Entrée en vigueur de la directive (UE) 2022/2555 (NIS2). Elle remplace la directive initiale sur la sécurité des réseaux et de l’information (directive (UE) 2016/1148), qui était en vigueur depuis 2016 mais dont la mise en œuvre au niveau national s’était avérée fragmentée.
Directive relative à la sécurité des réseaux et de l'information (NIS2)
La directive NIS2 impose aux moyennes et grandes entreprises de 18 secteurs de l’UE de mettre en œuvre une gestion documentée des risques liés à la cybersécurité, de rendre les organes de direction personnellement responsables et de signaler les incidents de sécurité majeurs aux autorités nationales dans des délais stricts. Les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Prochaine échéance pertinente :
30 juin 2026 : les entités essentielles de plusieurs États membres de l’UE doivent réaliser leur premier audit formel de conformité à la directive NIS2.
Les obligations de fond de la directive NIS 2, notamment en matière de gestion des risques, de gouvernance, de sécurité de la chaîne d’approvisionnement et de signalement des incidents, s’appliquent à compter de la date d’entrée en vigueur de la loi nationale de transposition de chaque État membre. Pour la plupart des pays de l’UE, cette date est déjà passée.
Le 30 juin 2026 marque le premier contrôle de conformité officiel pour les entités essentielles de plusieurs États membres : les autorités compétentes vérifient si les structures de gouvernance sont documentées, si les évaluations des risques sont complètes et si les processus de réponse aux incidents sont opérationnels.
Les entités essentielles sont soumises à une surveillance proactive (ex ante) au titre de la directive NIS 2, ce qui signifie que les autorités peuvent lancer des demandes d’audit sans attendre qu’un incident se produise ou qu’un manquement soit constaté. Les entités importantes font l’objet d’une surveillance réactive, mais sont soumises aux mêmes obligations de fond dès le jour de l’entrée en vigueur de la loi nationale de transposition.
Calendrier de la réglementation
Ce qu’exige le règlement
La directive NIS2 (directive (UE) 2022/2555) est entrée en vigueur le 16 janvier 2023, la date limite de transposition par les États membres étant fixée au 17 octobre 2024. La directive s’applique aux moyennes et grandes entreprises de 18 secteurs.
Les entités essentielles sont généralement des organisations appartenant aux secteurs de l’annexe I, notamment l’énergie, les transports, la santé et les infrastructures numériques, comptant au moins 250 salariés ou dont le chiffre d’affaires annuel est supérieur à 50 millions d’euros et le total du bilan supérieur à 43 millions d’euros.
Les entités importantes sont généralement des organisations des secteurs visés à l’annexe I ou à l’annexe II, notamment l’industrie manufacturière, l’agroalimentaire et l’industrie chimique, comptant au moins 50 salariés ou dont le chiffre d’affaires annuel est supérieur à 10 millions d’euros et le total du bilan supérieur à 10 millions d’euros.
Ces deux catégories sont soumises aux mêmes obligations fondamentales : une gestion documentée des risques tous azimuts et des mesures techniques de sécurité ; un processus de signalement des incidents en trois étapes (alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d’un mois) ; et la responsabilité personnelle des instances de direction. Les organisations doivent également évaluer et gérer les risques de cybersécurité émanant de leurs fournisseurs et prestataires de services susceptibles d’affecter la sécurité de leurs informations.
Défis courants liés à la mise en œuvre de la directive NIS2
La détermination du champ d’application dépend de l’ensemble des activités économiques, et non du seul secteur primaire
Une entreprise dont le secteur d’activité principal ne relève pas du champ d’application de la directive NIS2 peut néanmoins être concernée si une activité secondaire (telle que l’exploitation d’un centre de données pour les entités du groupe) relève d’un secteur couvert. Pour les groupes internationaux disposant d’entités juridiques dans plusieurs États membres de l’UE, chaque entité doit faire l’objet d’une évaluation distincte du champ d’application, et l’autorité de contrôle compétente, la procédure d’enregistrement et le cycle d’audit varient selon la juridiction.
Les obligations de gouvernance de la directive NIS 2 vont au-delà des cadres informatiques existants
La directive NIS2 rend les organes de direction personnellement responsables de l’approbation et de la supervision des mesures de gestion des risques liés à la cybersécurité. Les organisations doivent définir des rôles et des lignes hiérarchiques en matière de cybersécurité, obtenir l’approbation formelle de la direction pour les décisions relatives au traitement des risques, et disposer de preuves documentées attestant que l’organe de direction reçoit régulièrement des comptes rendus sur la cybersécurité.
