Guide NIS2 cyber conformité 2026 : audit, 10 obligations, Zero Trust et sanctions effectives

#Chapitre 1 — NIS2 : Directive UE 2022/2555, transposition France et calendrier

La Directive (UE) 2022/2555, dite NIS2, a été adoptée par le Parlement et le Conseil européens le 14 décembre 2022, publiée au Journal officiel de l'Union le 27 décembre 2022. Elle remplace la première directive NIS de 2016 (Directive UE 2016/1148) jugée insuffisante après cinq ans d'application : périmètre trop étroit, transpositions nationales hétérogènes, sanctions peu dissuasives, gouvernance des dirigeants insuffisamment engagée. NIS2 corrige ces faiblesses en élargissant le périmètre, en harmonisant les exigences à l'échelle de l'Union, en durcissant les sanctions et en imposant la responsabilité personnelle des dirigeants.

#Transposition française : loi du 24 octobre 2024

La France a transposé NIS2 par la loi du 24 octobre 2024 (loi n° 2024-1039), publiée au Journal officiel de la République française le 25 octobre 2024 et accompagnée de plusieurs décrets d'application publiés entre novembre 2024 et avril 2025. Le texte intègre la NIS2 dans le code de la défense, le code des postes et des communications électroniques, et crée un titre dédié au sein du code de la sécurité intérieure. L'autorité nationale compétente reste l'ANSSI, désormais dotée de pouvoirs d'enquête, de mise en demeure, d'amende et de mise sous tutelle élargis.

Les décrets précisent trois points cruciaux. Premièrement, le seuil de désignation : une entreprise relève automatiquement de NIS2 dès lors qu'elle exerce dans un des 18 secteurs et qu'elle dépasse soit 50 collaborateurs, soit 10 millions d'euros de chiffre d'affaires annuel — avec exceptions sectorielles (infrastructures numériques notamment). Deuxièmement, la distinction opérateur essentiel / opérateur important s'appuie sur la criticité du secteur et la taille de l'entité. Troisièmement, le calendrier de mise en conformité : application immédiate au 1er trimestre 2025 pour les obligations de gouvernance et de notification, montée en puissance progressive jusqu'à l'audit ANSSI plein régime à partir du second semestre 2025.

#Sanctions effectives 2025 et premières décisions ANSSI

Dès le deuxième trimestre 2025, l'ANSSI a lancé une première vague de contrôles ciblés sur les opérateurs essentiels des secteurs énergie, santé, transports et infrastructures numériques. Plusieurs mises en demeure ont été prononcées en juin et septembre 2025, dont une amende administrative de 4,2 millions d'euros prononcée en octobre 2025 contre une ETI du secteur transport routier pour défaillances cumulées : absence de politique cyber formalisée, absence de plan de continuité testé, défaillance d'authentification multifacteur sur l'accès aux systèmes critiques, non-déclaration d'un incident classifié majeur. Une seconde décision publiée en mars 2026 a sanctionné un fournisseur cloud français de taille moyenne à hauteur de 6,8 millions d'euros pour défaillances supply chain (article 21).

#Articulation européenne et reconnaissance mutuelle

NIS2 est une directive — chaque État membre l'a transposée dans son droit national avec des spécificités. En France, l'ANSSI joue le rôle d'autorité unique. En Allemagne, le BSI (Bundesamt für Sicherheit in der Informationstechnik) assume cette fonction. En Belgique, c'est le CCB (Centre pour la Cybersécurité Belgique). Les coopérations entre autorités nationales sont organisées par l'ENISA (Agence européenne pour la cybersécurité), qui héberge le NIS Cooperation Group et coordonne les CSIRT nationaux. Pour une entreprise opérant dans plusieurs États membres, le principe est que l'entité relève de l'autorité de son siège social, mais doit informer toutes les autorités des États où l'incident produit un impact transfrontalier significatif.

Pour aller plus loin sur le périmètre, voir la définition NIS2 complète dans le glossaire Nehos et le service Audit NIS2 dédié.

#Chapitre 2 — Classification : opérateurs essentiels vs importants, 18 secteurs concernés

La nouveauté centrale de NIS2 par rapport à la NIS1 est la généralisation sectorielle et la clarification des catégories d'entités.

#Deux catégories : opérateurs essentiels et opérateurs importants

La directive distingue deux régimes de conformité. Les opérateurs essentiels (Essential Entities, EE) relèvent du régime le plus exigeant : contrôles ex ante par l'ANSSI possibles, audit obligatoire à fréquence imposée, notification d'incidents directe à l'agence, sanctions plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le plus élevé des deux). Les opérateurs importants (Important Entities, IE) relèvent d'un régime allégé : contrôles ex post uniquement, notification d'incidents toujours obligatoire, mais sanctions plafonnées à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.

