NIS 2 : êtes-vous concerné ? Le test en 3 étapes

La directive NIS 2 (ou SRI 2) fait passer la cybersécurité réglementée d’un cercle restreint d’opérateurs à plusieurs milliers d’entreprises en France — entre 15 000 et 18 000 selon les estimations disponibles. Beaucoup découvrent qu’elles sont concernées par un client, un appel d’offres ou un courrier de leur fédération professionnelle. Ce guide vous permet de vous situer rapidement.

Où en est la France ? À fin octobre 2026, la loi de transposition (projet de loi « Résilience ») n’est pas encore définitivement adoptée et la Commission européenne a saisi la Cour de justice de l’UE pour retard de transposition. L’ANSSI propose déjà un pré-enregistrement sur MonEspaceNIS2 et a publié en mars 2026 son Référentiel Cyber France (ReCyF). Les critères ci-dessous sont ceux de la directive ; vérifiez les précisions nationales lorsque la loi et ses décrets seront publiés.

Ce que change NIS 2

La première directive NIS (2016) visait surtout quelques centaines d’« opérateurs de services essentiels ». NIS 2 change d’échelle :

• 18 secteurs au lieu de 7 ;
• deux catégories d’entités, essentielles et importantes, avec des régimes de supervision différents ;
• un seuil de taille simple : en principe, toutes les moyennes et grandes entreprises des secteurs visés ;
• des obligations détaillées (gouvernance, mesures de sécurité, notification des incidents) et des sanctions pouvant atteindre 10 M€ ou 2 % du chiffre d’affaires mondial ;
• une responsabilité personnelle des dirigeants, qui doivent approuver les mesures et se former.

Étape 1 : votre activité figure-t-elle dans les annexes ?

Annexe I — secteurs hautement critiques : énergie (électricité, réseaux de chaleur, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, maritime, routier), secteur bancaire, infrastructures des marchés financiers, santé (établissements de soins, laboratoires, fabricants de produits pharmaceutiques…), eau potable, eaux usées, infrastructures numériques (DNS, centres de données, cloud, réseaux de communications…), gestion des services TIC entre entreprises (services managés et services de sécurité managés), administrations publiques, espace.

Annexe II — autres secteurs critiques : services postaux et d’expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules automobiles, autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.

Raisonnez sur vos activités réelles, pas sur votre code NAF : un éditeur de logiciels qui exploite les systèmes de ses clients peut relever des « services managés » ; un industriel peut fabriquer des équipements électriques visés par l’annexe II.

Étape 2 : votre taille

La directive vise en principe les entreprises qui dépassent les plafonds de la petite entreprise au sens de la recommandation européenne 2003/361/CE : au moins 50 salariés, ou un chiffre d’affaires annuel et un total de bilan supérieurs à 10 M€. Les effectifs et montants des entreprises partenaires ou liées (votre groupe) peuvent devoir être agrégés.

Certaines entités sont concernées quelle que soit leur taille : fournisseurs de réseaux ou de services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine et fournisseurs DNS, fournisseur unique d’un service essentiel dans un État, ou entité dont la défaillance aurait un impact important.

Étape 3 : entité essentielle ou importante ?

En simplifiant :

• les grandes entreprises des secteurs de l’annexe I sont en principe des entités essentielles ;
• les moyennes entreprises de l’annexe I et les entreprises de l’annexe II sont en principe des entités importantes.

La différence porte surtout sur la supervision (contrôles a priori pour les essentielles, a posteriori pour les importantes) et le niveau maximal des sanctions. Les obligations de fond sont les mêmes.

Ce que vous devrez faire

1. S’enregistrer auprès de l’autorité (l’ANSSI en France) et tenir les informations à jour.
2. Impliquer la direction (article 20) : approbation des mesures, supervision, formation des dirigeants.
3. Mettre en œuvre des mesures de gestion des risques (article 21) : analyse de risques et politiques de sécurité, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, sécurité des développements et gestion des vulnérabilités, évaluation de l’efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d’accès, authentification multifacteur.
4. Notifier les incidents importants (article 23) : alerte précoce sous 24 heures, notification sous 72 heures, rapport final dans le mois.

Et si vous êtes fournisseur d’une entité concernée ?

Même hors champ, vous serez touché : vos clients doivent sécuriser leur chaîne d’approvisionnement. Attendez-vous à des questionnaires de sécurité, à des clauses contractuelles (notification d’incident, audit, mesures minimales) et à des demandes de preuves. Être prêt devient un argument commercial.

Par où commencer dès maintenant ?

• Faites le test d’assujettissement de l’ANSSI sur MonEspaceNIS2 et documentez votre conclusion.
• Dressez un inventaire de vos systèmes, données, fournisseurs critiques et comptes à privilèges.
• Réalisez une analyse de risques simple, partagée avec la direction.
• Appliquez les mesures d’hygiène du guide de l’ANSSI : mises à jour, sauvegardes hors ligne, MFA sur les accès distants et la messagerie, comptes d’administration séparés.
• Rédigez une procédure de gestion et de notification des incidents avec les délais 24 h / 72 h / 1 mois, et testez-la sur un scénario.
• Organisez une session de sensibilisation pour la direction.

Comment OK-GRC vous aide

OK-GRC relie les exigences de NIS 2 à des mesures communes partagées avec ISO 27001 et le guide d’hygiène de l’ANSSI : chaque mesure mise en œuvre fait progresser les trois. Le registre des incidents calcule les échéances NIS 2, les modèles de politique de gouvernance et de procédure de notification sont prêts à adapter, et l’assistant IA vous aide à prioriser.