Directive NIS2 : 18 secteurs, obligations et sanctions 2026

L’essentiel. La directive NIS2 (UE 2022/2555) impose des obligations de cybersécurité à environ 160 000 entités européennes réparties en 18 secteurs. Deux catégories : entités essentielles (supervision proactive, amende jusqu’à 10 M€ ou 2 % du CA mondial) et entités importantes (supervision réactive, jusqu’à 7 M€ ou 1,4 %). Le socle : 10 mesures de sécurité (art. 21), une responsabilité personnelle des dirigeants, et une notification des incidents en 24h / 72h / 1 mois. En France, la transposition relève de l’ANSSI.

La directive NIS2 — directive (UE) 2022/2555 du 14 décembre 2022 — est le texte fondateur du cadre européen de cybersécurité applicable aux organisations. Elle remplace la première directive NIS de 2016, dont les limites étaient devenues évidentes face à l’évolution des menaces. Ce guide analyse l’ensemble des obligations : champ d’application, mesures techniques, responsabilité des dirigeants, notification des incidents, sanctions et articulation avec le RGPD.

Suis-je concerné par NIS2 ? Le test en 30 secondes

Avant d’entrer dans le détail, voici la règle générale. Vous êtes concerné si vous cumulez deux conditions — plus un jeu d’exceptions par le bas et par le haut :

Question	Réponse déclenchante
J’opère dans l’un des 18 secteurs de l’annexe I ou II ?	Oui
Je dépasse les seuils de la moyenne entreprise (≥ 250 salariés, ou CA > 50 M€, ou bilan > 43 M€) ?	Oui
Exception « par le bas » : certaines entités sont concernées quelle que soit leur taille	DNS, registres de domaines, prestataires de confiance, certaines administrations
Exception « par le haut » : un État peut désigner individuellement une petite entité critique	Selon décision nationale

Si vous répondez « oui » aux deux premières lignes, vous relevez très probablement de NIS2. En cas de doute, appliquez le principe de précaution : il est plus coûteux de découvrir tardivement son assujettissement que de s’y préparer.

I. De NIS1 à NIS2 : pourquoi une refonte

A. Les limites de la directive NIS1

La directive NIS1 (UE 2016/1148) fut le premier texte européen dédié à la cybersécurité des réseaux et systèmes d’information. Son mérite historique est indéniable : elle a posé les bases d’une approche coordonnée à l’échelle de l’Union. Mais sa mise en œuvre a révélé des faiblesses structurelles.

Premièrement, un champ d’application trop restreint : seuls les « opérateurs de services essentiels » (OSE) et les « fournisseurs de services numériques » (FSN) étaient visés, laissant d’énormes pans de l’économie sans obligation. Deuxièmement, une marge de manœuvre nationale considérable dans l’identification des entités, source de disparités flagrantes : un même opérateur pouvait être désigné OSE dans un État et échapper à toute obligation dans un autre. Troisièmement, des exigences de sécurité et de notification formulées de manière trop générale pour produire un effet harmonisateur.

B. Les objectifs de NIS2

La Commission a publié sa proposition de refonte en décembre 2020. Le texte définitif a été adopté le 14 décembre 2022, avec une date limite de transposition fixée au 17 octobre 2024. NIS2 poursuit trois objectifs : élargir le champ d’application, harmoniser les exigences de sécurité, et renforcer la coopération entre États membres.

Le changement d’échelle est considérable. La Commission estime que NIS2 concerne environ 160 000 entités dans l’Union, contre quelques milliers sous NIS1.

II. Champ d’application : qui est concerné ?

A. Deux catégories d’entités

NIS2 abandonne la distinction OSE/FSN au profit d’une classification en deux catégories : les entités essentielles et les entités importantes. Cette distinction est déterminante car elle conditionne le niveau de supervision et le plafond des sanctions.

Les entités essentielles sont soumises à un régime de supervision proactif (contrôles ex ante), tandis que les entités importantes relèvent d’un régime réactif (contrôles ex post, typiquement après un incident ou un signalement).