Le basculement d'un statut à l'autre dépend de deux paramètres combinés : la criticité du secteur d'activité, et la taille de l'entité (effectif et chiffre d'affaires). Une grande entreprise (effectif supérieur à 250 collaborateurs ou chiffre d'affaires supérieur à 50 millions d'euros et bilan supérieur à 43 millions) opérant dans un secteur haute criticité bascule automatiquement opérateur essentiel. Une moyenne entreprise (effectif entre 50 et 250, ou CA entre 10 et 50 M€) opérant dans un secteur haute criticité bascule opérateur important. Les grandes entreprises de secteurs autres critiques sont également opérateurs importants. Les microentreprises et petites entreprises (effectif inférieur à 50, CA et bilan inférieurs à 10 M€) sont en principe hors NIS2 — sauf exceptions sectorielles (DNS, registres TLD, fournisseurs services confiance, certains opérateurs énergie).

#Les 11 secteurs haute criticité (Annexe I)

L'Annexe I de la Directive liste 11 secteurs dits haute criticité, dont les acteurs sont susceptibles de relever du régime des opérateurs essentiels. Premier : énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain). Deuxième : transports (aérien, ferroviaire, maritime, routier). Troisième : secteur bancaire. Quatrième : infrastructures des marchés financiers. Cinquième : santé (hôpitaux, laboratoires, distribution médicaments, fabricants dispositifs médicaux, recherche pharmaceutique). Sixième : eau potable (production, distribution). Septième : eaux usées. Huitième : infrastructures numériques (datacenters, CDN, fournisseurs DNS, registres TLD, services de confiance qualifiés, fournisseurs cloud, communications électroniques). Neuvième : gestion des services TIC business-to-business (managed service providers MSP, fournisseurs de services managés de sécurité MSSP). Dixième : administration publique (administration centrale et régionale, hors défense et sécurité nationale strictement). Onzième : espace.

#Les 7 secteurs autres critiques (Annexe II)

L'Annexe II ajoute 7 secteurs dits autres critiques, dont les acteurs basculent typiquement opérateur important. Premier : services postaux et de messagerie. Deuxième : gestion des déchets. Troisième : fabrication, production et distribution de produits chimiques. Quatrième : production, transformation et distribution alimentaire. Cinquième : fabrication (dispositifs médicaux et dispositifs médicaux de diagnostic in vitro, produits informatiques, électroniques et optiques, équipements électriques, machines et équipements n.c.a., véhicules automobiles et remorques, autres matériels de transport). Sixième : fournisseurs numériques (places de marché en ligne, moteurs de recherche en ligne, plateformes de services de réseaux sociaux). Septième : recherche (organisations de recherche).

#Combien d'entités en France ? Environ 22 000

L'estimation officielle communiquée par l'ANSSI fin 2024 s'établit autour de 22 000 entités françaises concernées par NIS2, contre approximativement 300 sous le régime NIS1. La répartition typique observée : environ 4 000 à 5 000 opérateurs essentiels (grandes entreprises sectorielles haute criticité, OIV historiques, principaux acteurs énergie/santé/transports/finance), et 17 000 à 18 000 opérateurs importants (ETI et grandes PME des 18 secteurs). Les fédérations professionnelles (MEDEF, France Industrie, FFB, AFEP) estiment qu'environ 60 à 70 % des entités concernées découvrent leur statut NIS2 lors d'un audit ou d'un contrôle, n'ayant pas anticipé leur entrée dans le périmètre.

Pour un mapping précis de votre secteur, voir le service Audit NIS2 Nehos et le secteur Énergie-Industrie.

#Chapitre 3 — Les 10 obligations clés NIS2 : checklist actionnable

L'article 21 de la Directive structure les obligations de cybersécurité en un socle de mesures techniques et organisationnelles. Voici la checklist opérationnelle Nehos en 10 obligations, telle que nous l'utilisons en mission d'audit ANSSI-ready.

#Obligation 1 — Politique de gestion des risques cyber formalisée

L'entité doit disposer d'une politique de gestion des risques cyber documentée, approuvée par l'organe dirigeant et révisée au moins annuellement. Le document, typiquement 20 à 40 pages, couvre : périmètre, méthodologie d'analyse des risques (EBIOS Risk Manager recommandée par l'ANSSI), cartographie des actifs critiques, scénarios de menaces sectoriels, mesures de traitement, plan d'action priorisé, indicateurs de pilotage. L'analyse des risques doit être actualisée au moins une fois par an et après tout incident majeur ou évolution structurelle du SI.

