou de renouveler un contrat. Pour une PME fournisseur, la mise en conformité n’est donc plus une obligation réglementaire directe, mais une condition d’accès au marché.
Quels sont les délais de notification en cas d’incident de sécurité ?
NIS 2 impose trois échéances à compter de la détection d’un incident significatif : une alerte précoce à l’ANSSI sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final sous un mois. Tenir ces délais suppose d’avoir en amont une procédure de détection, de qualification et d’escalade documentée, c’est précisément ce que Basilis vous aide à structurer, avec des preuves collectées en continu pour reconstituer rapidement la chronologie d’un incident.
Par où commencer sa mise en conformité NIS 2 quand on part de zéro ?
Commencez par déterminer si et comment vous êtes concerné (catégorie EE/EI, secteur, taille), puis réalisez une analyse d’écarts entre vos pratiques actuelles et les exigences de l’article 21 : gouvernance, gestion des risques, notification d’incidents et sécurisation de la chaîne d’approvisionnement. Chez Basilis, cette évaluation initiale est automatisée par un scan de votre stack technique, complétée par la revue de notre Expert Cyber qui priorise votre plan de remédiation. Vous démarrez en moins de 48 heures, sans recruter de RSSI. Bon à savoir : si vous visez aussi l’ISO 27001, la majorité des contrôles sont mutualisables entre les deux référentiels.
La directive NIS 2 est-elle déjà applicable en France ?
Pas encore formellement : la loi de transposition française (dite « loi Résilience ») n’est pas promulguée à ce jour. Adoptée en première lecture au Sénat le 12 mars 2025, elle poursuit son parcours parlementaire, avec un examen en séance publique à l’Assemblée nationale attendu à l’été 2026, puis des décrets d’application et une période d’enregistrement des entités fin 2026. Mais attendre le vote serait une erreur : l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui structure 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes, c’est la feuille de route opérationnelle qui deviendra la base des contrôles. Le pré-enregistrement est également ouvert sur MonEspaceNIS2, la plateforme officielle de l’ANSSI, depuis novembre 2025. Une mise en conformité sérieuse prend plusieurs mois : les entreprises qui s’appuient dès maintenant sur le ReCyF prennent une longueur d’avance, celles qui attendent la promulgation subiront la tension sur le marché des experts et les premiers contrôles.
NIS 2 et ISO 27001 : quelle différence, et faut-il faire les deux ?
NIS 2 est une obligation réglementaire, ISO 27001 est une certification volontaire, mais les deux se recouvrent largement. NIS 2 impose un socle de sécurité aux entités désignées par la loi, sous le contrôle de l’ANSSI, sans délivrer de certificat. ISO 27001 est une démarche choisie, auditée par un organisme accrédité, qui produit un certificat reconnu internationalement. La bonne nouvelle : les exigences de l’article 21 de NIS 2 (gestion des risques, contrôle des accès, continuité d’activité, sécurisation des fournisseurs) correspondent en grande partie aux contrôles de l’Annexe A d’ISO 27001, et l’ANSSI a d’ailleurs publié un outil de comparaison permettant de mapper le ReCyF avec ISO 27001 et ISO 27002. Concrètement : si vous êtes soumis à NIS 2, viser ISO 27001 en parallèle transforme une contrainte réglementaire en certificat valorisable auprès de vos clients. Chez Basilis, les preuves collectées alimentent les deux référentiels simultanément.