NIS2 en clair : êtes-vous concerné, et que faire ?
NIS2 est la loi européenne de cybersécurité pour les organisations qui font tourner l'économie. Qui elle concerne, ce qu'elle demande, et les premières étapes sérieuses pour s'y préparer.
En 30 secondes
- Quoi
- Une directive européenne, (UE) 2022/2555, qui remplace la directive NIS de 2016. Elle s'impose aux organisations par la loi de chaque pays.
- Qui
- En général les moyennes et grandes organisations de 18 secteurs listés : 50 salariés ou plus, ou plus de 10 M€ de chiffre d'affaires et de bilan. Certaines sont concernées quelle que soit leur taille.
- Deux catégories
- Entités essentielles ou importantes, avec les mêmes obligations de sécurité mais un contrôle et des amendes différents.
- Obligations
- Des mesures de sécurité dans 10 domaines, approuvées et suivies par la direction, qui doit aussi se former.
- Incidents
- Les incidents importants se notifient par étapes : alerte précoce en 24 h, notification en 72 h, rapport final en 1 mois.
- Dates clés
- Adoptée le 14 déc. 2022. Les lois nationales étaient attendues pour le 17 oct. 2024. Au 20 oct. 2026, 24 des 27 pays de l'UE en ont une en vigueur ; pas encore la France, l'Irlande ni l'Espagne.
- Sous-traitance
- Vos clients peuvent vous répercuter les exigences NIS2 par leurs questionnaires et leurs contrats.
Ce qu’est NIS2
NIS2 est une directive européenne adoptée en décembre 2022 pour élever le niveau de cybersécurité dans l’Union. Elle remplace la première directive NIS de 2016, couvre beaucoup plus de secteurs et rend responsables les personnes qui dirigent l’organisation.
Une directive ne s’applique pas directement aux entreprises. Chaque pays l’écrit dans sa loi, qui fixe les obligations exactes, l’autorité compétente et les délais. L’échéance européenne était le 17 octobre 2024 ; trois pays n’ont toujours pas de loi en vigueur, dont la France.
Qui est concerné
Trois questions, dans l’ordre : une de vos activités relève-t-elle d’un secteur listé, êtes-vous au moins une moyenne entreprise, et faites-vous partie des cas concernés quelle que soit la taille.
Annexe I : secteurs hautement critiques 11 secteurs
Annexe II : autres secteurs critiques 7 secteurs
Les annexes définissent chaque secteur par des activités et des références juridiques précises. Pour votre entreprise, il faut le texte des annexes : prenez cette liste comme un premier filtre.
La règle de taille
En général, NIS2 concerne les moyennes et grandes organisations, selon la définition européenne des PME : 50 salariés ou plus, ou plus de 10 M€ de chiffre d’affaires annuel et de total de bilan. En dessous, vous êtes en général hors champ.
Comptez tout le groupe. Les entreprises partenaires et liées s’additionnent : une filiale de 40 personnes d’un grand groupe n’est en général pas une « petite » entreprise, avec des variantes nationales. Certaines organisations sont concernées quelle que soit leur taille : opérateurs de télécoms publics, prestataires de services de confiance, fournisseurs DNS et registres de domaines de premier niveau, services d’enregistrement de noms de domaine, et entités que leur pays désigne comme critiques.
Essentielle ou importante ?
Si vous êtes concerné, vous êtes dans l’une des deux catégories. Le travail de sécurité est le même ; ce qui change, c’est l’intensité du contrôle et le plafond des amendes.
Entité essentielle
En général les grandes organisations des secteurs de l'annexe I, plus certains prestataires quelle que soit leur taille (services de confiance qualifiés, DNS, registres de domaines de premier niveau) et les entités désignées.
- Contrôle
- A priori (audits, inspections) et après incident
- Amendes max.
- Au moins 10 M€ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé
Entité importante
Les autres organisations concernées : par exemple les moyennes entreprises des secteurs de l'annexe I, et les entreprises concernées de l'annexe II.
- Contrôle
- A posteriori, en cas d'indice de manquement
- Amendes max.
- Au moins 7 M€ ou 1,4 % du chiffre d'affaires mondial, le montant le plus élevé
Ce sont les plafonds minimaux que chaque pays doit prévoir ; les montants réels viennent de la loi nationale. En France, aucun montant n'est fixé tant que la loi n'est pas adoptée.
