Guide NIS2 cyber conformité 2026 : audit, 10 obligations, Zero Trust et sanctions effectives

#Chapitre 1 — NIS2 : Directive UE 2022/2555, transposition France et calendrier

La Directive (UE) 2022/2555, dite NIS2, a été adoptée par le Parlement et le Conseil européens le 14 décembre 2022, publiée au Journal officiel de l'Union le 27 décembre 2022. Elle remplace la première directive NIS de 2016 (Directive UE 2016/1148) jugée insuffisante après cinq ans d'application : périmètre trop étroit, transpositions nationales hétérogènes, sanctions peu dissuasives, gouvernance des dirigeants insuffisamment engagée.

NIS2 corrige ces faiblesses en élargissant le périmètre, en harmonisant les exigences à l'échelle de l'Union, en durcissant les sanctions et en imposant la responsabilité personnelle des dirigeants.

#Transposition française : loi du 24 octobre 2024

La France a transposé NIS2 par la loi du 24 octobre 2024 (loi n° 2024-1039), publiée au Journal officiel de la République française le 25 octobre 2024 et accompagnée de plusieurs décrets d'application publiés entre novembre 2024 et avril 2025. Le texte intègre la NIS2 dans le code de la défense, le code des postes et des communications électroniques, et crée un titre dédié au sein du code de la sécurité intérieure.

L'autorité nationale compétente reste l'ANSSI, désormais dotée de pouvoirs d'enquête, de mise en demeure, d'amende et de mise sous tutelle élargis.

Les décrets précisent trois points cruciaux. Premièrement, le seuil de désignation : une entreprise relève automatiquement de NIS2 dès lors qu'elle exerce dans un des 18 secteurs et qu'elle dépasse soit 50 collaborateurs, soit 10 millions d'euros de chiffre d'affaires annuel — avec exceptions sectorielles (infrastructures numériques notamment).

Deuxièmement, la distinction opérateur essentiel / opérateur important s'appuie sur la criticité du secteur et la taille de l'entité. Troisièmement, le calendrier de mise en conformité : application immédiate au 1er trimestre 2025 pour les obligations de gouvernance et de notification, montée en puissance progressive jusqu'à l'audit ANSSI plein régime à partir du second semestre 2025.

#Contrôles de l'ANSSI et sanctions

L'ANSSI dispose de pouvoirs de contrôle, de mise en demeure et de sanction. Les contrôles portent en priorité sur les opérateurs essentiels des secteurs énergie, santé, transports et infrastructures numériques. Les défaillances qui exposent le plus : absence de politique cyber formalisée, absence de plan de continuité testé, absence d'authentification multifacteur sur l'accès aux systèmes critiques, non-déclaration d'un incident majeur, défaillances de la chaîne d'approvisionnement (article 21). Le détail des sanctions est présenté au chapitre 8.

#Articulation européenne et reconnaissance mutuelle

NIS2 est une directive — chaque État membre l'a transposée dans son droit national avec des spécificités. En France, l'ANSSI joue le rôle d'autorité unique. En Allemagne, le BSI (Bundesamt für Sicherheit in der Informationstechnik) assume cette fonction. En Belgique, c'est le CCB (Centre pour la Cybersécurité Belgique).

Les coopérations entre autorités nationales sont organisées par l'ENISA (Agence européenne pour la cybersécurité), qui héberge le NIS Cooperation Group et coordonne les CSIRT nationaux. Pour une entreprise opérant dans plusieurs États membres, le principe est que l'entité relève de l'autorité de son siège social, mais doit informer toutes les autorités des États où l'incident produit un impact transfrontalier significatif.

Pour aller plus loin sur le périmètre, voir la définition NIS2 complète dans le glossaire Nehos et le service Audit NIS2 dédié.

#Chapitre 2 — Classification : opérateurs essentiels vs importants, 18 secteurs concernés

La nouveauté centrale de NIS2 par rapport à la NIS1 est la généralisation sectorielle et la clarification des catégories d'entités.

#Deux catégories : opérateurs essentiels et opérateurs importants

La directive distingue deux régimes de conformité. Les opérateurs essentiels (Essential Entities, EE) relèvent du régime le plus exigeant : contrôles ex ante par l'ANSSI possibles, audit obligatoire à fréquence imposée, notification d'incidents directe à l'agence, sanctions plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le plus élevé des deux).

Les opérateurs importants (Important Entities, IE) relèvent d'un régime allégé : contrôles ex post uniquement, notification d'incidents toujours obligatoire, mais sanctions plafonnées à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.