Les données de sécurité provenant de tiers sont rarement consolidées ou structurées
La directive NIS2 impose aux organisations d’évaluer et de gérer les fournisseurs et prestataires de services ayant accès à leurs systèmes d’information ou exerçant une influence sur ceux-ci. L’identification des fournisseurs concernés, la collecte de preuves de sécurité structurées et la réalisation d’évaluations récurrentes nécessitent des processus et des outils que les configurations ERP et d’approvisionnement existantes ne fournissent généralement pas.
Les mises en œuvre nationales de la directive NIS2 varient considérablement d’un État membre à l’autre
La directive NIS2 est une directive : les obligations fondamentales sont cohérentes dans toute l’UE, mais les modalités de mise en œuvre nationales varient considérablement.
La loi de transposition allemande est entrée en vigueur le 6 décembre 2025, avec une date limite d’enregistrement fixée au 6 mars 2026 ; les exigences belges sont en vigueur depuis octobre 2024 ; les premières échéances opérationnelles de l’Italie pour l’adoption des mesures de sécurité sont prévues en octobre 2026.
Conformité structurée à la NIS2 dans tous les domaines concernés
osapiens HUB for NIS2 met en correspondance les obligations de la directive NIS2 avec des processus structurés qui s’appuient directement sur les données relatives aux fournisseurs et aux entités déjà présentes dans osapiens HUB for Supplier Intelligence.
Identifier le périmètre de la norme NIS2, réaliser des évaluations structurées et suivre l'avancement de la mise en œuvre pour chaque obligation
Les questionnaires NIS2 prédéfinis sont envoyés aux fournisseurs concernés, accompagnés de notes de risque attribuées par l’IA et d’alertes automatisées issues d’une veille médiatique continue. Les profils fournisseurs créés dans le cadre de la diligence raisonnable CSDDD sont directement réutilisés pour les évaluations des risques liés aux tiers au titre de la directive NIS2, sans qu’il soit nécessaire de mettre en place un processus distinct d’engagement des fournisseurs.
Gérer les incidents grâce à des workflows standardisés et générer des rapports prêts à être audités
osapiens HUB for NIS2 fournit des modèles de politiques couvrant la gouvernance, la gestion des incidents, la gestion des vulnérabilités et les exigences de sécurité des fournisseurs. Les incidents significatifs sont recensés et gérés via des workflows standardisés qui génèrent les informations structurées nécessaires pour respecter les trois étapes du processus de notification des incidents.
Afficher l’état de conformité à la directive NIS2 dans le « Reporting Cockpit », aux côtés de toutes les autres obligations réglementaires
Les évaluations des risques, les décisions de traitement, les évaluations des fournisseurs et les enregistrements d’incidents sont stockés avec une traçabilité complète et un contrôle des versions. L’état des risques et de la conformité NIS2 s’affiche dans le « Reporting Cockpit » pour les rapports destinés à la direction et aux autorités de surveillance, sans extraction manuelle des données depuis l’osapiens HUB.
RESSOURCES SUPPLÉMENTAIRES SUR LA DIRECTIVE NIS2
Foire aux questions (FAQ)
La directive NIS2 s'applique aux moyennes et grandes entreprises de 18 secteurs, répartis dans deux annexes.
Les entités essentielles sont généralement des organisations appartenant aux secteurs de l’annexe I, notamment l’énergie, les transports, la santé, le secteur bancaire et les infrastructures numériques, comptant au moins 250 salariés ou dont le chiffre d’affaires annuel est supérieur à 50 millions d’euros et le total du bilan supérieur à 43 millions d’euros. Les entités importantes sont généralement des organisations appartenant aux secteurs de l’annexe I ou de l’annexe II, notamment l’industrie manufacturière, l’industrie chimique, la production alimentaire, les services postaux et la recherche, comptant au moins 50 salariés ou dont le chiffre d’affaires annuel est supérieur à 10 millions d’euros et le total du bilan supérieur à 10 millions d’euros.
Certaines organisations sont toujours classées comme entités essentielles, quelle que soit leur taille, notamment les prestataires de services de confiance qualifiés, les prestataires de services DNS et les entités identifiées comme infrastructures critiques au titre de la directive relative à la résilience des entités critiques (directive (UE) 2022/2557). Les entreprises non européennes fournissant des services au sein de l’UE peuvent également entrer dans le champ d’application en fonction de leurs activités et de la législation nationale de transposition applicable.
