NIS2 est la directive européenne qui étend les obligations de cybersécurité à plusieurs milliers d’entités en France, dont beaucoup de PME et d’ETI : une entreprise de 50 salariés ou plus, ou dont le chiffre d’affaires et le bilan dépassent 10 millions d’euros, est en principe concernée dès lors qu’elle opère dans l’un des 18 secteurs visés (énergie, transport, santé, industrie manufacturière, agroalimentaire, services numériques…). En octobre 2026, la France n’a pas encore transposé le texte : le projet de loi Résilience attend toujours son examen en séance à l’Assemblée nationale. Mais les obligations sont connues, et plusieurs touchent directement les applications métier : sécurité du développement, gestion des vulnérabilités, contrôle des accès, déclaration des incidents.
Qu’est-ce que NIS2 ?
La directive (UE) 2022/2555, dite NIS2, est le texte européen qui harmonise le niveau de cybersécurité des organisations jugées importantes pour l’économie et la société. Elle succède à la première directive NIS de 2016, qui ne visait qu’un nombre restreint d’opérateurs, et change d’échelle : selon l’ANSSI, elle concernera « plusieurs milliers d’entités réparties sur 18 secteurs d’activité », principalement des moyennes et grandes entreprises, des collectivités et des administrations.
Elle repose sur trois piliers : la gestion des risques de cybersécurité, la déclaration des incidents importants, et la supervision par les autorités, avec des sanctions possibles.
Votre entreprise est-elle concernée ?
Deux critères se croisent : le secteur et la taille.
Les 18 secteurs
L’ANSSI distingue 11 secteurs hautement critiques et 7 autres secteurs critiques :
| Secteurs hautement critiques | Autres secteurs critiques |
|---|---|
| Énergie, transports, banque, infrastructures des marchés financiers | Services postaux et d’expédition |
| Santé, eau potable, eaux usées | Gestion des déchets |
| Infrastructures numériques | Fabrication, production et distribution de produits chimiques |
| Gestion des services numériques (en B2B) | Production, transformation et distribution des denrées alimentaires |
| Administration publique, espace | Fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules) |
| Fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) | |
| Recherche |
Le champ est large : un industriel qui fabrique des machines, un transporteur, un acteur de l’agroalimentaire ou un prestataire de services informatiques managés peut y entrer.
Les seuils de taille
D’après l’ANSSI :
| Catégorie | Seuils |
|---|---|
| Entité essentielle (EE) | Au moins 250 salariés, ou chiffre d’affaires supérieur à 50 millions d’euros et bilan supérieur à 43 millions d’euros |
| Entité importante (EI) | Non essentielle, avec au moins 50 salariés, ou chiffre d’affaires et bilan supérieurs à 10 millions d’euros |
Des exceptions existent : certaines entités sont visées quelle que soit leur taille. Le plus sûr est d’utiliser le simulateur « Suis-je concerné ? » proposé par l’ANSSI sur MonEspaceNIS2.
Où en est la transposition en France ?
La directive devait être transposée au plus tard le 17 octobre 2024. En France, elle doit l’être par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, qui transpose aussi la directive sur la résilience des entités critiques (REC) et un volet de DORA pour le secteur financier.
Le parcours, d’après Leto et Next :
- Dépôt au Sénat le 15 octobre 2024, en procédure accélérée.
- Adoption par le Sénat le 12 mars 2025.
- Adoption du texte par une commission spéciale de l’Assemblée nationale en septembre 2025.
- Plusieurs reports de l’examen en séance, le dernier le 6 octobre 2026, sans nouvelle date fixée à ce jour.
La France fait par ailleurs l’objet d’une procédure devant la Cour de justice de l’Union européenne pour défaut de transposition. En attendant, l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), document de travail qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Il n’est pas obligatoire, mais les entités qui l’appliquent pourront s’en prévaloir lors d’un contrôle.
Le message pour un dirigeant est clair : le calendrier français reste incertain, le contenu des obligations ne l’est pas. Les mesures demandent des mois de mise en œuvre, et attendre la promulgation pour commencer reviendrait à démarrer en retard.
Quelles obligations concrètes ?
Dix mesures minimales de gestion des risques
L’article 21 de la directive impose au minimum :
- Des politiques d’analyse des risques et de sécurité des systèmes d’information.
- La gestion des incidents.
- La continuité d’activité : sauvegardes, reprise après sinistre, gestion de crise.
