La cybersécurité est devenue un enjeu stratégique majeur pour les entreprises européennes. Face à une hausse de plus de 40 % des atteintes numériques en cinq ans en France, et alors que 47 % des entreprises ont subi au moins une cyberattaque réussie en 2024, l’Union européenne a décidé de renforcer son cadre réglementaire avec la directive NIS 2. Ce texte fondateur redéfinit les obligations de cybersécurité pour des milliers d’organisations et impose une transformation profonde des pratiques.

Qu’est-ce que la directive NIS 2 et pourquoi transforme-t-elle la cybersécurité en Europe

Entrée dans le droit européen en décembre 2022, la directive NIS 2 constitue une refonte ambitieuse du cadre de sécurité des systèmes d’information à l’échelle du continent. Elle s’inscrit dans une volonté d’uniformiser les pratiques entre les États membres et de combler les lacunes laissées par son prédécesseur. Pour appréhender sa portée, il convient d’en comprendre la source : NIS 2 est avant tout une réponse réglementaire à l’explosion des menaces numériques qui pèsent sur les secteurs les plus sensibles de nos économies.

Les principales évolutions par rapport à la directive NIS 1

La première directive NIS, adoptée en 2016, ne concernait qu’une poignée d’acteurs dans 7 secteurs économiques. La directive NIS 2 étend considérablement ce périmètre en couvrant désormais 18 secteurs, parmi lesquels l’énergie, la santé, le transport ou encore le secteur bancaire. Entre 10 000 et 15 000 organisations françaises sont concernées par NIS 2, contre 1 500 sous NIS 1 — soit une multiplication spectaculaire du nombre d’entités soumises à ces nouvelles exigences. Cette extension traduit la prise de conscience que la résilience opérationnelle ne peut plus être réservée aux seuls opérateurs d’infrastructures critiques traditionnelles.

Au-delà du périmètre, NIS 2 introduit une gouvernance cyber renforcée : la responsabilité personnelle des dirigeants est désormais engagée, ce qui marque une rupture nette avec l’approche précédente. Les conseils d’administration et directions générales ne peuvent plus déléguer la cybersécurité à leurs équipes techniques sans en assumer la supervision directe.

Quelles entreprises sont concernées par cette nouvelle réglementation

La directive distingue deux catégories d’organisations. Les entités essentielles regroupent les acteurs des secteurs les plus critiques, avec des seuils d’entrée fixés à un minimum de 250 personnes ou un chiffre d’affaires supérieur à 50 millions d’euros, accompagné d’un bilan supérieur à 43 millions d’euros. Les entités importantes, quant à elles, correspondent aux structures d’au moins 50 personnes ou dont le chiffre d’affaires et le bilan dépassent 10 millions d’euros. Les très petites entreprises restent généralement exemptées, sauf exceptions spécifiques liées à leur rôle dans des chaînes d’approvisionnement sensibles. Il est à noter que seulement 41 % des dirigeants français comprennent réellement les exigences NIS 2, ce qui souligne l’ampleur du travail de sensibilisation encore à accomplir.

Comment les entreprises françaises doivent s’adapter aux nouvelles obligations

L’adaptation à NIS 2 ne se résume pas à cocher des cases réglementaires : elle exige une transformation en profondeur de la culture de sécurité informatique au sein des organisations. La conformité doit être atteinte progressivement jusqu’en 2028, mais les premières étapes sont immédiates et structurantes.

Les mesures de sécurité à mettre en place pour être conforme

Les 5 obligations majeures de conformité incluent l’enregistrement auprès de l’ANSSI, la gestion des risques cyber, la sécurisation de la chaîne d’approvisionnement, la notification d’incidents et la mise en place d’une gouvernance adaptée. La sécurité de la chaîne d’approvisionnement mérite une attention particulière : des contrôles de cybersécurité doivent désormais être intégrés dans les contrats conclus avec les sous-traitants, ce qui élargit les obligations bien au-delà des seules entités directement régulées. Les prestataires travaillant pour des entités régulées peuvent ainsi se retrouver indirectement concernés.

En matière de notification d’incidents, le calendrier est strict. Une pré-notification doit parvenir à l’ANSSI dans les 24 heures suivant la détection d’un incident majeur, un rapport intermédiaire sous 72 heures, et un rapport final dans le mois suivant. Lorsque des données personnelles sont impliquées, une déclaration à la CNIL s’ajoute dans ce même délai de 72 heures. Cette exigence de réactivité impose aux entreprises de disposer de processus de détection et de réponse parfaitement rodés, ainsi qu’une protection des données intégrée à leur fonctionnement quotidien.

Sur le plan de la sécurité réseau et de la lutte contre les vulnérabilités numériques, NIS 2 appelle à une vision globale de la sécurité. Il ne s’agit pas de mesures ponctuelles mais d’une approche systémique intégrant l’évaluation régulière des risques, la mise à jour des normes de sécurité et la formation des équipes dirigeantes.

Les sanctions encourues en cas de non-respect de la directive

Le volet répressif de NIS 2 est particulièrement dissuasif. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Pour les entités importantes, les sanctions peuvent s’élever jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial. L’ANSSI est l’autorité compétente en France pour le contrôle et l’application de ces sanctions. Au-delà des aspects financiers, le non-respect des exigences peut également entraîner des difficultés à répondre aux appels d’offres et des pertes commerciales significatives. La transposition directive dans le droit français, attendue pour l’été 2025, précisera les modalités nationales d’application et consolidera le rôle central de l’ANSSI dans l’accompagnement des organisations vers la conformité.