Le basculement d'un statut à l'autre dépend de deux paramètres combinés : la criticité du secteur d'activité, et la taille de l'entité (effectif et chiffre d'affaires). Une grande entreprise (effectif supérieur à 250 collaborateurs ou chiffre d'affaires supérieur à 50 millions d'euros et bilan supérieur à 43 millions) opérant dans un secteur haute criticité bascule automatiquement opérateur essentiel.

Une moyenne entreprise (effectif entre 50 et 250, ou CA entre 10 et 50 M€) opérant dans un secteur haute criticité bascule opérateur important. Les grandes entreprises de secteurs autres critiques sont également opérateurs importants. Les microentreprises et petites entreprises (effectif inférieur à 50, CA et bilan inférieurs à 10 M€) sont en principe hors NIS2 — sauf exceptions sectorielles (DNS, registres TLD, fournisseurs services confiance, certains opérateurs énergie).

#Les 11 secteurs haute criticité (Annexe I)

L'Annexe I de la Directive liste 11 secteurs dits haute criticité, dont les acteurs sont susceptibles de relever du régime des opérateurs essentiels. Premier : énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain). Deuxième : transports (aérien, ferroviaire, maritime, routier).

Troisième : secteur bancaire. Quatrième : infrastructures des marchés financiers. Cinquième : santé (hôpitaux, laboratoires, distribution médicaments, fabricants dispositifs médicaux, recherche pharmaceutique). Sixième : eau potable (production, distribution). Septième : eaux usées.

Huitième : infrastructures numériques (datacenters, CDN, fournisseurs DNS, registres TLD, services de confiance qualifiés, fournisseurs cloud, communications électroniques). Neuvième : gestion des services TIC business-to-business (managed service providers MSP, fournisseurs de services managés de sécurité MSSP).

Dixième : administration publique (administration centrale et régionale, hors défense et sécurité nationale strictement). Onzième : espace.

#Les 7 secteurs autres critiques (Annexe II)

L'Annexe II ajoute 7 secteurs dits autres critiques, dont les acteurs basculent typiquement opérateur important. Premier : services postaux et de messagerie. Deuxième : gestion des déchets. Troisième : fabrication, production et distribution de produits chimiques. Quatrième : production, transformation et distribution alimentaire.

Cinquième : fabrication (dispositifs médicaux et dispositifs médicaux de diagnostic in vitro, produits informatiques, électroniques et optiques, équipements électriques, machines et équipements n.c.a., véhicules automobiles et remorques, autres matériels de transport). Sixième : fournisseurs numériques (places de marché en ligne, moteurs de recherche en ligne, plateformes de services de réseaux sociaux). Septième : recherche (organisations de recherche).

#Combien d'entités en France ? Environ 22 000

L'estimation officielle communiquée par l'ANSSI fin 2024 s'établit autour de 22 000 entités françaises concernées par NIS2, contre approximativement 300 sous le régime NIS1. Ces entités se répartissent entre opérateurs essentiels (grandes entreprises des secteurs haute criticité, OIV historiques) et opérateurs importants (ETI et grandes PME des 18 secteurs).

Beaucoup d'entités concernées n'ont pas anticipé leur entrée dans le périmètre : vérifier son statut en amont est la première étape.

Pour un mapping précis de votre secteur, voir le service Audit NIS2 Nehos et le secteur Énergie-Industrie.

#Chapitre 3 — Les 10 obligations clés NIS2 : checklist actionnable

L'article 21 de la Directive structure les obligations de cybersécurité en un socle de mesures techniques et organisationnelles. Voici la checklist opérationnelle Nehos en 10 obligations, telle que nous l'utilisons en mission d'audit ANSSI-ready.

#Obligation 1 — Politique de gestion des risques cyber formalisée

L'entité doit disposer d'une politique de gestion des risques cyber documentée, approuvée par l'organe dirigeant et révisée au moins annuellement. Le document, typiquement 20 à 40 pages, couvre : périmètre, méthodologie d'analyse des risques (EBIOS Risk Manager recommandée par l'ANSSI), cartographie des actifs critiques, scénarios de menaces sectoriels, mesures de traitement, plan d'action priorisé, indicateurs de pilotage.

L'analyse des risques doit être actualisée au moins une fois par an et après tout incident majeur ou évolution structurelle du SI.

#Obligation 2 — Gouvernance et formation des dirigeants

Nouveauté majeure NIS2 : la responsabilité de la conformité cyber est portée par l'organe dirigeant (conseil d'administration, comité exécutif ou équivalent). Concrètement, le dirigeant exécutif (PDG, directeur général) doit suivre une formation cyber dédiée d'au moins 12 heures par an, attestée.