- La sécurité de la chaîne d’approvisionnement, y compris vis-à-vis des fournisseurs et prestataires directs.
- La sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités.
- Des procédures pour évaluer l’efficacité des mesures.
- L’hygiène informatique de base et la formation.
- Le recours à la cryptographie et, le cas échéant, au chiffrement.
- La sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs.
- L’authentification multifacteur et des communications sécurisées.
La déclaration des incidents
L’article 23 fixe un calendrier serré pour tout incident important :
| Étape | Délai |
|---|---|
| Alerte précoce | 24 heures après en avoir pris connaissance |
| Notification d’incident (gravité, impact, indicateurs) | 72 heures après en avoir pris connaissance |
| Rapport final (cause, mesures, impact) | Un mois après la notification |
La responsabilité de la direction
Les organes de direction doivent approuver les mesures, superviser leur mise en œuvre et peuvent être tenus responsables des manquements ; leurs membres doivent suivre une formation. Les sanctions financières sont plafonnées, selon l’ANSSI, à un pourcentage du chiffre d’affaires mondial : 2 % pour les entités essentielles et 1,4 % pour les entités importantes. L’article 34 fixe aussi des montants plancher pour ces plafonds : au moins 10 millions d’euros pour les premières et 7 millions pour les secondes, le plus élevé des deux montants étant retenu.
Quel impact sur vos applications métier ?
NIS2 n’est pas un texte sur les applications, mais plusieurs mesures s’y appliquent directement. Voici comment elles se traduisent :
| Exigence NIS2 | Traduction dans une application métier |
|---|---|
| Sécurité du développement et gestion des vulnérabilités | Pratiques de développement sécurisé, analyse des dépendances, correction des failles dans un délai défini |
| Contrôle d’accès et gestion des actifs | Droits par rôle vérifiés côté serveur, revue périodique des comptes, inventaire des applications et de leurs composants |
| Authentification multifacteur | Double authentification au minimum pour les administrateurs et les accès distants |
| Gestion des incidents | Journalisation exploitable, alertes, capacité à dire en quelques heures ce qui s’est passé |
| Continuité d’activité | Sauvegardes testées, procédure de restauration documentée, hébergement adapté |
| Chaîne d’approvisionnement | Clauses de sécurité dans les contrats de développement, d’hébergement et de maintenance |
La plupart de ces points rejoignent les risques décrits par l’OWASP Top 10. La différence, avec NIS2, est qu’ils deviennent des obligations à documenter et à prouver.
Les délais de déclaration ont une conséquence très pratique : une application qui ne journalise pas les connexions, les actions sensibles et les erreurs rend impossible une alerte précoce fiable en 24 heures. La journalisation se conçoit dès le départ, elle se rajoute mal.
Pour une application existante, l’ancienneté pèse lourd : composants plus maintenus, absence de double authentification, sauvegardes jamais restaurées. C’est souvent le moment de prévoir une modernisation progressive plutôt que d’empiler des correctifs.
Et si vous êtes fournisseur d’une entité NIS2 ?
C’est le cas le plus fréquent pour les PME : elles ne sont pas assujetties, mais leurs clients le sont. L’article 21 impose aux entités concernées de tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé.
Concrètement, un sous-traitant de l’industrie ou un prestataire logistique dont l’application est connectée au système d’information d’un donneur d’ordre peut recevoir des questionnaires de sécurité, des clauses contractuelles et des demandes de preuves : double authentification, gestion des correctifs, plan de réponse aux incidents. Les intégrations et API qui relient vos outils à ceux de vos clients sont particulièrement regardées : authentification des échanges, droits limités, traçabilité.
Le plan d’action pour une PME ou une ETI
- Vérifier votre statut avec le simulateur de l’ANSSI, et celui de vos principaux clients.
- Inventorier vos applications, leurs composants, leurs hébergements et leurs prestataires.
- Évaluer l’écart avec le ReCyF ou les dix mesures de l’article 21.
- Traiter les mesures rapides : double authentification, sauvegardes testées, revue des comptes, mises à jour.
- Organiser la gestion des incidents : qui détecte, qui décide, qui déclare, avec quelles informations.
- Mettre à jour les contrats de développement, d’hébergement et de maintenance avec des engagements de sécurité mesurables.
- Former la direction, puis les équipes.
Vous voulez savoir ce que NIS2 implique pour vos applications, existantes ou à venir ? Décrivez votre contexte dans notre diagnostic de projet : nous vous aidons à prioriser les chantiers applicatifs.
