Directive NIS 2 en France : Nouvelles Obligations de Cybersécurité pour les PME et ETI et Sanctions de l’ANSSI en 2026
Surveillance opérationnelle et supervision de la cybersécurité dans un SOC d'entreprise.
En résumé :
- Changement d’échelle réglementaire : La transposition de la directive européenne NIS 2 (Network and Information Security) fait passer le périmètre de régulation de 500 grands opérateurs à plus de 15 000 entités en France.
- Deux catégories d’assujettis : Distinction formelle entre les Entités Essentielles (EE) soumises à des audits réguliers obligatoires et les Entités Importantes (EI) contrôlées a posteriori en cas d’incident.
- Signalement ultra-rapide des cyberattaques : Obligation légale de notifier tout incident de sécurité majeur à l’ANSSI dans un délai maximal de 24 heures pour l’alerte précoce.
- Responsabilité personnelle des dirigeants : Les chefs d’entreprise et membres des comités de direction engagent leur responsabilité directe et peuvent être suspendus temporairement de leurs fonctions exécutives en cas de négligence avérée.
Le paysage de la cyber-résilience européenne vit sa transformation la plus profonde de la décennie. Face à la recrudescence exponentielle des attaques par rançongiciel (ransomware), au cyberespionnage industriel orchestré par des groupes étatiques et à la vulnérabilité des chaînes logistiques numériques interconnectées, l’Union européenne a adopté la directive NIS 2. Transposée dans le droit national français et supervisée avec autorité par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), cette législation fait entrer la cybersécurité dans une nouvelle ère d’obligations légales strictes en 2026.
Pour des milliers de dirigeants de PME, d’Entreprises de Taille Intermédiaire (ETI), de collectivités territoriales et d’établissements de santé jusqu’ici épargnés par les contraintes des Opérateurs d’Importance Vitale (OIV), NIS 2 n’est pas une simple recommandation informatique : c’est un impératif de gouvernance engageant la responsabilité directe des comités exécutifs, sous peine de sanctions administratives records.
1. Le périmètre d’application : Êtes-vous concerné par NIS 2 ?
L’élargissement du champ d’application constitue la rupture majeure de NIS 2. Le texte retient un double critère sectoriel et de taille :
- Le critère de taille générale : Sont automatiquement ciblées les entreprises comptant au moins 50 salariés et réalisant plus de 10 millions d’euros de chiffre d’affaires annuel ou de total de bilan (seuil PME européenne).
- L’exception des fournisseurs critiques : Même une micro-entreprise ou une TPE de 10 salariés peut être classée Entité Essentielle si elle est l’unique fournisseur d’un service numérique indispensable à un secteur critique ou si son interruption d’activité présente un risque systémique.
- Les 18 secteurs d’activité couverts : Énergie, transports, secteur bancaire, infrastructures financières, santé, eau potable, eaux usées, infrastructures numériques (opérateurs télécoms, hébergeurs cloud, data centers), gestion des services TIC (ESN / MSP), administration publique, espace, services postaux, gestion des déchets, fabrication de produits chimiques, agroalimentaire, fabrication de dispositifs médicaux et électronique.
2. Entités Essentielles (EE) vs Entités Importantes (EI)
La réglementation opère une gradation proportionnée selon la criticité des services délivrés :
- Les Entités Essentielles (EE) : Grands groupes et opérateurs d’infrastructures névralgiques (grands hôpitaux universitaires, gestionnaires de réseaux électriques, fournisseurs d’accès internet majeurs). Elles font l’objet d’une surveillance continue a priori, d’audits de sécurité réguliers mandatés par l’ANSSI et d’inspections sur site.
- Les Entités Importantes (EI) : PME et ETI des secteurs prioritaires, moyennes collectivités locales, laboratoires d’analyses ou sous-traitants industriels de rang 1. Le contrôle s’effectue a posteriori, principalement lorsqu’un incident grave survient ou que des indices de non-conformité sont portés à la connaissance de l’autorité de régulation.
3. Tableau comparatif : Exigences et sanctions sous la directive NIS 2 en France
| Obligation réglementaire | Entités Essentielles (EE) | Entités Importantes (EI) |
|---|---|---|
| Régime de contrôle | Contrôles préventifs réguliers et audits sur pièces et sur place | Contrôle réactif a posteriori en cas de signalement ou d’attaque |
| Plafond des amendes administratives | Jusqu’à 10 millions € ou 2 % du CA mondial | Jusqu’à 7 millions € ou 1,4 % du CA mondial |
| Délai de notification d’incident | Alerte précoce à l’ANSSI en 24h + Rapport complet sous 72h | Alerte précoce à l’ANSSI en 24h + Rapport complet sous 72h |
| Responsabilité des dirigeants | Obligation de formation certifiée + Risque d’interdiction de diriger | Obligation de validation du budget cyber et gouvernance active |
4. Les 10 mesures techniques et organisationnelles obligatoires
Pour se mettre en conformité avec le référentiel de l’ANSSI, chaque organisation doit implémenter un socle de mesures concrètes :
- Politique d’analyse des risques et sécurité des systèmes d’information (PSSI) : Cartographie des actifs critiques et gestion des vulnérabilités logicielles.
- Gestion des incidents : Protocoles formalisés de détection, d’endiguement et de reprise d’activité informatique (PRA / PCA).
- Sécurité de la chaîne d’approvisionnement (Supply Chain) : Évaluation de la posture de cybersécurité de ses propres fournisseurs de logiciels, hébergeurs et prestataires infogérance.
- Mesures cryptographiques et contrôle des accès : Déploiement systématique de l’authentification multi-facteurs (MFA) sur tous les accès distants et chiffrement des données sensibles en transit et au repos.
- Sauvegardes immuables et déconnectées : Sauvegardes étanches à l’air (air-gapping) pour parer à la destruction des données lors d’une attaque par rançongiciel.
5. La responsabilité personnelle des dirigeants d’entreprise
L’innovation juridique la plus marquante de NIS 2 réside dans l’article 20. La cybersécurité n’est plus cantonnée au seul Responsable de la Sécurité des Systèmes d’Information (RSSI) :
- Les membres du conseil d’administration ou le directeur général doivent obligatoirement suivre des formations certifiées de sensibilisation aux cybermenaces.
- Ils doivent personnellement approuver les mesures de gestion des risques et superviser leur mise en œuvre budgétaire.
- En cas de manquement grave aux obligations ayant facilité une intrusion destructrice, l’ANSSI et les tribunaux peuvent prononcer l’inégibilité temporaire d’un dirigeant à exercer des fonctions de direction générale.
Foire Aux Questions (FAQ)
Une PME doit-elle obligatoirement recruter un RSSI à plein temps pour être conforme ?
Non. La directive autorise expressément le recours à un RSSI externalisé à temps partagé ou à des prestataires de services de sécurité qualifiés (PASSI / PDIS) pour assister la direction générale dans la mise en œuvre et le pilotage des exigences de l’ANSSI.
Quelle est la différence entre le RGPD et la directive NIS 2 ?
Le RGPD se focalise exclusivement sur la protection de la vie privée et des données à caractère personnel des individus. La directive NIS 2 protège la résilience et la continuité opérationnelle des systèmes d’information, des réseaux de communication et des services essentiels pour la société et l’économie européenne.
Où et comment déclarer un incident de sécurité sous NIS 2 ?
Tout incident ayant un impact significatif sur la disponibilité, l’intégrité ou la confidentialité des données doit être télé-déclaré sur le portail sécurisé officiel mis en place par l’ANSSI (CERT-FR) dans les 24 heures suivant la prise de connaissance de l’attaque.
À propos de l'auteur