B. Les 18 secteurs concernés

NIS2 couvre 18 secteurs répartis en deux annexes.

Annexe I — Secteurs hautement critiques (11 secteurs) :

1. Énergie (électricité, pétrole, gaz, hydrogène, chauffage et refroidissement urbains)
2. Transports (aérien, ferroviaire, maritime, routier)
3. Banque
4. Infrastructures des marchés financiers
5. Santé
6. Eau potable
7. Eaux usées
8. Infrastructures numériques (points d’échange internet, DNS, TLD, cloud, centres de données, réseaux de diffusion de contenu, services de confiance, réseaux de communications électroniques publics)
9. Gestion des services TIC (B2B)
10. Administration publique (gouvernement central et régional)
11. Espace

Annexe II — Autres secteurs critiques (7 secteurs) :

1. Services postaux et d’expédition
2. Gestion des déchets
3. Fabrication, production et distribution de produits chimiques
4. Production, transformation et distribution de denrées alimentaires
5. Fabrication (dispositifs médicaux, produits informatiques/électroniques/optiques, équipements électriques, machines, véhicules à moteur, autres matériels de transport)
6. Fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux)
7. Recherche

C. Les seuils de taille

NIS2 introduit un critère de taille objectif, fondé sur la recommandation 2003/361/CE relative aux PME. Sont concernées les entités qui opèrent dans l’un des 18 secteurs et qui dépassent les seuils de la moyenne entreprise, c’est-à-dire :

• 250 salariés ou plus, ou
• chiffre d’affaires annuel supérieur à 50 millions d’euros, ou
• total du bilan annuel supérieur à 43 millions d’euros.

Toutefois, certaines entités sont concernées quelle que soit leur taille : les fournisseurs de réseaux de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS et certaines entités d’administration publique. Les États membres peuvent par ailleurs désigner individuellement des entités de taille inférieure au rôle jugé critique.

III. Les 10 mesures de sécurité obligatoires (article 21)

L’article 21 constitue le cœur opérationnel de NIS2. Il impose d’adopter des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et systèmes d’information. La directive énumère dix catégories minimales :

1. Analyse des risques et sécurité des systèmes d’information — approche méthodique de la gestion des risques cyber : cartographie des actifs, évaluation des menaces, stratégie de traitement.
2. Gestion des incidents — procédures de détection, d’analyse, de classification et de réponse, incluant la communication interne et externe.
3. Continuité des activités et gestion de crise — plans de continuité (PCA), de reprise (PRA), gestion des sauvegardes.
4. Sécurité de la chaîne d’approvisionnement — gestion des risques liés aux fournisseurs et prestataires directs (voir section V).
5. Sécurité de l’acquisition, du développement et de la maintenance — incluant la gestion et la divulgation des vulnérabilités. Ce point rejoint le Cyber Résilience Act pour les fabricants de produits numériques.
6. Évaluation de l’efficacité des mesures — audits et tests réguliers, tests de pénétration, exercices de crise.
7. Cyberhygiène et formation — sensibilisation, gestion des mots de passe, mises à jour, segmentation réseau.
8. Cryptographie et chiffrement — protection de la confidentialité et de l’intégrité des données en transit et au repos.
9. Sécurité des ressources humaines, contrôle d’accès et gestion des actifs — habilitations, revue des droits, gestion des départs.
10. Authentification multifacteur ou continue — et communications (voix, vidéo, texte) sécurisées, systèmes de communication d’urgence sécurisés.

L’approche est celle de la proportionnalité : les mesures doivent être adaptées à la taille de l’entité, à son exposition aux risques, à la probabilité d’incidents et à leur gravité potentielle. La documentation de l’ensemble de ces mesures est déterminante — nous y revenons en fin d’article.

IV. Responsabilité des organes de direction (article 20)

L’article 20 introduit une obligation particulièrement significative : les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité et superviser leur mise en œuvre. Ils peuvent être tenus responsables en cas de manquement.

Concrètement, la cybersécurité n’est plus une question purement technique délégable à un RSSI ou à un prestataire. Les dirigeants doivent :

• Approuver formellement les politiques de gestion des risques cyber ;
• Suivre une formation afin d’acquérir les connaissances nécessaires pour identifier les risques et évaluer les pratiques ;
• Veiller à ce que leur personnel suive également des formations régulières.

Les États membres doivent permettre que les personnes physiques responsables ou représentants légaux soient tenues personnellement responsables de la violation de ces obligations. C’est un changement de paradigme : la cybersécurité devient une responsabilité de gouvernance, au même titre que la conformité financière ou la protection des données.

V. Sécurité de la chaîne d’approvisionnement

NIS2 accorde une attention particulière à la sécurité de la chaîne d’approvisionnement (article 21.2.d). Les entités doivent prendre en compte les vulnérabilités propres à chaque fournisseur et prestataire direct, ainsi que la qualité globale de leurs produits et pratiques de cybersécurité, y compris leurs procédures de développement sécurisé.

En pratique, cela impose :

• D’intégrer des clauses de sécurité dans les contrats fournisseurs ;
• De réaliser des évaluations de risque régulières sur les fournisseurs critiques ;
• De mettre en place des procédures de contrôle et d’audit des prestataires ;
• De disposer d’une cartographie des dépendances.

Cette exigence est d’autant plus importante que les attaques par la chaîne d’approvisionnement (supply chain attacks) se sont multipliées. L’incident SolarWinds (2020) et la vulnérabilité Log4Shell (2021) ont démontré l’effet systémique de la compromission d’un fournisseur unique.

VI. Notification des incidents : le dispositif 24h / 72h / 1 mois

NIS2 impose un dispositif de notification en trois étapes pour les incidents significatifs (article 23) :

Étape	Délai	Contenu
Alerte précoce	24 heures	Signalement au CSIRT/autorité ; indication d’une éventuelle origine malveillante ou d’un impact transfrontalier
Notification	72 heures	Évaluation initiale : gravité, impact, indicateurs de compromission
Rapport final	1 mois	Description détaillée, cause profonde, mesures d’atténuation, impact transfrontalier

Un incident est significatif lorsqu’il a causé (ou est susceptible de causer) une perturbation opérationnelle grave ou des pertes financières, ou qu’il a affecté (ou peut affecter) d’autres personnes en causant des dommages matériels ou immatériels considérables. Ce régime est plus exigeant que celui de NIS1, qui ne prévoyait qu’une notification unique sans délai précis.

VII. Régime de sanctions

A. Des plafonds considérablement renforcés

NIS2 prévoit des sanctions administratives dont les plafonds varient selon la catégorie :

Catégorie	Plafond de l’amende
Entités essentielles	10 000 000 € ou 2 % du CA annuel mondial (montant le plus élevé)
Entités importantes	7 000 000 € ou 1,4 % du CA annuel mondial (montant le plus élevé)

B. Mesures de supervision complémentaires

Au-delà des amendes, les autorités compétentes disposent de pouvoirs étendus : ordonner des audits de sécurité, imposer des mesures correctives, émettre des avertissements publics, et dans les cas les plus graves, suspendre temporairement les certifications ou autorisations de l’entité, voire interdire temporairement à un dirigeant d’exercer ses fonctions.

VIII. Transposition en droit français

La date limite de transposition de NIS2 était fixée au 17 octobre 2024. En France, la transposition a été portée par un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (transposant également la directive CER et le règlement DORA), dont l’examen s’est poursuivi au cours de 2025-2026.

À la date de mise à jour de cet article (juillet 2026), il convient de vérifier l’état exact de la promulgation de la loi et de la publication des décrets d’application, qui précisent notamment le périmètre définitif des entités et les modalités déclaratives. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) est l’autorité nationale de référence et sera l’autorité compétente pour la mise en œuvre de NIS2. Elle a publié des orientations préparatoires et recommande de ne pas attendre la finalisation du cadre national pour engager la mise en conformité.

Il faut noter que la France disposait déjà d’un cadre avancé avec la transposition de NIS1 et le régime des opérateurs d’importance vitale (OIV) issu de la loi de programmation militaire de 2013. NIS2 élargit considérablement le périmètre au-delà des seuls OIV et OSE actuels.

IX. Articulation avec le RGPD

La question de l’articulation entre NIS2 et le RGPD se pose systématiquement lorsqu’un incident de cybersécurité implique des données à caractère personnel — ce qui est le cas dans la grande majorité des incidents.

A. Double obligation de notification

En cas d’incident impliquant des données personnelles, l’entité est soumise à une double obligation :

• Au titre de NIS2 : notification au CSIRT/autorité compétente selon le dispositif 24h/72h/1 mois ;
• Au titre du RGPD (article 33) : notification de la violation à la CNIL dans un délai de 72 heures à compter de la prise de connaissance, et le cas échéant notification aux personnes concernées (article 34).

Ces deux procédures sont distinctes et complémentaires. NIS2 le prévoit expressément : lorsque l’autorité compétente au titre de NIS2 est informée d’un incident susceptible de constituer une violation de données au sens du RGPD, elle en informe l’autorité de contrôle (la CNIL en France) sans retard injustifié. Pour ne rien manquer côté RGPD, un modèle de notification à la CNIL sous 72h permet de gagner un temps précieux en situation de crise.

B. Cohérence des mesures techniques

De nombreuses mesures se recoupent entre les deux textes. L’article 32 du RGPD impose au responsable de traitement de mettre en œuvre des mesures de sécurité appropriées, ce qui rejoint directement l’article 21 de NIS2. Les mesures de sécurité attendues par la CNIL constituent un socle qui couvre une partie significative des exigences NIS2. Un audit de conformité RGPD bien conduit couvrira naturellement une partie des exigences NIS2, et réciproquement.

X. Articulation avec le CRA et DORA

A. NIS2 et le Cyber Résilience Act

Le Cyber Résilience Act (CRA — règlement UE 2024/2847) réglemente la sécurité des produits numériques mis sur le marché européen. Son articulation avec NIS2 est complémentaire : le CRA s’applique aux produits (sécurité by design, gestion des vulnérabilités, marquage CE), tandis que NIS2 s’applique aux organisations (sécurité opérationnelle des réseaux et systèmes).

Une entité soumise à NIS2 qui est aussi fabricant de produits numériques devra respecter les deux textes. Le CRA prévoit d’ailleurs que la notification d’une vulnérabilité activement exploitée est transmise au CSIRT désigné au titre de NIS2, assurant une circulation de l’information entre les deux régimes.

B. NIS2 et DORA

Le règlement DORA (Digital Operational Resilience Act — règlement UE 2022/2554) est le texte spécifique à la résilience opérationnelle numérique du secteur financier, entré en application le 17 janvier 2025.

NIS2 prévoit un principe de lex specialis : lorsqu’un texte sectoriel de l’Union (comme DORA) impose des exigences au moins équivalentes, les dispositions sectorielles priment. Les entités du secteur financier relevant de DORA (banques, assurances, sociétés de gestion, infrastructures de marché, prestataires TIC critiques) appliquent donc DORA en lieu et place de NIS2 pour les obligations qui se recoupent, tout en restant identifiées comme entités essentielles ou importantes aux fins de la coopération entre autorités.

XI. Plan d’action : que faire maintenant ?

La mise en conformité NIS2 est un chantier de gouvernance qui requiert une approche méthodique. Voici les actions prioritaires à engager sans attendre la finalisation du cadre national.

1. Déterminer si votre organisation est concernée. Croisez les 18 secteurs et les seuils de taille (tableau en début d’article). En cas de doute, principe de précaution.
2. Réaliser un audit de maturité cyber. Évaluez l’écart entre vos pratiques et les 10 mesures de l’article 21. Cet exercice rejoint un audit RGPD, les exigences se recoupant largement.
3. Impliquer la direction générale. Informez les dirigeants de leurs responsabilités personnelles et organisez des formations. La cybersécurité doit figurer à l’ordre du jour du comité de direction.
4. Structurer la gestion des incidents. Mettez en place ou renforcez vos procédures de détection, classification et notification pour tenir le délai de 24 heures.
5. Cartographier et sécuriser la chaîne d’approvisionnement. Identifiez vos fournisseurs critiques, évaluez leurs pratiques et intégrez des clauses contractuelles appropriées.
6. Documenter l’ensemble de vos mesures. NIS2, comme le RGPD, est un texte de responsabilisation (accountability) : la capacité à démontrer la conformité compte autant que la conformité elle-même. Un logiciel de conformité permet d’industrialiser cette documentation et de maintenir une vue d’ensemble des obligations croisées (NIS2, RGPD, CRA le cas échéant).
7. Préparer le volet notification RGPD. Pour les incidents impliquant des données personnelles, coordonnez vos procédures NIS2 et RGPD afin d’éviter doublons et oublis. La notification des violations de données doit être formalisée et testée en amont.

La directive NIS2 marque un tournant dans la régulation européenne de la cybersécurité. Par l’ampleur de son champ, la précision de ses exigences et la sévérité de ses sanctions, elle impose un changement d’échelle dans la gouvernance de la sécurité informatique. Les organisations qui s’y préparent dès à présent prennent une avance décisive.

FAQ

Comment savoir si mon entreprise est concernée par NIS2 ?

Votre entreprise est concernée si elle opère dans l’un des 18 secteurs couverts et dépasse les seuils de la moyenne entreprise (250 salariés, ou 50 M€ de CA, ou 43 M€ de bilan). Certaines entités sont concernées quelle que soit leur taille (fournisseurs DNS, prestataires de services de confiance). En cas de doute, appliquez le principe de précaution.

Quelle est la différence entre entité essentielle et entité importante ?

Les entités essentielles sont soumises à une supervision proactive (contrôles ex ante), avec des amendes jusqu’à 10 M€ ou 2 % du CA mondial. Les entités importantes relèvent d’une supervision réactive (contrôles ex post), avec un plafond de 7 M€ ou 1,4 %. La classification dépend du secteur et de la taille de l’organisation.

NIS2 remplace-t-elle le RGPD pour la sécurité des données ?

Non, NIS2 et le RGPD s’appliquent de manière complémentaire. NIS2 porte sur la sécurité des réseaux et systèmes d’information ; le RGPD impose des mesures de sécurité spécifiques aux données personnelles (article 32). Un incident impliquant des données personnelles déclenche une double obligation de notification.

Quel est le délai de notification d’un incident sous NIS2 ?

NIS2 impose un dispositif en trois étapes : alerte précoce dans les 24 heures, notification détaillée dans les 72 heures, rapport final dans un mois. Ce régime se cumule avec l’obligation RGPD de notification à la CNIL sous 72 heures en cas de fuite de données personnelles.

La certification ISO 27001 suffit-elle pour être conforme à NIS2 ?

La certification ISO 27001 constitue un socle solide qui couvre une grande partie des exigences de l’article 21, mais elle ne vaut pas présomption automatique de conformité. Des exigences spécifiques de NIS2 (notification d’incidents, responsabilité des dirigeants, sécurité de la chaîne d’approvisionnement) doivent être traitées en complément.

Les dirigeants peuvent-ils être personnellement responsables sous NIS2 ?

Oui. L’article 20 prévoit que les organes de direction approuvent et supervisent les mesures de cybersécurité, et que les personnes physiques responsables puissent être tenues personnellement responsables en cas de manquement. Les dirigeants doivent également suivre une formation adaptée. C’est l’une des innovations majeures de NIS2 par rapport à NIS1.