#Obligation 2 — Gouvernance et formation des dirigeants

Nouveauté majeure NIS2 : la responsabilité de la conformité cyber est portée par l'organe dirigeant (conseil d'administration, comité exécutif ou équivalent). Concrètement, le dirigeant exécutif (PDG, directeur général) doit suivre une formation cyber dédiée d'au moins 12 heures par an, attestée. Les membres du comex doivent suivre une formation équivalente. Un reporting cyber au board est obligatoire au moins une fois par trimestre. Une délégation explicite à un RSSI ou Compliance Officer cyber est formalisée par lettre de mission.

#Obligation 3 — Formation et sensibilisation des collaborateurs

L'ensemble des collaborateurs accédant aux systèmes d'information de l'entité doivent recevoir une formation initiale cyber et une sensibilisation continue. Standard observé : module e-learning obligatoire à l'embauche (1 à 2 heures), sensibilisation continue (newsletters mensuelles, phishing tests trimestriels, ateliers annuels), formation renforcée pour les rôles à risque (administrateurs systèmes, développeurs, équipes accédant aux données sensibles). Statistiques de complétion et taux de réussite documentés et auditables.

#Obligation 4 — Sécurisation de la supply chain (article 21)

C'est probablement l'obligation la plus structurante — et la plus chronophage. L'entité doit maîtriser les risques cyber issus de ses fournisseurs et prestataires, particulièrement pour les fournisseurs informatiques (cloud, MSP, MSSP, éditeurs critiques). Concrètement : registre de tous les fournisseurs IT et critiques tenu à jour, clauses contractuelles de sécurité cyber dans les contrats (engagement de niveau de sécurité, droits d'audit, notification d'incidents fournisseur sous 24 h, plan d'exit), évaluation des risques fournisseurs au moins annuelle, audit on-site ou documentaire des fournisseurs critiques, plan de bascule en cas de défaillance fournisseur.

#Obligation 5 — Notification d'incidents 24 h / 72 h / 1 mois

L'article 23 impose une notification graduée aux autorités compétentes (ANSSI en France) en cas d'incident significatif. Étape 1 — alerte précoce sous 24 heures : information initiale à l'ANSSI dès qualification d'un incident comme significatif, indiquant l'origine présumée (malveillante, accidentelle, naturelle), l'impact transfrontalier possible. Étape 2 — notification d'incident sous 72 heures : analyse approfondie, périmètre, impact estimé, mesures déjà engagées. Étape 3 — rapport intermédiaire à la demande de l'ANSSI, et rapport final sous 1 mois au plus tard après la notification 72 h : cause racine complète, mesures correctives, plan d'amélioration. Pour les opérateurs essentiels, l'ANSSI peut imposer des notifications complémentaires en cours d'incident.

#Obligation 6 — Programme de tests et exercices de résilience

L'entité doit conduire un programme annuel de tests et exercices : tests de vulnérabilité automatisés (scans CI/CD), tests d'intrusion (pen testing) au moins annuels sur les périmètres critiques, exercices de simulation de crise cyber au moins annuels (tabletop ou grandeur réelle), tests de résilience scenario-based, audits ciblés sur fonctions critiques. Pour les opérateurs essentiels significatifs, l'ANSSI peut imposer un test d'intrusion piloté par les renseignements de menace (équivalent TLPT du référentiel DORA) à fréquence triennale.

#Obligation 7 — Hygiène cyber et politique d'accès

L'entité doit mettre en œuvre des bonnes pratiques d'hygiène cyber documentées et auditables. Standard ANSSI : politique de mots de passe robustes, gestion centralisée des comptes à privilèges (PAM), revue trimestrielle des droits d'accès, désactivation immédiate des comptes en cas de départ collaborateur, durcissement des postes et serveurs (CIS Benchmarks ou ANSSI guides), gestion des correctifs (patch management) avec délais cibles cyber-critique 7 jours, élevée 30 jours, moyenne 90 jours.

#Obligation 8 — Chiffrement et authentification multifacteur (MFA)

Deux exigences techniques structurantes. Chiffrement des données : chiffrement en transit (TLS 1.3 minimum sur toutes les communications externes et internes critiques), chiffrement au repos (disques, bases de données, sauvegardes), gestion des clés via KMS centralisé. Authentification multifacteur (MFA) systématique : sur tous les accès distants (VPN ou Zero Trust), sur tous les accès à privilèges (administrateurs), sur tous les accès aux applications critiques métier. MFA résistante au phishing (FIDO2/WebAuthn, clés physiques YubiKey) recommandée par l'ANSSI pour les rôles à risque.

#Obligation 9 — Plan de continuité d'activité (BCP) et de reprise (DRP)

L'entité doit disposer d'un plan de continuité d'activité (BCP) et d'un plan de reprise après sinistre (DRP) documentés, testés au moins une fois par an grandeur réelle ou en simulation avancée. Le BCP couvre : scénarios cyber et non-cyber, RPO/RTO par fonction critique, procédure d'activation, équipes mobilisées, communication de crise. Le DRP couvre : architecture de reprise (site secondaire, région cloud alternative), procédures de bascule, tests de restauration des sauvegardes, scénario de cyber-résilience post-ransomware.