Les 10 mesures à mettre en place
L’article 21 liste dix domaines. Les mesures doivent être proportionnées à votre taille et à vos risques : un infogérant de 60 personnes et un grand opérateur d’énergie ne feront pas la même chose. Ce sont de bonnes pratiques de sécurité, mises par écrit.
- Analyse de risques et politiques de sécuritéConnaître ses risques, écrire les règles.
- Gestion des incidentsDétecter, réagir, en tirer les leçons.
- Continuité d'activitéSauvegardes, reprise après sinistre, gestion de crise.
- Sécurité de la chaîne d'approvisionnementFournisseurs et prestataires informatiques compris.
- Sécurité à l'achat et au développementY compris la gestion et la divulgation des vulnérabilités.
- Vérifier que ça marcheÉvaluer l'efficacité des mesures.
- Hygiène informatique et formationPour tout le personnel.
- CryptographieEt chiffrement quand c'est pertinent.
- Personnes, accès et actifsSécurité RH, contrôle des accès, inventaire.
- Double authentification et communications sécuriséesY compris les communications d'urgence.
Les autorités nationales peuvent préciser ces mesures. En France, par exemple, l’ANSSI publie le ReCyF, un référentiel de mesures pour atteindre ces objectifs : c’est un document de travail, non contraignant tant que la loi n’est pas adoptée.
La direction est responsable
C’est le plus grand changement par rapport à la première directive. Selon l’article 20, l’organe de direction approuve les mesures de sécurité, supervise leur mise en œuvre et peut être tenu responsable en cas de manquement. Les dirigeants doivent aussi suivre une formation pour juger les risques et les mesures prises. La directive ne fixe ni format ni fréquence pour cette formation ; la loi nationale le pourra.
En pratique : une approbation courte et datée de votre plan de sécurité, un point régulier à l’ordre du jour de la direction, et une session de formation pour les dirigeants eux-mêmes.
Notifier un incident important
Un incident est important s’il a causé, ou peut causer, une perturbation grave ou une perte financière pour vous, ou des dommages considérables à d’autres. Vous le notifiez à votre CSIRT national ou à l’autorité compétente, par étapes. Le délai court dès que vous en avez connaissance, même si l’enquête continue.
- T0ConnaissanceVous prenez connaissance d'un incident important.
- Sous24 hAlerte précoce : malveillance suspectée, impact transfrontalier éventuel.
- Sous72 hNotification : première évaluation, gravité, impact.
- Sous1 moisRapport final, un mois après la notification.
Un incident, plusieurs délais. Si des données personnelles sont touchées, le RGPD impose sa propre notification à l’autorité de protection des données (la CNIL en France) sous 72 heures. En France, pour être indemnisé par l’assurance après une cyberattaque, il faut porter plainte dans les 72 heures. Vos contrats clients peuvent fixer d’autres délais. Pendant un incident, QoBot les garde tous sur une seule page.
Où en est votre pays
Les obligations, les délais et l’autorité à qui notifier viennent de la loi nationale. Au 20 octobre 2026, 24 des 27 pays de l’UE ont une loi NIS2 en vigueur ; pas encore la France, l’Irlande ni l’Espagne. La Commission a saisi la Cour de justice de l’UE contre ces trois pays et les Pays-Bas le 8 juillet 2026 ; la loi néerlandaise s’applique depuis le 15 août 2026.
Chaque ligne renvoie à la loi publiée au journal officiel du pays et à la page de l’autorité. Les dates d’enregistrement et les canaux de notification varient d’un pays à l’autre : vérifiez-les auprès de votre autorité avant de planifier autour d’une date.