La directive NIS2 fixe des plafonds d’amendes que les États membres sont tenus d’appliquer. Les entités essentielles s’exposent à des amendes pouvant atteindre 10 millions d’euros ou 2 % de leur chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les entités importantes s’exposent à des amendes pouvant atteindre 7 millions d’euros ou 1,4 % de leur chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà des amendes, les autorités compétentes peuvent émettre des instructions contraignantes, ordonner des audits de sécurité aux frais de l’entité, suspendre des certifications ou des autorisations, et interdire temporairement à des dirigeants d’exercer des fonctions de gestion. Les organes de direction sont personnellement responsables des infractions en vertu de l’article 20. La directive exige que les sanctions soient efficaces, proportionnées et dissuasives ; l’intensité et la priorité de l’application varient selon les États membres.
L’article 21 impose aux organisations concernées de mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques » couvrant les cyberattaques, les menaces physiques, l’erreur humaine et les risques environnementaux. Dans la pratique, cela implique un SMSI documenté comprenant des évaluations régulières des risques ; la sécurité des réseaux, les contrôles d’accès et la gestion des actifs ; des processus d’identification et de correction des vulnérabilités ; des procédures de sauvegarde et de reprise ; une planification de la continuité des activités alignée sur la gestion des incidents de sécurité ; des formations obligatoires en cybersécurité pour la direction et le personnel ; ainsi que des politiques en matière de cryptographie et d’authentification multifactorielle. Ces mesures doivent découler d’une évaluation des risques documentée. L’article 23 impose de signaler les incidents significatifs en trois étapes : une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, une notification dans les 72 heures accompagnée d’une première évaluation de la gravité et de l’impact, et un rapport final dans un délai d’un mois couvrant la cause première et les mesures correctives.
La directive NIS2 exige explicitement des organisations qu’elles intègrent des exigences en matière de cybersécurité dans leurs relations avec les fournisseurs lorsque ceux-ci sont susceptibles d’affecter la sécurité de l’information. Cela s’applique aux fournisseurs disposant d’un accès aux systèmes, assumant des rôles d’hébergement ou de maintenance, bénéficiant de droits d’accès à distance ou exerçant des fonctions critiques de prestation de services. Les organisations doivent identifier les fournisseurs concernés, réaliser des évaluations de sécurité structurées, intégrer des clauses de cybersécurité dans les contrats et surveiller les fournisseurs de manière continue. Les attaques visant la chaîne d'approvisionnement sont spécifiquement identifiées dans le préambule de la directive NIS2 comme présentant un risque élevé, car les vulnérabilités chez les partenaires externes peuvent se propager rapidement à travers des systèmes interconnectés. Cette obligation s'étend à la fois aux fournisseurs sous contrat direct et aux sous-traitants clés lorsqu'il existe un risque pour la sécurité.
La directive NIS2 est une directive : les obligations fondamentales sont cohérentes, mais la législation nationale de chaque État membre régit le portail d’enregistrement spécifique, l’autorité de contrôle et les procédures d’audit applicables dans ce pays. Pour les groupes internationaux, chaque entité juridique nécessite une évaluation distincte du champ d’application. C’est généralement l’État d’origine de l’établissement principal d’une entité qui détermine quelle autorité nationale est compétente, bien que les activités secondaires menées dans d’autres États membres puissent être soumises à des exigences locales supplémentaires. Les procédures d’enregistrement et les délais varient déjà considérablement : en Allemagne, la date limite était fixée au 6 mars 2026 ; les exigences belges sont en vigueur depuis octobre 2024 ; et en juin 2026, certains États membres n’avaient toujours pas achevé la transposition. Les organisations opérant dans toute l’UE ont besoin d’un processus structuré pour suivre les obligations et les délais applicables dans chaque juridiction.
Les outils SMSI autonomes gèrent les processus de sécurité de l’information, mais sont déconnectés des données fournisseurs, des workflows de diligence raisonnable et des rapports réglementaires. L’osapiens HUB pour la directive NIS2 fait partie de la suite de solutions Supplier Intelligence : les données relatives aux fournisseurs et aux entités, collectées dans le cadre de la CSDDD ou d’autres processus de diligence raisonnable de la chaîne d’approvisionnement, sont directement réutilisées pour les évaluations des risques liés aux tiers au titre de la directive NIS2, et le statut de conformité à la directive NIS2 s’affiche dans le Reporting Cockpit aux côtés des autres obligations réglementaires. Un questionnaire fournisseur distinct n’est pas nécessaire pour les organisations qui collectent déjà des données fournisseurs sur osapiens HUB.
Pour les entreprises gérant à la fois la NIS2 et la CSDDD, le même profil de fournisseur couvre les deux obligations réglementaires sans qu’il soit nécessaire de mener des processus de collecte de données parallèles.
