Calendrier NIS2 en France : ou en sommes-nous ?
La directive europeenne NIS2 (Network and Information Security 2) a ete adoptee le 14 decembre 2022. Elle remplace la directive NIS1 de 2016, jugee insuffisante face a l'explosion des cybermenaces.
Les dates cles
| Date | Etape | Statut |
|---|---|---|
| 14 dec. 2022 | Adoption de la directive NIS2 par l'UE | Fait |
| 17 oct. 2024 | Date limite de transposition pour les Etats membres | Fait (retard FR) |
| 2025-2026 | Finalisation du cadre legislatif francais | En cours |
| Oct. 2026 | Date limite d'identification des entites essentielles et importantes | A venir |
| 2026-2027 | Debut des controles et sanctions par l'ANSSI | A venir |
Point cle : Meme si la transposition francaise a pris du retard, la directive est d'application directe sur certains aspects. Les entreprises ne doivent pas attendre la loi nationale pour se preparer.
Qui est concerne par NIS2 ?
NIS2 elargit considerablement le perimetre par rapport a NIS1. On passe d'environ 500 operateurs en France a potentiellement 15 000 a 20 000 entites concernees.
Les deux categories d'entites
Entites essentielles (EE)
Les grandes entreprises (250+ salaries ou 50M EUR+ de CA) dans les secteurs hautement critiques :
- Energie (electricite, gaz, petrole, hydrogene)
- Transport (aerien, ferroviaire, maritime, routier)
- Sante (hopitaux, laboratoires, fabricants de dispositifs medicaux)
- Eau potable et eaux usees
- Infrastructure numerique (DNS, IXP, cloud, datacenters)
- Administration publique
- Espace
Entites importantes (EI)
Les moyennes entreprises (50+ salaries ou 10M EUR+ de CA) dans les secteurs critiques supplementaires :
- Services postaux et d'expedition
- Gestion des dechets
- Industrie chimique
- Industrie alimentaire
- Fabrication (dispositifs medicaux, electronique, machines, vehicules)
- Fournisseurs de services numeriques (marketplaces, moteurs de recherche, reseaux sociaux)
- Recherche
Attention : Meme les entreprises de moins de 50 salaries peuvent etre concernees si elles sont designees comme critiques par les autorites nationales, ou si elles sont le seul fournisseur d'un service essentiel dans un Etat membre.
Les sanctions prevues par NIS2
C'est le volet qui fait le plus reagir les dirigeants. NIS2 s'inspire directement du RGPD en matiere de sanctions.
Tableau detaille des sanctions
| Type de manquement | Entites essentielles | Entites importantes |
|---|---|---|
| Amende maximale | 10 000 000 EUR ou 2% du CA mondial | 7 000 000 EUR ou 1,4% du CA mondial |
| Non-notification d'incident | Jusqu'a 10 000 000 EUR | Jusqu'a 7 000 000 EUR |
| Mesures de securite insuffisantes | Jusqu'a 10 000 000 EUR | Jusqu'a 7 000 000 EUR |
| Non-cooperation avec l'autorite | Sanctions renforcees + astreintes | Sanctions + astreintes |
| Responsabilite des dirigeants | Sanctions personnelles + interdiction d'exercer | Sanctions personnelles |
Au-dela des amendes : les mesures correctives
L'autorite nationale (l'ANSSI en France) peut egalement imposer :
- Injonctions de mise en conformite avec delais imperatifs
- Audits de securite obligatoires aux frais de l'entreprise
- Publication des sanctions (name and shame)
- Suspension temporaire de certifications ou autorisations
- Astreintes journalieres en cas de non-execution
Responsabilite personnelle des dirigeants : la grande nouveaute
C'est probablement le changement le plus significatif de NIS2 par rapport a NIS1. Pour la premiere fois, la directive europeenne engage directement la responsabilite des organes de direction.
Ce que cela implique concretement
- Obligation de formation : les dirigeants doivent suivre des formations en cybersecurite pour comprendre les risques
- Approbation des mesures : les organes de direction doivent formellement approuver les mesures de gestion des risques cyber
- Supervision active : les dirigeants doivent superviser la mise en oeuvre des mesures, pas simplement deleguer
- Sanctions personnelles : en cas de manquement grave, les dirigeants peuvent etre temporairement interdits d'exercer des fonctions de direction
En clair : Un dirigeant ne pourra plus dire "je ne savais pas" ou "c'est la faute du DSI". NIS2 impose une responsabilite au sommet de l'entreprise, comme c'est deja le cas pour les obligations comptables ou fiscales.