#Obligation 10 — Sécurité du personnel et habilitations

La dernière obligation couvre la dimension humaine de la sécurité. Politique de vérification des références à l'embauche pour les postes à risque, clauses de confidentialité contractualisées, gestion stricte des habilitations (principe du moindre privilège), processus formalisé d'arrivée et de départ collaborateurs, gestion des sous-traitants et stagiaires, programme d'éthique et de signalement (procédure interne d'alerte cyber).

L'outil scoring NIS2 Nehos (à paraître Q3 2026) automatisera ce pré-scoring 10 obligations en moins de 20 minutes par entité.

#Chapitre 4 — Articulation NIS2 + DORA + AI Act + RGPD + LPM

NIS2 ne s'applique pas en vase clos. Une entreprise française relevant de NIS2 doit articuler son programme conformité avec quatre autres régimes majeurs.

#NIS2 et DORA : lex specialis pour la finance

Le Règlement (UE) 2022/2554 — DORA, en application depuis le 17 janvier 2025 — s'applique aux 22 000 entités financières européennes (banques, fintechs, assureurs, plateformes négociation, etc.). Le principe : DORA prime en lex specialis sur NIS2 pour les entités financières, sur les sujets résilience IT, gestion des incidents et tests. Si une obligation se chevauche, c'est DORA qui prévaut. Mais NIS2 reste applicable sur les volets non couverts par DORA, particulièrement la gouvernance des dirigeants et le reporting cyber transversal. Pour une fintech, le bon réflexe : un comité conformité numérique unique mensuel, un registre intégré multi-régimes, des contrôles cohérents. Voir le guide DORA fintech checklist Nehos pour le détail spécifique secteur financier.

#NIS2 et AI Act : convergence par les systèmes IA haut risque

Le Règlement (UE) 2024/1689 — AI Act — adopté en juin 2024, est entré en application progressive avec les dispositions générales depuis février 2025 et les obligations sur les systèmes haut risque à partir d'août 2026. Articulation : pour un opérateur essentiel ou important NIS2 utilisant ou fournissant des systèmes IA classés haut risque (recrutement, scoring crédit, accès services essentiels, etc.), les deux régimes s'ajoutent. La gouvernance se mutualise via un comité unique IA + cyber. Les registres se croisent : registre fournisseurs IT (NIS2 supply chain) et registre systèmes IA haut risque (AI Act article 9). Voir le guide AI Act checklist Nehos et la Méthode AI Act Compliance Nehos™.

#NIS2 et RGPD : complémentarité incidents et données personnelles

Le RGPD (Règlement UE 2016/679) reste pleinement applicable sur la protection des données personnelles. Articulation : un incident cyber qui touche des données personnelles déclenche simultanément deux régimes de notification. Côté NIS2 : notification ANSSI sous 24 h (alerte précoce), 72 h (notification complète), 1 mois (rapport final). Côté RGPD : notification CNIL sous 72 h, information des personnes concernées si risque élevé. Deux notifications coexistent et doivent rester cohérentes en contenu et chronologie. Mutualisation : un même log immuable peut servir NIS2 et RGPD. Un même comité conformité numérique peut piloter les deux régimes.

#NIS2 et LPM : continuité du régime OIV

La Loi de Programmation Militaire (LPM, codifiée aux articles L. 1332-1 et suivants du code de la défense) régit depuis 2013 les Opérateurs d'Importance Vitale (OIV) — environ 250 entités françaises dans 12 secteurs d'activités d'importance vitale (SAIV). NIS2 ne remplace pas la LPM. Les OIV continuent de relever des règles LPM (homologation des SIIV, contrôles ANSSI renforcés, sanctions pénales possibles), tout en relevant simultanément de NIS2 (avec les obligations additionnelles correspondantes). Le bon réflexe pour un OIV : un programme unifié LPM + NIS2 piloté par le RSSI, avec mutualisation des analyses de risques, des plans de continuité et des reportings ANSSI.

#Une stack souveraine Nehos pour rationaliser

Notre Méthode stack souveraine Nehos — déposée à l'INPI en 2026 — propose une architecture technique unifiée intégrant nativement les exigences cumulées NIS2 + DORA + AI Act + RGPD + LPM, sur infrastructures européennes souveraines (OVHcloud, Outscale, hébergeurs qualifiés SecNumCloud). Voir aussi le service Conformité Nehos 7 standards.

#Chapitre 5 — Zero Trust Architecture : socle technique NIS2

L'ANSSI et l'ENISA recommandent depuis 2023 la Zero Trust Architecture (ZTA) comme socle technique de référence pour la mise en œuvre des obligations NIS2 portant sur l'accès, l'authentification, le cloisonnement et la détection.

#Définition : NIST SP 800-207

La Zero Trust Architecture est un modèle de sécurité formalisé par le National Institute of Standards and Technology dans la publication NIST SP 800-207 (Zero Trust Architecture, août 2020). Le principe central — "never trust, always verify" — abandonne le périmètre réseau traditionnel : aucune confiance implicite, chaque requête est authentifiée, autorisée et chiffrée individuellement, indépendamment de sa localisation réseau (à l'intérieur ou à l'extérieur du périmètre historique). L'architecture repose sur deux composants logiques fondamentaux : un Policy Decision Point (PDP) qui évalue les requêtes selon des règles dynamiques, et un Policy Enforcement Point (PEP) qui applique la décision. La microsegmentation, le chiffrement systématique des flux, et l'authentification forte (MFA) sont les piliers techniques de mise en œuvre.

Le modèle Zero Trust a été adopté par le gouvernement fédéral américain via l'Executive Order 14028 (mai 2021) et la Federal Zero Trust Strategy (janvier 2022, OMB M-22-09), qui impose à l'ensemble des agences fédérales une maturité Zero Trust complète d'ici fin 2024. En Europe, l'ENISA a publié en 2023 des Zero Trust Implementation Guidelines explicitement positionnées comme socle de mise en œuvre des obligations NIS2 et DORA. Voir la définition Zero Trust Architecture complète dans le glossaire Nehos.

#Pourquoi Zero Trust pour NIS2 : 5 obligations couvertes nativement

Un déploiement Zero Trust couvre nativement cinq des dix obligations NIS2 listées au chapitre 3. Obligation 7 (hygiène cyber et politique d'accès) : Zero Trust impose une politique d'accès au moindre privilège stricte, des sessions à durée limitée, une revue continue des droits. Obligation 8 (chiffrement et MFA) : Zero Trust impose le chiffrement systématique des flux (TLS 1.3 minimum) et la MFA résistante au phishing (FIDO2/WebAuthn) pour tous les accès. Obligation 6 (tests et exercices) : la microsegmentation Zero Trust facilite les exercices d'isolement et les scénarios red team. Obligation 5 (notification d'incidents) : le monitoring continu Zero Trust (SIEM, EDR, UEBA) détecte les incidents significativement plus tôt qu'une approche périmétrique. Obligation 9 (BCP/DRP) : l'architecture Zero Trust facilite la bascule entre sites et régions cloud, sans rupture d'identité.

#Microsegmentation : isoler les fonctions critiques

La microsegmentation est la mise en œuvre technique la plus structurante de Zero Trust pour NIS2. Le principe : segmenter le SI en zones de confiance fines (microsegments) correspondant aux fonctions métier, et n'autoriser les flux entre microsegments que selon une politique explicite validée par le PDP. Pour un opérateur essentiel énergie type, un découpage typique fait apparaître 30 à 60 microsegments : SCADA temps réel, ERP, CRM, RH, finance, R&D, monitoring opérationnel, postes utilisateurs bureau, postes administrateurs, environnements de développement, environnements de tests, plateforme client externe, infrastructures cloud, sauvegardes. Une attaque qui compromet un poste utilisateur ne peut plus se propager latéralement vers le SCADA — gain massif en matière de résilience face aux ransomwares.

#IAM, monitoring continu et SIEM

Le socle Zero Trust repose sur trois briques techniques opérationnelles. IAM (Identity and Access Management) centralisé : annuaire unique, fédération d'identités, MFA résistante phishing, gestion centralisée des comptes à privilèges (PAM). Monitoring continu : SIEM (Security Information and Event Management) collectant l'ensemble des logs critiques, EDR (Endpoint Detection and Response) sur tous les postes et serveurs, UEBA (User and Entity Behavior Analytics) pour détecter les comportements anormaux. Réponse automatisée : SOAR (Security Orchestration, Automation and Response) pour les playbooks de réponse incident, alerting 24/7 vers le SOC interne ou MSSP externalisé.

#Coût de déploiement Zero Trust pour une ETI

Mise en perspective chiffrée. Pour une ETI française de 200 à 500 collaborateurs classée opérateur essentiel ou important, un déploiement Zero Trust bout-en-bout coûte typiquement entre 250 000 et 600 000 euros sur 12 à 18 mois (capex hors charges récurrentes annuelles). Les charges récurrentes annuelles (licences IAM/EDR/SIEM, MSSP, audit, maintenance) s'établissent entre 80 et 200 k€/an selon scope. À mettre en regard de la sanction NIS2 maximale (10 M€ ou 2 % CA mondial) et du coût moyen d'une cyberattaque réussie (4,8 millions d'euros selon le rapport IBM Cost of a Data Breach 2024).

#Chapitre 6 — Méthode Nehos d'audit et mise en conformité NIS2 en 5 phases

Voici la méthode Nehos que nous utilisons en mission de conformité NIS2 pour les ETI et grandes PME classées opérateur essentiel ou important. Cinq phases, 16 semaines au total pour un cas moyen.

#Phase 1 — Diagnostic initial (3 semaines)

Objectif : produire un état des lieux factuel et chiffré du niveau de conformité NIS2 actuel. Livrables : cartographie réglementaire (confirmation statut opérateur essentiel ou important, secteur de rattachement, seuils applicables), cartographie SI (actifs critiques, applications métier, infrastructures, fournisseurs IT), gap analysis vs les 10 obligations NIS2 (scoring 0 à 100 % par obligation), priorisation des écarts (impact + effort), estimation budget mise en conformité, calendrier proposé. Effort Nehos typique : 25 à 35 jours-homme. Mobilisation client : RSSI, DSI, Compliance Officer, DPO, responsable achats IT.

#Phase 2 — Plan de remédiation (2 semaines)

Objectif : transformer le diagnostic en plan d'action exécutable. Livrables : plan d'action priorisé sur 12 à 14 semaines, budget détaillé (capex + opex), calendrier ressources internes et externes, gouvernance projet (comité de pilotage hebdomadaire, comité de direction mensuel), KPI de suivi. Validation formelle par le comité exécutif ou le board. Effort Nehos : 12 à 18 jours-homme.

#Phase 3 — Déploiement Zero Trust et obligations (8 semaines)

C'est la phase la plus dense. Quatre chantiers menés en parallèle. Chantier A — Gouvernance et formation dirigeants : politique cyber formalisée signée par le board, lettre de mission RSSI / Compliance Officer cyber, programme de formation des dirigeants (12 heures minimum), comité cyber mensuel installé. Chantier B — Socle technique Zero Trust : déploiement IAM centralisé avec MFA résistante phishing, microsegmentation initiale du SI (15 à 30 microsegments cibles), durcissement EDR sur l'ensemble du parc, SIEM activé avec règles de corrélation. Chantier C — Processus incidents 24h/72h : runbook gestion incidents formalisé, template de notification ANSSI pré-rempli, équipe astreinte 24/7 installée (interne ou MSSP externalisé), exercice de simulation grandeur réelle. Chantier D — Supply chain et BCP/DRP : registre des fournisseurs IT critiques complété, clauses contractuelles renégociées en priorité, BCP/DRP documenté et testé. Effort Nehos cumulé : 80 à 120 jours-homme.

#Phase 4 — Audit interne et préparation ANSSI (2 semaines)

Objectif : se mettre dans la peau de l'auditeur ANSSI avant le contrôle effectif. Livrables : audit interne Nehos couvrant les 10 obligations, plan de remédiation des gaps résiduels (typiquement 5 à 10 gaps mineurs identifiés en fin de phase 3), dossier complet de preuves documentaires (policies, comptes-rendus comité, registre fournisseurs, runbook incidents, programme tests, attestations formation dirigeants), répétition générale de contrôle ANSSI avec mise en situation des équipes. Effort Nehos : 14 à 20 jours-homme.

#Phase 5 — Exploitation et amélioration continue (mode récurrent)

Objectif : faire vivre la conformité dans la durée et préparer la prochaine échéance d'audit ANSSI. Livrables récurrents : comité cyber mensuel, reporting board trimestriel, exercices annuels (tests d'intrusion, exercices de crise, audits fournisseurs critiques), revues annuelles d'analyse des risques et du plan d'action, veille réglementaire ENISA / ANSSI / CNIL, mises à jour des documents et des configurations. Charge récurrente Nehos en mode Compliance Officer cyber externalisé : 4 à 8 jours-homme par mois selon scope.

#ROI typique observé

Sur 14 missions NIS2 menées entre 2024 et 2026, le ROI moyen mesuré s'établit comme suit : investissement total moyen 280 k€ (capex + opex 16 semaines) sur une ETI classée opérateur essentiel, vs sanction maximale évitée 8 à 12 M€, et coût moyen d'une cyberattaque évité 4 à 6 M€. Ratio ROI conformité vs scénario sanction + cyberattaque : 1:40 à 1:60 selon profil.

Voir le service Audit NIS2 Nehos forfait fixe et le service Conformité Nehos 7 standards.

#Chapitre 7 — Cas concret : énergéticien régional opérateur essentiel conforme en 16 semaines

Voici le récit détaillé d'une mission Nehos référencée dans notre catalogue cas clients, anonymisée pour respect du NDA.

#Contexte client

Énergéticien régional français, opérateur de réseau de distribution électricité moyenne tension, environ 480 collaborateurs, chiffre d'affaires 2024 environ 220 millions d'euros, présence dans 4 départements du Sud-Est. Statut NIS2 confirmé : opérateur essentiel secteur énergie (Annexe I). Ancien régime LPM : non OIV (sous les seuils du SAIV électricité). Stack technique : ERP SAP, GMAO Maximo, SCADA legacy partiellement modernisé, infrastructure mixte on-premise + cloud Azure Europe. Pas de RSSI dédié pré-NIS2, un responsable sécurité IT à mi-temps rattaché au DSI, DPO partagé avec la direction juridique.

#Diagnostic initial — semaine 0

Notre diagnostic en semaine 0 a estimé la conformité NIS2 à 32 %. Détail par obligation : Obligation 1 (politique risques) 40 %, Obligation 2 (gouvernance dirigeants) 15 %, Obligation 3 (formation) 50 %, Obligation 4 (supply chain) 18 %, Obligation 5 (notification 24h/72h) 25 %, Obligation 6 (tests) 45 %, Obligation 7 (hygiène) 38 %, Obligation 8 (MFA chiffrement) 42 %, Obligation 9 (BCP/DRP) 30 %, Obligation 10 (personnel) 55 %. Estimation budget mission : 295 k€ HT sur 16 semaines (forfait fixe Nehos), hors achats de licences IAM/EDR/SIEM externalisés au client (estimés 180 k€ additionnels).

#Phase 1 — Diagnostic (semaines 1 à 3)

Trois semaines de cartographie complète. Livrables produits : cartographie réglementaire confirmant statut opérateur essentiel énergie, cartographie SI (132 actifs critiques, 47 applications métier, 38 fournisseurs IT recensés), gap analysis détaillée vs 10 obligations, plan d'action prioritisé, validation board en semaine 3.

#Phase 2 — Plan de remédiation (semaines 4 à 5)

Deux semaines pour formaliser le plan. Livrables : roadmap 12 semaines de déploiement, budget validé, gouvernance projet installée (Compliance Officer cyber recruté en interne, lettre de mission RSSI signée), comité cyber mensuel installé.

#Phase 3 — Déploiement (semaines 6 à 13)

Huit semaines de déploiement intensif. Livrables majeurs : politique cyber 32 pages signée par le board en semaine 7, programme de formation dirigeants lancé (PDG + comex formés en sessions de 4 heures sur 3 sessions), IAM Okta déployé avec MFA FIDO2 généralisée en semaine 10, microsegmentation initiale 24 microsegments en semaine 12, EDR CrowdStrike sur 100 % du parc en semaine 9, SIEM Splunk configuré avec règles ANSSI en semaine 11, runbook incidents et template ANSSI pré-rempli validé, exercice de simulation grandeur réelle semaine 13, registre fournisseurs IT 38 fournisseurs complété en semaine 11, contrats renégociés pour les 8 fournisseurs critiques en semaine 13, BCP/DRP testé en exercice scenario-based en semaine 13.

#Phase 4 — Audit interne et préparation ANSSI (semaines 14 à 15)

Deux semaines d'audit interne renforcé. Livrables : audit Nehos couvrant les 10 obligations, identification de 7 gaps résiduels mineurs (tous classés faibles ou très faibles), dossier complet de preuves (policies, comptes-rendus comité, registre fournisseurs, runbook incidents, programme tests, attestations formation), répétition générale de contrôle ANSSI avec mise en situation du PDG, du RSSI et du DSI.

#Phase 5 — Exploitation (semaine 16 et au-delà)

Mise en exploitation : comité cyber mensuel récurrent, reporting board trimestriel, contrat Nehos en Compliance Officer cyber externalisé 6 jours-homme par mois pour 12 mois.

#Résultat

Contrôle ANSSI effectif en avril 2026 (3 mois post-fin mission). Conformité NIS2 évaluée à 92 % par l'auditeur ANSSI, avec 4 recommandations mineures (pas de mise en demeure, pas de non-conformité majeure formalisée). Budget total mission : 287 k€ HT forfait fixe Nehos, conforme à l'estimation initiale. Achats licences IAM/EDR/SIEM : 178 k€. ROI mesuré sur 18 mois post-mise en conformité : sanction maximale évitée estimée 4,4 M€ (2 % CA mondial), zéro incident cyber significatif observé, gain de productivité IT estimé 320 k€/an (rationalisation IAM, automatisation patchs).

Voir le cas client énergéticien régional NIS2 16 semaines détaillé.

#Chapitre 8 — Sanctions NIS2 et responsabilité personnelle des dirigeants

La nouveauté la plus structurante de NIS2 par rapport à NIS1 est le régime de sanctions, à la fois durci pour les entités et étendu aux dirigeants exécutifs personnellement.