| Pays | Statut, vérifié le 20 oct. 2026 | Loi nationale | Autorité |
|---|---|---|---|
| Allemagne | En vigueur depuis le 6 déc. 2025. Le délai d’enregistrement est passé | Loi de transposition NIS2 (NIS2UmsuCG), BGBl. 2025 I n° 301 | BSI, Office fédéral de la sécurité de l’information |
| Autriche | En vigueur depuis le 1er oct. 2026. Enregistrement attendu d’ici début janvier 2027 | NISG 2026, BGBl. I n° 94/2025 | Office fédéral de la cybersécurité · CSIRT : CERT.at |
| Belgique | En vigueur depuis le 18 oct. 2024 | Loi du 26 avril 2024 (loi NIS2) | Centre pour la Cybersécurité Belgique (CCB), aussi CSIRT national |
| Bulgarie | En vigueur : publiée le 13 févr. 2026 | Loi sur la cybersécurité modifiée, Journal officiel n° 17/2026 | Autorités sectorielles désignées par le Conseil des ministres : renseignez-vous auprès de CERT Bulgaria, le CSIRT national |
| Chypre | En vigueur depuis le 25 avr. 2025 | Loi 60(I)/2025, modifiant la loi 89(I)/2020 | Autorité de sécurité numérique · CSIRT : CSIRT-CY |
| Croatie | En vigueur depuis le 15 févr. 2024 | Loi sur la cybersécurité, NN 14/2024 | Centre national de cybersécurité (NCSC-HR) · CSIRT : aussi CARNET CERT |
| Danemark | En vigueur depuis le 1er juil. 2025 | Loi NIS 2, loi n° 434 du 6 mai 2025 | Autorités sectorielles ; informations générales de la SAMSIK · CSIRT : renseignement militaire danois (FE) |
| Espagne | Pas transposée. Le gouvernement a adopté un avant-projet en première lecture en janvier 2025 ; il n’est jamais arrivé au Parlement, dissous le 6 oct. 2026 avant les élections du 29 nov. La loi NIS de 2018 reste applicable | Décret-loi royal 12/2018 (NIS1, en vigueur) | INCIBE-CERT pour les entreprises, CCN-CERT pour le secteur public |
| Estonie | En vigueur depuis le 1er janv. 2026 | Loi sur la cybersécurité modifiée, RT I 30.12.2025 | Autorité des systèmes d’information (RIA) · CSIRT : CERT-EE |
| Finlande | En vigueur depuis le 8 avr. 2025 | Loi sur la cybersécurité 124/2025 | NCSC-FI, au sein de Traficom, et autorités sectorielles |
| France | Pas transposée. Le projet de loi a été adopté par le Sénat en mars 2025 et par une commission spéciale de l’Assemblée nationale en septembre 2025, sans débat en séance depuis | Projet de loi résilience des infrastructures critiques et cybersécurité | ANSSI : test d’éligibilité, pré-enregistrement volontaire |
| Grèce | En vigueur depuis le 27 nov. 2024 | Loi 5160/2024, Journal officiel A’ 195 | Autorité nationale de cybersécurité |
| Hongrie | En vigueur depuis le 1er janv. 2025 | Loi LXIX de 2024 sur la cybersécurité de la Hongrie | SZTFH, autorité de supervision des activités réglementées · CSIRT : NKI |
| Irlande | Pas transposée. Le National Cyber Security Bill n’est pas encore publié ; les NIS Regulations de 2018 restent applicables | Programme législatif du gouvernement, automne 2026 | National Cyber Security Centre |
| Italie | En vigueur depuis le 16 oct. 2024. Enregistrement chaque année du 1er janvier au 28 février | Décret législatif 138/2024 | ACN, agence nationale de cybersécurité |
| Lettonie | En vigueur depuis le 1er sept. 2024 | Loi nationale sur la cybersécurité | Centre national de cybersécurité · CSIRT : CERT.LV |
| Lituanie | En vigueur depuis le 18 oct. 2024 | Loi sur la cybersécurité, modifiée par la loi n° XIV-2902 | Centre national de cybersécurité (NKSC), aussi CERT-LT |
| Luxembourg | En vigueur depuis le 10 mai 2026 | Loi du 5 mai 2026 sur la cybersécurité | ILR ; CSSF pour le secteur financier |
| Malte | En vigueur depuis le 23 janv. 2026 | Législation subsidiaire 460.41 | Département de la protection des infrastructures critiques, désigné par le texte : renseignez-vous auprès de lui |
| Pays-Bas | En vigueur depuis le 15 août 2026 | Loi sur la cybersécurité (Cbw) et son décret, Stb. 2026, 187 et 189 | NCSC-NL pour l’enregistrement ; autorités sectorielles |
| Pologne | En vigueur depuis le 3 avr. 2026. L’auto-enregistrement a fermé le 3 oct. 2026 | Loi modifiée sur le système national de cybersécurité, Dz.U. 2026 pos. 252 | Ministère du Numérique et autorités sectorielles · CSIRT : NASK, GOV, MON |
| Portugal | En vigueur depuis avril 2026, 120 jours après sa publication | Décret-loi 125/2025 | Centre national de cybersécurité (CNCS), aussi CERT.PT |
