La directive NIS 2 revient régulièrement dans les conversations. Beaucoup de dirigeants en ont entendu parler mais peu savent vraiment si elle les concerne, et encore moins ce qu'ils doivent faire. Voici le décryptage de Basilis.
NIS2, c'est quoi exactement ?
NIS2 (Directive 2022/2555) signifie Network and Information Systems Security. Son objectif : relever massivement le niveau de cybersécurité du tissu économique européen.
Jusqu'ici, la réglementation française en matière de cybersécurité ne visait qu'un nombre très restreint d'opérateurs, quelques centaines d'entités désignées individuellement par les pouvoirs publics. NIS2 change radicalement l'échelle : on passe d'une désignation au cas par cas à un assujettissement automatique basé sur des critères objectifs. Secteur d'activité + taille de l'entreprise = vous êtes dedans ou pas.
Qui est concerné ?
La directive couvre 18 secteurs, répartis en deux catégories :
- Secteurs hautement critiques : énergie, transports, banques, santé, eau potable, infrastructures numériques, administrations publiques…
- Secteurs critiques : industrie manufacturière, agroalimentaire, chimie, services postaux, gestion des déchets…
La taille de votre entreprise détermine ensuite votre statut :
- Entité essentielle : +250 salariés ou +50 M€ de CA, dans un secteur hautement critique.
- Entité importante : entre 50 et 250 salariés, entre 10 et 50 M€ de CA, secteur critique ou hautement critique.
- En dessous de 50 salariés / 10 M€ de CA : a priori hors scope, sauf dans le secteur du numérique, où certaines entités sont concernées quelle que soit leur taille.
Un point important sur le calendrier : la transposition en droit français n'est pas encore finalisée. Le projet de loi a passé le Sénat, attend l'Assemblée nationale. Pour le secteur des infrastructures numériques, un règlement d'exécution européen de 2024 rend les obligations déjà applicables. Pour les autres secteurs, les obligations s'appliqueront à l'entrée en vigueur de la loi de transposition.
Les trois obligations clés
À haut niveau, les entités assujetties devront :
- Déclarer un point de contact à l'ANSSI : ce qui permet à l'agence de les alerter en cas d'attaque détectée sur leurs systèmes.
- Gérer le risque numérique : avec l'ensemble des mesures de sécurité associées, incluant la gestion de la cybersécurité de leurs sous-traitants.
- Déclarer les incidents de sécurité à l'ANSSI : sur le même principe que les notifications à la CNIL en cas de fuite de données personnelles.
L'effet domino : pourquoi vous êtes probablement concerné même si vous ne l'êtes pas "officiellement"
C'est le point que beaucoup de PME sous-estiment.
Imaginons que vous fabriquez des capteurs pour des exploitants d'eau potable, ou que vous êtes sous-traitant d'un constructeur automobile. Vous faites moins de 50 salariés, donc NIS 2 ne vous vise pas directement.
Mais votre donneur d'ordre, lui, sera assujetti. Et NIS 2 l'oblige à gérer le risque numérique de sa chaîne d'approvisionnement. Concrètement : il va faire évoluer ses contrats pour intégrer des exigences de cybersécurité vis-à-vis de ses fournisseurs et prestataires. Vous serez impacté contractuellement, même sans être directement dans le scope réglementaire.
C'est l'effet cascade que NIS2 va déclencher sur l'ensemble de l'écosystème industriel et tech français.
Ce que ça veut dire pour vous maintenant
Que vous soyez entité essentielle, entité importante ou simple sous-traitant d'une entité assujettie, le message est le même : attendre la transposition officielle avant de bouger est une mauvaise stratégie.
Les mesures qu'exige NIS 2 (gestion des accès, cloisonnement des réseaux, suivi des vulnérabilités, gestion des sous-traitants, plan de continuité) sont exactement ce que les auditeurs et vos clients grands comptes vont vérifier demain. S'y conformer aujourd'hui, c'est à la fois réduire votre exposition réelle aux cyberattaques et transformer votre niveau de sécurité en argument commercial.
C'est précisément le positionnement que Basilis permet d'atteindre : automatiser la collecte de preuves de conformité, documenter vos contrôles en continu, et vous faire accompagner par un expert cyber quand ça compte, sans y passer 300 heures de votre roadmap.
La conformité NIS 2 n'est pas un centre de coût. C'est votre prochain argument pour signer vos clients Enterprise.