Démystification de l’éthique
NIS2 (Network and Information Security 2) ou SRI2 (Sécurité des Réseaux et des systèmes d’Information) est une directive européenne, et non une norme, destinée à accroitre et harmoniser la cybersécurité dans l’Union Européenne. Adoptée le 14 décembre 2022, elle remplace la directive NIS1 de 2016 (7 secteurs) qui ne visait en France qu’environ 500 opérateurs de services essentiels ; de plus, elle corrige ses limites, notamment un périmètre trop restreint et des obligations inégales entre États membres et étend les obligations à plus d’entités économiques et publiques. Elle impose notamment la gestion des risques, la notification des incidents importants et l’implication des organes de direction. Les incidents venant de la chaîne d’approvisionnement (sous-traitance et cascade contractuelle) sont en forte croissance.
Le nouveau texte couvre 18 secteurs et environ 600 types d’entités, des PME aux grands groupes. En France, le projet de loi de transposition vise environ 15 000 entités « essentielles » ou « importantes », auxquelles s’ajoutent près de 1 500 collectivités territoriales, groupements et organismes placés sous leur tutelle. Le changement d’échelle est considérable : la cybersécurité n’est plus l’affaire de quelques infrastructures critiques, mais d’une grande partie du tissu économique et public.
En France, l’ANSSI assure l’enregistrement, la supervision et l’accompagnement des entités concernées ; mais la transposition française de la NIS2 est toujours en cours.
Périmètre de NIS2
NIS2 couvre 18 secteurs et, sauf exception, l’appartenance à un secteur ne constitue pas le seul critère car la classification dépend aussi de la taille de l’organisation.
Les 11 secteurs hautement critiques (entités essentielles) sont :
- Énergie (électricité, gaz, pétrole, hydrogène, GNL,…), Transport (aérien, ferroviaire, voie d'eau, routier) , Banque (crédit, dépôt, investissement, coopératives), Marches financiers, Santé (soins, laboratoires, produits pharmaceutiques, gaz médicaux,…), Eau potable, Eaux usées ;
- Infrastructures numériques (Internet, DNS, cloud, ….), Gestion des services TIC, Administration publique (Administrations nationales et régionales), Espace (Opérateurs d'infrastructures terrestres).
Les 7 secteurs critiques (entités importantes) sont :
- Gestion des déchets, Fabrication/production/distribution de produits chimiques, Production/transformation/distribution alimentaire, Fabrication dans sous-secteurs stratégiques (dispositifs médicaux, produits informatiques, électroniques, optiques, véhicules automobiles, ..) ;
- Services postaux et de messagerie, Fournisseurs numériques (marché et moteurs de recherche en ligne, plateformes de réseaux sociaux), Recherche (organismes, universités avec recherche significative).
Deux catégories sont identifiées selon le secteur, les seuils d’effectifs, de CA et de bilan :
- Les entités essentielles : en général les grandes entreprises des secteurs hautement critiques (énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, espace…) ; les critères de tailles sont : supérieur ou égal 250 employés , CA > 50 M€ et bilan > 43 M€.
- Les entités importantes : les entreprises moyennes de ces secteurs et les entreprises des autres secteurs critiques (services postaux, gestion des déchets, chimie, agroalimentaire, industrie manufacturière, …) ; les critères de taille sont supérieur ou égal 50 employés , CA et bilan > 10 M€.
Les micro-entreprises (<10 salariés et < 2 millions d'euros) et petites entreprises (moins de 50 salariés et moins de 10 millions d'euros) sont en principe exclues, mais des exceptions importantes existent.
Exigences de NIS2
Toutes les entreprises NIS2 doivent prendre des mesures de gestion des risques couvrant notamment :
- L’analyse des risques et de la sécurité des systèmes d’information critiques ;
- Les protocoles pour la gestion des incidents, les mandats de signalement et plans d’intervention ; - la continuité d’activité (sauvegardes, reprise après sinistre, gestion de crise) en cas de cyber incidents ;
- La sécurité de la chaîne d’approvisionnement (y compris les relations avec les fournisseurs et prestataires) ;
- La sécurité de l’acquisition, du développement et de la maintenance des systèmes (gestion des vulnérabilités) ;
- L'hygiène informatique, la formation à la cybersécurité, la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
- La cryptographie, l’authentification multifacteur et les communications sécurisées ;
- L’évaluation de l’efficacité des mesures ;
- L’existence d’un plan de réponse en cas d’incident ;
- L’obligation de déclarer aux autorités compétentes tout incident ayant un « impact important » sur la fourniture de leurs services et activités (alerte sous 24 h, notification sous 72 h, rapport final sous un mois).
Les organes de direction doivent approuver ces mesures, superviser leur mise en œuvre, suivre une formation et ils peuvent être tenus pour responsables. La directive NIS2 (SRI2) prévoit des sanctions de base. Ces pénalités imposées aux structures ne respectant pas les délais imposés peuvent se présenter sous des formes variées : mesures correctives non pécuniaires, amendes administratives et sanctions pénales en cas d’infractions liées à la gestion des risques de cybersécurité et aux obligations de signalement. Les amendes administratives peuvent atteindre 10 millions € ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, 7 millions € ou 1,4 % pour une entité importante. Les entités essentielles feront l’objet de contrôles réglementaires plus rigoureux et de mesures coercitives plus strictes ; la supervision sera proactive via audit, par ANSSI, pour les entités essentielles, seulement réactive pour les entités importantes suite à un incident.
En premier, toute entreprise doit savoir si elle est concernée, et à quel titre, puis il faut inventorier les systèmes et les prestataires critiques que la directive oblige à maîtriser. A l’issue, il s’agira de rendre la conformité démontrable, avec des politiques écrites, des preuves de mise en œuvre et des circuits de notification testés. L’ANSSI met à disposition un service en ligne, NIS 2 | MesServicesCyber pour vérifier le statut et se pré-enregistrer. La certification ISO 27001 couvre en grande partie les exigences et constitue un atout pour démontrer sa démarche, mais cela ne vaut pas une conformité automatique.
Mise en œuvre de la NIS2
La préparation à NIS2 reste freinée par une compréhension insuffisante des exigences et par une implication inégale des directions, malgré la confiance affichée par les responsables informatiques. La conformité incite à réexaminer les dépendances et les infrastructures au-delà des seuls dispositifs de protection internes, en incluant le contrôle d’accès. Le calendrier français ajoute de l’incertitude. Les États membres devaient transposer la directive avant le 17 octobre 2024. En octobre 2026, la loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi les directives REC et DORA, n’est pas encore votée. La Commission européenne a saisi la Cour de justice de l’Union contre la France, pour défaut de transposition, en demandant des sanctions financières.
NIS2 amène aussi les Etats membres à renforcer leur coopération en matière de gestion de crise cyber, en donnant notamment un cadre formel au réseau CyCLONe (Cyber Crisis Liaison Organisation Network) qui rassemble l’ANSSI et ses homologues européens. Pour atteindre les objectifs de sécurité NIS2, l'ANSSI a publié, le 17 mars 2026, le Référentiel Cyber France (ReCyF) structuré en 4 piliers (Gouvernance, Protection, Défense, Résilience). Axé sur les 20 objectifs de sécurité accompagnés de moyens acceptables de conformité, le ReCyF :
- Confirme la nécessité de faire converger sécurité physique et cyber pour prouver sa conformité ;
- Intègre un principe de proportionnalité selon lequel le niveau d'effort attendu est adapté à la maturité des entités et aux ressources dont elles disposent.
Bien que la loi française ne soit pas encore officiellement votée, attendre la loi pour démarrer constituerait une erreur car les exigences de la directive sont stables et connues et elles ne changeront pas sur le fond. Les entreprises peuvent donc dès maintenant commencer à se préparer pour se conformer aux exigences de cybersécurité et de résilience des infrastructures critiques.
Points majeurs de NIS2
La NIS2 insiste sur la gestion des risques dans la pratique, la gouvernance et la résilience organisationnelle. Les entreprises et organisations concernées doivent connaitre la situation de leurs risques réels, leurs évolutions et l’efficacité des contrôles en place. Comme NIS2 favorise une approche de la conformité particulièrement ciblée sur les risques et les résultats, les organisations devront prouver que leurs programmes de sensibilisation influencent le comportement des employés de manière mesurable et renforcent leurs engagements sur la cybersécurité. L’un des changements les plus importants introduits par le NIS2 est l’accent mis sur la gestion continue des risques plutôt que sur la conformité ponctuelle.
L’évaluation du risque humain doit répondre à des questions pragmatiques :
- Où les employés rencontrent ils le plus de difficultés ?
- Quels sont les comportements qui présentent les niveaux de risque les plus élevés ?
- Comment ce risque varie-t-il en fonction des rôles, des équipes ou des lieux ?
- Quels sont les éléments qui prouvent que les interventions en matière d’apprentissage ont un impact réel ?
Des contrôles techniques solides restent essentiels. Les pares-feux, les outils de surveillance, les systèmes d’identité et les capacités de détection jouent tous un rôle essentiel. NIS2 exige également une compréhension claire de la manière dont ces contrôles interagissent avec le comportement humain
Conclusion
NIS2 constitue une évolution majeure de la prise en compte de la cybersécurité pour répondre au mieux aux cybermenaces plus sophistiquées, très insidieuses et souvent destructives. La conformité à la norme NIS2 n’échouera pas sur la plan technologique mais, plutôt, si le comportement humain n’est traité que comme un complément et non comme un élément essentiel de la gestion des risques. Par ailleurs, l’implication responsable de la direction générale sera obligatoire pour réussir la mise en place de NIS2 sans, toutefois, éluder la prise en compte des exigences contraignantes de cette directive.