| Roumanie | En vigueur : ordonnance d’urgence 155/2024, publiée le 31 déc. 2024, approuvée par la loi 124/2025 | Dossier du Sénat de la modification de 2026 | Direction nationale de la cybersécurité (DNSC) |
| Slovaquie | En vigueur depuis le 1er janv. 2025 | Loi n° 366/2024, modifiant la loi sur la cybersécurité | Autorité nationale de sécurité (NBÚ) · CSIRT : SK-CERT |
| Slovénie | En vigueur depuis le 19 juin 2025 | Loi sur la sécurité de l’information (ZInfV-1) | Office gouvernemental de la sécurité de l’information · CSIRT : SI-CERT |
| Suède | En vigueur depuis le 15 janv. 2026 | Loi sur la cybersécurité (2025:1506) | NCSC, au sein du FRA · CSIRT : CERT-SE |
| Tchéquie | En vigueur depuis le 1er nov. 2025 | Loi n° 264/2025 Sb. sur la cybersécurité | NÚKIB, agence nationale de cybersécurité et de sécurité de l’information |
Sources : le journal officiel et l'autorité de chaque pays, consultés le 20 octobre 2026, et le communiqué de la Commission IP/26/1499. Les pages NIS2 par pays de la Commission datent de juillet 2025 : ce tableau ne s'appuie pas sur elles. Les autorités sectorielles de la Bulgarie, le site de l'autorité maltaise et la date exacte d'entrée en vigueur en Roumanie n'ont pas pu être confirmés sur une page officielle.
Le Royaume-Uni est hors du champ de NIS2. Il applique ses propres Network and Information Systems Regulations 2018 : les opérateurs de services essentiels de l’énergie, des transports, de la santé, de l’eau potable et des infrastructures numériques, ainsi que les places de marché en ligne, moteurs de recherche et services cloud, notifient leurs incidents à leur régulateur sectoriel sous 72 heures. Le Cyber Security and Resilience Bill ferait entrer dans le champ les prestataires de services managés de taille moyenne et grande et les centres de données, avec une première notification sous 24 heures et un rapport complet sous 72 heures. Au 20 octobre 2026, il avait été adopté par la Chambre des communes et examiné en commission à la Chambre des lords, avec un examen en séance prévu le 26 octobre : ce n’est pas encore une loi. Les administrations centrales britanniques et le NHS attendent Cyber Essentials des fournisseurs qui traitent des données personnelles ou des informations publiques.
Si vous n’êtes pas concerné
NIS2 peut vous toucher même hors champ. Les entités concernées doivent gérer la sécurité de leur chaîne d’approvisionnement : attendez-vous à leurs questionnaires, à des clauses de contrat et à des demandes d’audit. Les dix mesures répondent à la plupart de ces questions.
Se préparer à NIS2 : qui fait quoi
Ce que fait QoBot
- Vérifie si NIS2 vous concerne, et explique pourquoi.
- Fait l'analyse d'écarts sur les 10 mesures, à partir de ce que vous avez déjà.
- Rédige les politiques et le plan, et fixe l'ordre des priorités.
- Prépare votre procédure d'incident avec tous les délais de notification.
- Fait le point chaque semaine et vous dit honnêtement ce qui reste ouvert.
Ce que fait votre équipe
- La direction approuve les mesures et suit la formation.
- Votre équipe applique les actions avec les guides pas à pas de QoBot.
- Vous répondez à ce que vous seul savez : vos outils, vos fournisseurs, vos équipes.
- Quelques tâches courtes et expliquées par semaine, chacune avec une durée estimée.
Vous seriez probablement une entité importante au sens de la loi NIS2 de votre pays. 7 des 10 domaines sont en partie en place. Cette semaine :
- Hugo: activer la double authentification sur le VPN · guide prêt · ~20 minÀ vous
- Vous: approuver la politique de sécurité v1 · ~10 minVotre accord
Questions fréquentes
NIS2 est-elle obligatoire dans mon pays aujourd'hui ?
Seulement si la loi de transposition de votre pays est en vigueur. Au 20 octobre 2026, c'est le cas dans 24 des 27 pays de l'UE, de l'Allemagne à l'Italie en passant par la Belgique et les Pays-Bas. La France, l'Irlande et l'Espagne ne l'ont pas encore transposée : en France, le projet de loi est toujours au Parlement, et les obligations et délais français seront fixés par la loi et ses décrets. Le tableau Où en est votre pays donne la loi et l'autorité de chaque pays. Là où la loi n'est pas en vigueur, s'y préparer reste raisonnable : ce sont de bonnes pratiques, et vos clients peuvent déjà les exiger.