Comparaison NIS2 vs RGPD : comprendre les differences
NIS2 et le RGPD partagent une philosophie commune mais adressent des risques differents :
| Critere | RGPD | NIS2 |
|---|---|---|
| Objet | Protection des donnees personnelles | Securite des reseaux et systemes d'information |
| Entreprises concernees | Toutes (qui traitent des donnees perso) | Entites essentielles et importantes (par secteur et taille) |
| Amende maximale | 20M EUR ou 4% du CA mondial | 10M EUR ou 2% du CA mondial |
| Notification d'incident | 72 heures (CNIL) | 24h (alerte) + 72h (rapport) + 1 mois (final) |
| Autorite de controle | CNIL | ANSSI |
| Responsabilite dirigeants | Indirecte (via le DPO) | Directe et personnelle |
| Mesures imposees | Privacy by design, AIPD, registre | Analyse de risques, plan de continuite, gestion incidents |
Point important : Les deux reglementations sont cumulatives. Une fuite de donnees provoquee par un defaut de securite peut declencher des sanctions au titre du RGPD ET de NIS2 simultanement.
Comment se mettre en conformite : checklist en 7 etapes
La mise en conformite NIS2 est un projet structurant qui demande une approche methodique :
-
Determiner si vous etes concerne
Verifiez votre secteur d'activite, votre taille et votre chiffre d'affaires. En cas de doute, faites-vous accompagner par un expert. L'ANSSI publiera la liste des entites identifiees.
-
Realiser une analyse de risques
Cartographiez vos systemes d'information, identifiez les vulnerabilites et evaluez les impacts potentiels. Un audit de cybersecurite professionnel est fortement recommande.
-
Mettre en place les mesures de securite
NIS2 exige des mesures proportionnees : gestion des risques, securite de la chaine d'approvisionnement, chiffrement, controle d'acces, gestion des vulnerabilites.
-
Etablir un plan de gestion des incidents
Definissez les procedures de detection, de reponse et de notification. Testez-les regulierement avec des exercices de simulation.
-
Former les dirigeants et les equipes
NIS2 impose la formation des organes de direction. MTP Academy propose des formations cybersecurite certifiees Qualiopi adaptees aux dirigeants.
-
Preparer les procedures de notification
Mettez en place un processus permettant de notifier l'ANSSI sous 24 heures en cas d'incident significatif, puis un rapport detaille sous 72 heures.
-
Souscrire une assurance cyber
L'assurance cyber ne remplace pas la conformite, mais elle offre un filet de securite indispensable en cas d'incident revélant une non-conformite.
Comment l'assurance cyber protege face a NIS2
Si l'assurance cyber ne couvre pas directement les amendes administratives NIS2 (comme pour le RGPD), elle apporte une protection complementaire decisive :
- Defense juridique : prise en charge des frais d'avocats specialises en cas de procedure ANSSI
- Gestion de crise post-incident : experts forensics, communication de crise, restauration des systemes
- Conformite des notifications : assistance pour respecter les delais de notification (24h + 72h)
- Couverture des dommages : indemnisation des pertes d'exploitation et des dommages aux tiers resultant d'un incident
- Prevention : les meilleurs assureurs incluent des services d'amelioration continue de la posture cyber (scan, monitoring, formation)
Conseil MTP : Integrez l'assurance cyber dans votre strategie de conformite NIS2 des le debut. Le fait d'etre assure demontre une demarche proactive de gestion des risques, ce qui est valorise par les autorites de controle.
Conclusion : ne pas attendre pour agir
La directive NIS2 represente un changement de paradigme pour la cybersecurite des entreprises en France. Avec des sanctions pouvant atteindre 10 millions d'euros et une responsabilite personnelle des dirigeants, l'immobilisme n'est plus une option.
Les entreprises les mieux preparees seront celles qui auront anticipe : analyse de risques, mesures de securite, formation des equipes et assurance cyber. C'est l'approche globale que My Trust Partner preconise et accompagne.