NIS2 : 13 questions que posent les dirigeants
Réponses courtes et sourcées. Chaque question se comprend seule, hors contexte.
Mon entreprise est-elle concernée par NIS2 ?
Si elle opère dans l'un des 18 secteurs des annexes I et II de la directive et atteint la taille d'une entreprise moyenne (au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs chacun à 10 millions d'euros), elle est probablement concernée. Certaines entités le sont quelle que soit leur taille, en raison de leur rôle : fournisseurs de DNS, registres de noms de domaine, prestataires de services de confiance qualifiés, administration publique centrale, entre autres. L'ANSSI met à disposition un simulateur d'assujettissement sur MonEspaceNIS2.
Quelle différence entre entité essentielle et entité importante ?
La taille ne suffit pas à trancher. Les entités essentielles sont les entités de l'annexe I dépassant les plafonds de l'entreprise moyenne, plus une liste d'entités visées quelle que soit leur taille. Les entités importantes forment la catégorie résiduelle : toutes les autres entités assujetties, annexe I ou II. Conséquence souvent mal comprise : une grande entreprise d'un secteur de l'annexe II est une entité importante, pas essentielle. Les obligations de sécurité sont largement identiques ; ce qui diffère, c'est la supervision (proactive pour les essentielles, a posteriori pour les importantes) et le plafond des sanctions.
La loi française est-elle votée ?
Non, pas à ce jour. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025 et voté en commission spéciale à l'Assemblée nationale en septembre 2025, mais il n'a pas été examiné en séance publique ni promulgué. L'examen a été repoussé à la rentrée parlementaire de septembre 2026. La Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026, en demandant des sanctions financières.
Faut-il attendre la promulgation pour agir ?
Non. Les mesures attendues (analyse de risques, sauvegardes testées, authentification multifacteur, gestion des accès, plan de continuité, procédure de notification) ne dépendent pas du décret final. Elles seront exigées quelle que soit la rédaction retenue. Le délai entre promulgation et premières échéances se comptera en mois : commencer après, c'est commencer en retard.
Que dois-je faire concrètement ?
L'article 21 de la directive impose dix catégories de mesures : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité du développement, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification multifacteur. Chacune se traduit en actions concrètes et proportionnées à votre taille.
Combien de temps prend une mise en conformité ?
Comptez 12 à 24 mois pour une organisation partant d'un niveau de maturité faible, 6 à 12 mois si un système de management de la sécurité existe déjà. Le facteur limitant est rarement technique : c'est la disponibilité des équipes métiers et la vitesse des décisions d'arbitrage.
Combien ça coûte ?
Les ordres de grandeur observés vont de quelques dizaines de milliers d'euros pour une entité importante de taille moyenne à plusieurs centaines de milliers pour une entité essentielle complexe. La dispersion est forte : elle dépend presque entièrement de ce qui existe déjà. Une organisation certifiée ISO 27001 a déjà couvert l'essentiel du chemin.
Quelles sont les sanctions ?
Pour les entités essentielles, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %. Les autorités disposent aussi de pouvoirs non financiers : injonctions, audits imposés, et suspension temporaire de dirigeants dans certains cas.
Le dirigeant est-il personnellement responsable ?
L'article 20 de la directive place la responsabilité de l'approbation des mesures de gestion des risques sur les organes de direction, qui doivent en outre suivre une formation en cybersécurité. Cette responsabilité est réelle et personnelle. La délégation à la DSI ne l'éteint pas : elle organise sa mise en œuvre.
Sous quel délai faut-il déclarer un incident ?
Trois échéances successives, prévues à l'article 23 : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification d'incident complète sous 72 heures, et un rapport final au plus tard un mois après la notification d'incident, et non après l'incident lui-même. Si l'incident est toujours en cours à cette date, un rapport d'avancement est transmis, le rapport final suivant dans le mois qui suit le traitement. Ces délais supposent une chaîne d'astreinte identifiée et testée, y compris hors heures ouvrées.
Mes prestataires informatiques sont-ils concernés ?
Deux réponses distinctes. Certains le sont directement : les fournisseurs de services numériques, hébergeurs, prestataires de services managés figurent dans les annexes de la directive. Et indépendamment de cela, la sécurité de votre chaîne d'approvisionnement relève de votre responsabilité : il vous appartient d'évaluer vos fournisseurs directs et d'encadrer contractuellement leurs pratiques.
Nos outils d'IA entrent-ils dans le périmètre ?
Oui. Un système d'IA en production fait partie du système d'information et relève des mesures de l'article 21, sans exemption. Si son usage relève par ailleurs de l'annexe III de l'AI Act (recrutement, scoring de crédit, accès aux services essentiels, entre autres), des obligations supplémentaires s'y ajoutent, mais à partir du 2 décembre 2027 : le règlement omnibus (UE) 2026/1744 a reporté cette échéance, initialement fixée au 2 août 2026. Ce report ne concerne que l'AI Act ; les obligations NIS2, elles, s'appliqueront dès la transposition française. Voir l'article complet →
Ma collectivité est-elle concernée ?
Selon la version du projet de loi en discussion, environ 1 500 collectivités le seraient : toutes les régions et tous les départements, en tant qu'entités essentielles ; environ un millier d'intercommunalités (communautés de communes, d'agglomération, urbaines et métropoles), en tant qu'entités importantes ; et environ 300 communes de plus de 30 000 habitants. Ce seuil et les critères précis doivent être fixés par décret en Conseil d'État : ils ne sont pas définitifs à ce jour. Voir la page collectivités →
Une question qui ne figure pas ici ? Écrivez-moi, j'ajoute les questions récurrentes à cette page.