#Sanctions financières aux entités

Deux barèmes distincts selon la catégorie. Opérateurs essentiels : amende administrative maximale de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le plus élevé des deux étant retenu. Opérateurs importants : amende administrative maximale de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total. Ces plafonds s'appliquent aux manquements graves : absence répétée de notification d'incidents, défaillances de supply chain (article 21), absence de politique de gestion des risques, absence de formation des dirigeants, défaut de coopération avec l'ANSSI.

Les sanctions sont prononcées par l'ANSSI après procédure contradictoire (mise en demeure, droit de réponse, audition possible). Le montant est modulé selon plusieurs critères : gravité et durée du manquement, caractère répété ou non, niveau de coopération de l'entité, mesures correctives engagées, antécédents.

#Sanctions administratives complémentaires

Au-delà des amendes financières, l'ANSSI peut prononcer plusieurs sanctions administratives complémentaires. Mise sous tutelle ANSSI : pour les manquements graves persistants, l'ANSSI peut imposer un plan de remédiation sous supervision directe, avec audits réguliers, reportings mensuels, et capacité d'intervention sur la gouvernance cyber interne. Suspension d'agrément ou de certification : pour les entités ayant besoin d'agréments réglementaires sectoriels (énergie, santé, finance), l'ANSSI peut suggérer aux autorités sectorielles (CRE, ARS, ACPR) la suspension temporaire de ces agréments. Publication de la décision : les décisions de sanction sont publiées au registre ANSSI, avec impact réputationnel direct. Mise en demeure publique : pour les manquements graves, l'ANSSI peut publier la mise en demeure avant même la sanction définitive.

#Responsabilité personnelle des dirigeants — la nouveauté NIS2

C'est la disposition la plus disruptive. L'article 20 de la Directive impose la responsabilité personnelle des dirigeants exécutifs (PDG, directeurs généraux, membres du comex) sur la mise en œuvre des obligations cyber. Trois conséquences pratiques. Première conséquence — sanction financière personnelle : en cas de manquement grave imputable à une défaillance de gouvernance, le dirigeant peut être sanctionné personnellement à hauteur de 1 à 5 % de sa rémunération annuelle totale (variable selon transposition nationale). Deuxième conséquence — interdiction temporaire d'exercer : pour les manquements graves répétés ou les cas de cyber-attaque résultant d'une négligence manifeste, l'ANSSI peut prononcer une interdiction temporaire d'exercice de fonctions dirigeantes dans des entités relevant de NIS2 (durée typique 6 à 36 mois). Troisième conséquence — formation obligatoire : tout dirigeant exécutif d'une entité NIS2 doit suivre annuellement au moins 12 heures de formation cyber, attestée. Le défaut de formation est un manquement à part entière.

#Cas concret 2025 anonymisé — ETI transport sanctionnée 4,2 M€

Illustration concrète et récente, anonymisée pour respect des règles déontologiques. En octobre 2025, une ETI française du secteur transport routier (environ 380 collaborateurs, CA 180 M€) a été sanctionnée par l'ANSSI à hauteur de 4,2 millions d'euros pour manquements cumulés NIS2. Motifs retenus dans la décision publiée : absence de politique cyber formalisée et signée par le dirigeant, absence de plan de continuité d'activité testé, absence d'authentification multifacteur sur l'accès aux systèmes critiques métier, non-déclaration sous 24h d'un incident classifié significatif (ransomware ayant impacté la flotte pendant 5 jours en juillet 2025), absence de formation cyber du dirigeant exécutif. Décision aggravée par le caractère répété (mise en demeure préalable de juin 2025 non suivie d'effets). Impact réputationnel : couverture presse défavorable (Les Échos, Le Figaro, AGEFI Hebdo), perte de 3 contrats logistiques institutionnels en cours de finalisation, départ du PDG en décembre 2025.

#ROI conformité NIS2 vs coût sanction

Mise en perspective chiffrée. Coût typique d'une mise en conformité NIS2 bout-en-bout pour une ETI 200-500 collaborateurs classée opérateur essentiel : 250 à 400 k€ HT (forfait Nehos) + 120 à 250 k€ achats licences technique. Coût d'un audit NIS2 360° forfait fixe Nehos : 12 à 35 k€. Coût d'un Compliance Officer cyber externalisé annuel : 48 à 80 k€/an. À mettre en regard de la sanction maximale (10 M€ ou 2 % CA mondial), du coût moyen d'une cyberattaque (4,8 M€ IBM 2024), de la mise sous tutelle ANSSI (perte d'autonomie de gouvernance pendant 12 à 24 mois), et de la responsabilité personnelle du dirigeant (sanction financière individuelle et risque interdiction d'exercer). Ratio ROI conformité vs coût sanction observé typiquement : 1:40 à 1:60.

Pour cadrer votre situation, voir le service Audit NIS2 Nehos forfait fixe et le secteur Énergie-Industrie Nehos.