Nous avons 35 salariés. Sommes-nous hors champ ?
En général oui, si vous êtes indépendant et que votre chiffre d'affaires ou votre bilan ne dépasse pas 10 M€. Comptez quand même votre groupe, et vérifiez les cas concernés quelle que soit la taille : télécoms, services de confiance, DNS, enregistrement de noms de domaine, entités désignées par l'État.
ISO 27001 nous rend-elle conformes à NIS2 ?
Elle couvre une grande partie du terrain : analyse de risques, politiques, gestion des incidents, fournisseurs, contrôle des accès. Elle ne vous donne pas à elle seule la formation de la direction de l'article 20, les délais de notification de l'article 23, ni l'enregistrement auprès de l'autorité nationale. Voir ISO 27001 en clair.
Quelle différence avec DORA ?
DORA, le règlement (UE) 2022/2554, est la loi de résilience numérique du secteur financier (banques, assureurs, entreprises d'investissement et d'autres). Il s'applique depuis le 17 janvier 2025. Pour ces entités, les règles de DORA sur les risques informatiques et les incidents priment sur celles de NIS2 pour les mêmes sujets.
Faut-il s'enregistrer quelque part ?
Oui, une fois la loi nationale applicable. Les entités concernées transmettent à l'autorité des informations de base (nom, contacts, secteur, pays où elles fournissent leurs services) et signalent tout changement sous deux semaines. La procédure et les dates viennent de la loi nationale, et plusieurs échéances sont passées : en Allemagne, en Pologne (3 octobre 2026) ou au Luxembourg (10 juillet 2026), par exemple. Celle de l'Autriche court jusqu'à début janvier 2027. En France, aucune date d'enregistrement obligatoire n'existe encore ; l'ANSSI propose un pré-enregistrement volontaire.
Nous sommes au Royaume-Uni. NIS2 nous concerne-t-elle ?
Pas comme loi britannique : le Royaume-Uni a quitté l'UE avant NIS2 et applique ses propres NIS Regulations 2018, qu'un projet de loi, le Cyber Security and Resilience Bill, doit mettre à jour. NIS2 peut quand même vous toucher par une filiale dans l'UE, par des services fournis dans l'UE (la directive demande à certains fournisseurs numériques établis hors de l'UE de désigner un représentant dans l'Union), ou par les contrats de vos clients européens.
QoBot peut-il certifier que nous sommes conformes à NIS2 ?
Non. NIS2 n'a pas de certificat de conformité, et un logiciel ne peut pas certifier la conformité. QoBot vous prépare, documente ce qui est en place et vous dit ce qu'une autorité ou un auditeur regarderait.
Sources
- Directive (UE) 2022/2555 (NIS2)EUR-Lex · JO L 333 du 27.12.2022 · art. 2, 3, 20, 21, 23, 26, 32 à 34, 41, annexes I et IITexte officiel
- Règlement d'exécution (UE) 2024/2690EUR-Lex · mesures techniques et incidents importants des fournisseurs numériquesTexte officiel
- Recommandation 2003/361/CEEUR-Lex · définition des micro, petites et moyennes entreprisesTexte officiel
- Règlement (UE) 2022/2554 (DORA)EUR-Lex · résilience opérationnelle numérique du secteur financierTexte officiel
- Projet de loi résilience des infrastructures critiques et cybersécuritéAssemblée nationale · dossier législatif, statut vérifié le 20 octobre 2026Page officielle
- Communiqué de la Commission européenne IP/26/1499Irlande, Espagne, France et Pays-Bas renvoyés devant la Cour de justice, 8 juillet 2026Page officielle
- Code des assurances, article L12-10-1Légifrance · plainte sous 72 h pour être indemnisé après une cyberattaqueTexte officiel
- Portail NIS2 de l'ANSSITest d'éligibilité, pré-enregistrement volontaire, ReCyFPage officielle
- The Network and Information Systems Regulations 2018 (Royaume-Uni)legislation.gov.uk · SI 2018/506, règles 3, 8, 11, 12Texte officiel
- Cyber Security and Resilience (Network and Information Systems) Bill (Royaume-Uni)Parlement britannique · examen en séance à la Chambre des lords prévu le 26 octobre 2026, statut vérifié le 20 octobre 2026Page officielle
- Cyber Security and Resilience Bill : fiches du gouvernementGOV.UK, DSIT · prestataires de services managés, centres de données, notification des incidentsPage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur