NIS2 (Network and Information Security Directive 2)

NIS2 vise 18 secteurs répartis en deux catégories. Les entités essentielles regroupent l'énergie (électricité, gaz, pétrole, hydrogène), les transports (aérien, ferroviaire, maritime, routier), la banque et les marchés financiers, la santé (hôpitaux, fabricants de dispositifs médicaux, recherche pharmaceutique), l'eau potable et les eaux usées, les infrastructures numériques (DNS, IXP, cloud, datacenters), l'administration publique et l'espace. Les entités importantes couvrent les services postaux, la gestion des déchets, la chimie, l'agroalimentaire, la fabrication critique, les fournisseurs numériques (marketplaces, moteurs de recherche, réseaux sociaux) et la recherche. En France, l'ANSSI estime entre 10 000 et 15 000 entités assujetties, contre environ 300 sous NIS1. Le seuil d'application est généralement fixé à 50 salariés ou 10 M€ de chiffre d'affaires, avec des exceptions pour certains acteurs critiques quelle que soit leur taille.

Les sanctions sont effectives depuis 2025 et différenciées selon le type d'entité. Pour les entités essentielles, les amendes peuvent atteindre 10 M€ ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé étant retenu). Pour les entités importantes, le plafond est de 7 M€ ou 1,4 % du CA mondial. À cela s'ajoutent la responsabilité personnelle des dirigeants (suspension temporaire d'une fonction de direction), les injonctions, les mises en demeure publiques, les retraits d'agréments sectoriels et les obligations de notification publique des incidents non corrigés. En France, l'ANSSI est l'autorité de contrôle, avec un pouvoir de sanction renforcé.

NIS2 (Directive 2022/2555) remplace NIS1 (Directive 2016/1148) avec quatre évolutions majeures. Premièrement, le périmètre passe de 7 à 18 secteurs et d'environ 300 entités à 10 000-15 000 en France, avec la nouvelle distinction entre entités essentielles et entités importantes. Deuxièmement, les obligations techniques se précisent : gestion des risques selon dix domaines (politiques, gestion des incidents, continuité, sécurité chaîne d'approvisionnement, cryptographie, etc.). Troisièmement, la gouvernance devient une obligation : le board est responsable, les dirigeants doivent être formés. Quatrièmement, les sanctions deviennent réellement dissuasives et harmonisées, alors que NIS1 laissait une large latitude aux États membres.

Pour le secteur financier, DORA (Règlement UE 2022/2554) prime sur NIS2 au titre de la lex specialis : c'est la règle posée par l'article 4 de NIS2. Concrètement, une banque, un assureur ou une société de gestion entre dans le champ de DORA et non de NIS2 pour ses obligations de résilience opérationnelle, de gestion des risques TIC et de notification d'incidents. NIS2 conserve toutefois un rôle subsidiaire pour les entités financières non couvertes par DORA et pour certaines obligations transversales (gouvernance, supply chain hors TIC). Pour les sous-traitants TIC des entités financières, l'articulation est plus complexe : ils peuvent être à la fois sous DORA (en tant que prestataire critique désigné par les ESAs) et sous NIS2 (en tant que fournisseur cloud entité essentielle ou importante).

La directive NIS2 a été adoptée en décembre 2022 et devait être transposée par les États membres au plus tard le 17 octobre 2024. La France a transposé via une loi dédiée publiée en octobre 2024, portée par l'ANSSI. Les sanctions sont effectives depuis 2025, sans phase de tolérance pour la grande majorité des obligations — contrairement à ce que certaines entités espéraient. L'ANSSI a publié dès 2025 ses lignes directrices de contrôle et lancé ses premiers audits. Pour une entité qui se découvre assujettie aujourd'hui, l'urgence est réelle : un programme de mise en conformité NIS2 sérieux prend 6 à 12 mois selon la maturité initiale (gouvernance, cartographie des actifs, gestion des incidents, sécurité chaîne d'approvisionnement, formation dirigeants).