Aller au contenu principal
OK-GRC

Sécurité de l’information

Directive NIS 2 — Directive (UE) 2022/2555 sur la cybersécurité

La directive européenne qui impose des mesures de cybersécurité et des notifications d’incidents à des milliers d’entités essentielles et importantes.

Démarrer avec NIS 2Demander une démo

En bref

Type
Directive européenne (à transposer en droit national)
Adoption
14 décembre 2022
Autorité en France
ANSSI
Sanctions prévues
Jusqu’à 10 M€ ou 2 % du CA mondial (essentielles), 7 M€ ou 1,4 % (importantes)

29 exigences suivies · 97 mesures communes

Qu’est-ce que NIS 2 ?

La directive (UE) 2022/2555, dite NIS 2 (ou SRI 2), remplace la directive NIS de 2016 et élargit fortement son champ : 18 secteurs, deux catégories d’entités (essentielles et importantes) et un seuil fixé en principe à partir de la moyenne entreprise (50 salariés ou 10 M€ de chiffre d’affaires et de total de bilan). Certaines entités sont visées quelle que soit leur taille.

Les entités doivent mettre en place des mesures de gestion des risques de cybersécurité, impliquer leurs organes de direction, s’enregistrer auprès de l’autorité et notifier leurs incidents importants selon un calendrier serré. En France, la transposition par le projet de loi « Résilience » n’était pas achevée à l’automne 2026 : l’ANSSI propose un pré-enregistrement sur MonEspaceNIS2 et a publié en mars 2026 son Référentiel Cyber France (ReCyF).

Les exigences clés

  1. 1

    Gouvernance (art. 20)

    Les organes de direction approuvent les mesures de cybersécurité, en supervisent la mise en œuvre, peuvent être tenus responsables et suivent une formation.

  2. 2

    Analyse des risques et politiques de sécurité

    Première des dix mesures minimales de l’article 21 : politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information.

  3. 3

    Gestion des incidents et continuité

    Traitement des incidents, continuité d’activité, sauvegardes, reprise après sinistre et gestion de crise.

  4. 4

    Sécurité de la chaîne d’approvisionnement

    Évaluer et encadrer la sécurité des fournisseurs et prestataires directs.

  5. 5

    Cyberhygiène, formation et contrôle d’accès

    Pratiques de base, sensibilisation, sécurité des ressources humaines, gestion des actifs, MFA, chiffrement et communications sécurisées.

  6. 6

    Notification des incidents importants (art. 23)

    Alerte précoce sous 24 heures, notification d’incident sous 72 heures, rapport final dans le mois qui suit.

  7. 7

    Enregistrement (art. 3 et 27)

    Se déclarer auprès de l’autorité compétente et tenir ces informations à jour.

Synthèse rédigée par OK-GRC. Les textes des normes ISO sont protégés par le droit d’auteur et ne sont pas reproduits.

Comment OK-GRC vous aide

  • Les exigences NIS 2 reliées à 97 mesures communes, avec un score qui progresse dès que vos mesures ISO 27001 ou ANSSI avancent
  • Registre des incidents avec les échéances NIS 2 (24 h, 72 h, 1 mois) calculées et rappelées automatiquement
  • Modèles « Politique de gouvernance de la cybersécurité » et « Procédure de notification des incidents importants »
  • Évaluation des fournisseurs par questionnaires, avec analyse des réponses assistée par l’IA
  • Campagnes de sensibilisation et module « NIS 2 pour la direction », avec suivi des participations
  • Tableau de bord pour la direction et pack de preuves exportable pour l’autorité ou vos clients

Les référentiels voisins

Avec des mesures ISO 27001 en place, votre score de départ NIS 2 est d’environ 52 à 72 %.

Les mesures que vous mettez en place pour NIS 2 comptent aussi pour :

Questions fréquentes sur NIS 2

Comment savoir si mon entreprise est concernée par NIS 2 ?

Vérifiez d’abord si votre activité figure dans les annexes I ou II de la directive, puis votre taille (moyenne entreprise ou plus, en principe). L’ANSSI met à disposition un test en ligne sur MonEspaceNIS2. Les critères définitifs pour la France seront fixés par la loi de transposition et ses décrets.

Faut-il attendre la loi française pour agir ?

Non. Les mesures attendues sont connues (article 21 de la directive, ReCyF de l’ANSSI) et demandent plusieurs mois de mise en œuvre. Commencer par une analyse de risques et les mesures d’hygiène de base est utile quelle que soit la date finale.

NIS 2 impose-t-elle une certification ?

Non, la directive n’impose pas de certification générale. Elle permet aux États d’exiger certains schémas européens de certification pour des produits ou services. Une certification ISO 27001 reste un bon moyen de démontrer votre niveau.

Contenu informatif à jour en octobre 2026 ; il ne constitue pas un avis juridique. Vérifiez toujours les textes officiels en vigueur.

Prêt à simplifier votre conformité ?

Créez votre espace en quelques minutes. L’assistant vous propose les normes et les priorités adaptées à votre entreprise.

Démarrer l’essai gratuitDemander une démo

14 jours d’essai avec toutes les fonctionnalités Pro · Aucun débit avant la fin de l’essai · Sans engagement