Les membres du comex doivent suivre une formation équivalente. Un reporting cyber au board est obligatoire au moins une fois par trimestre. Une délégation explicite à un RSSI ou Compliance Officer cyber est formalisée par lettre de mission.

#Obligation 3 — Formation et sensibilisation des collaborateurs

L'ensemble des collaborateurs accédant aux systèmes d'information de l'entité doivent recevoir une formation initiale cyber et une sensibilisation continue. Standard observé : module e-learning obligatoire à l'embauche (1 à 2 heures), sensibilisation continue (newsletters mensuelles, phishing tests trimestriels, ateliers annuels), formation renforcée pour les rôles à risque (administrateurs systèmes, développeurs, équipes accédant aux données sensibles). Statistiques de complétion et taux de réussite documentés et auditables.

#Obligation 4 — Sécurisation de la supply chain (article 21)

C'est probablement l'obligation la plus structurante — et la plus chronophage. L'entité doit maîtriser les risques cyber issus de ses fournisseurs et prestataires, particulièrement pour les fournisseurs informatiques (cloud, MSP, MSSP, éditeurs critiques). Concrètement : registre de tous les fournisseurs IT et critiques tenu à jour, clauses contractuelles de sécurité cyber dans les contrats (engagement de niveau de sécurité, droits d'audit, notification d'incidents fournisseur sous 24 h, plan d'exit), évaluation des risques fournisseurs au moins annuelle, audit on-site ou documentaire des fournisseurs critiques, plan de bascule en cas de défaillance fournisseur.

#Obligation 5 — Notification d'incidents 24 h / 72 h / 1 mois

L'article 23 impose une notification graduée aux autorités compétentes (ANSSI en France) en cas d'incident significatif. Étape 1 — alerte précoce sous 24 heures : information initiale à l'ANSSI dès qualification d'un incident comme significatif, indiquant l'origine présumée (malveillante, accidentelle, naturelle), l'impact transfrontalier possible.

Étape 2 — notification d'incident sous 72 heures : analyse approfondie, périmètre, impact estimé, mesures déjà engagées. Étape 3 — rapport intermédiaire à la demande de l'ANSSI, et rapport final sous 1 mois au plus tard après la notification 72 h : cause racine complète, mesures correctives, plan d'amélioration. Pour les opérateurs essentiels, l'ANSSI peut imposer des notifications complémentaires en cours d'incident.

#Obligation 6 — Programme de tests et exercices de résilience

L'entité doit conduire un programme annuel de tests et exercices : tests de vulnérabilité automatisés (scans CI/CD), tests d'intrusion (pen testing) au moins annuels sur les périmètres critiques, exercices de simulation de crise cyber au moins annuels (tabletop ou grandeur réelle), tests de résilience scenario-based, audits ciblés sur fonctions critiques.

Pour les opérateurs essentiels significatifs, l'ANSSI peut imposer un test d'intrusion piloté par les renseignements de menace (équivalent TLPT du référentiel DORA) à fréquence triennale.

#Obligation 7 — Hygiène cyber et politique d'accès

L'entité doit mettre en œuvre des bonnes pratiques d'hygiène cyber documentées et auditables. Standard ANSSI : politique de mots de passe robustes, gestion centralisée des comptes à privilèges (PAM), revue trimestrielle des droits d'accès, désactivation immédiate des comptes en cas de départ collaborateur, durcissement des postes et serveurs (CIS Benchmarks ou ANSSI guides), gestion des correctifs (patch management) avec délais cibles cyber-critique 7 jours, élevée 30 jours, moyenne 90 jours.

#Obligation 8 — Chiffrement et authentification multifacteur (MFA)

Deux exigences techniques structurantes. Chiffrement des données : chiffrement en transit (TLS 1.3 minimum sur toutes les communications externes et internes critiques), chiffrement au repos (disques, bases de données, sauvegardes), gestion des clés via KMS centralisé. Authentification multifacteur (MFA) systématique : sur tous les accès distants (VPN ou Zero Trust), sur tous les accès à privilèges (administrateurs), sur tous les accès aux applications critiques métier. MFA résistante au phishing (FIDO2/WebAuthn, clés physiques YubiKey) recommandée par l'ANSSI pour les rôles à risque.

#Obligation 9 — Plan de continuité d'activité (BCP) et de reprise (DRP)

L'entité doit disposer d'un plan de continuité d'activité (BCP) et d'un plan de reprise après sinistre (DRP) documentés, testés au moins une fois par an grandeur réelle ou en simulation avancée. Le BCP couvre : scénarios cyber et non-cyber, RPO/RTO par fonction critique, procédure d'activation, équipes mobilisées, communication de crise.

Le DRP couvre : architecture de reprise (site secondaire, région cloud alternative), procédures de bascule, tests de restauration des sauvegardes, scénario de cyber-résilience post-ransomware.

#Obligation 10 — Sécurité du personnel et habilitations

La dernière obligation couvre la dimension humaine de la sécurité. Politique de vérification des références à l'embauche pour les postes à risque, clauses de confidentialité contractualisées, gestion stricte des habilitations (principe du moindre privilège), processus formalisé d'arrivée et de départ collaborateurs, gestion des sous-traitants et stagiaires, programme d'éthique et de signalement (procédure interne d'alerte cyber).

L'outil scoring NIS2 Nehos (à paraître) automatisera ce pré-scoring sur les 10 obligations.

#Chapitre 4 — Articulation NIS2 + DORA + AI Act + RGPD + LPM

NIS2 ne s'applique pas en vase clos. Une entreprise française relevant de NIS2 doit articuler son programme conformité avec quatre autres régimes majeurs.

#NIS2 et DORA : lex specialis pour la finance

Le Règlement (UE) 2022/2554 — DORA, en application depuis le 17 janvier 2025 — s'applique aux 22 000 entités financières européennes (banques, fintechs, assureurs, plateformes négociation, etc.). Le principe : DORA prime en lex specialis sur NIS2 pour les entités financières, sur les sujets résilience IT, gestion des incidents et tests.

Si une obligation se chevauche, c'est DORA qui prévaut. Mais NIS2 reste applicable sur les volets non couverts par DORA, particulièrement la gouvernance des dirigeants et le reporting cyber transversal. Pour une fintech, le bon réflexe : un comité conformité numérique unique mensuel, un registre intégré multi-régimes, des contrôles cohérents.

Voir le guide DORA fintech checklist Nehos pour le détail spécifique secteur financier.

#NIS2 et AI Act : convergence par les systèmes IA haut risque

Le Règlement (UE) 2024/1689 — AI Act — adopté en juin 2024, est entré en application progressive avec les dispositions générales depuis février 2025 et les obligations sur les systèmes haut risque à partir d'août 2026. Articulation : pour un opérateur essentiel ou important NIS2 utilisant ou fournissant des systèmes IA classés haut risque (recrutement, scoring crédit, accès services essentiels, etc.), les deux régimes s'ajoutent.

La gouvernance se mutualisé via un comité unique IA + cyber. Les registres se croisent : registre fournisseurs IT (NIS2 supply chain) et registre systèmes IA haut risque (AI Act article 9). Voir le guide AI Act checklist Nehos et la Méthode AI Act Compliance Nehos™.

#NIS2 et RGPD : complémentarité incidents et données personnelles

Le RGPD (Règlement UE 2016/679) reste pleinement applicable sur la protection des données personnelles. Articulation : un incident cyber qui touche des données personnelles déclenche simultanément deux régimes de notification. Côté NIS2 : notification ANSSI sous 24 h (alerte précoce), 72 h (notification complète), 1 mois (rapport final).

Côté RGPD : notification CNIL sous 72 h, information des personnes concernées si risque élevé. Deux notifications coexistent et doivent rester cohérentes en contenu et chronologie. Mutualisation : un même log immuable peut servir NIS2 et RGPD. Un même comité conformité numérique peut piloter les deux régimes.

#NIS2 et LPM : continuité du régime OIV

La Loi de Programmation Militaire (LPM, codifiée aux articles L. 1332-1 et suivants du code de la défense) régit depuis 2013 les Opérateurs d'Importance Vitale (OIV) — environ 250 entités françaises dans 12 secteurs d'activités d'importance vitale (SAIV). NIS2 ne remplace pas la LPM.

Les OIV continuent de relever des règles LPM (homologation des SIIV, contrôles ANSSI renforcés, sanctions pénales possibles), tout en relevant simultanément de NIS2 (avec les obligations additionnelles correspondantes). Le bon réflexe pour un OIV : un programme unifié LPM + NIS2 piloté par le RSSI, avec mutualisation des analyses de risques, des plans de continuité et des reportings ANSSI.

#Une stack souveraine Nehos pour rationaliser

Notre Méthode stack souveraine Nehos — propose une architecture technique unifiée intégrant nativement les exigences cumulées NIS2 + DORA + AI Act + RGPD + LPM, sur infrastructures européennes souveraines (OVHcloud, Outscale, hébergeurs qualifiés SecNumCloud). Voir aussi le service Conformité Nehos 7 standards.

#Chapitre 5 — Zero Trust Architecture : socle technique NIS2

L'ANSSI et l'ENISA recommandent depuis 2023 la Zero Trust Architecture (ZTA) comme socle technique de référence pour la mise en œuvre des obligations NIS2 portant sur l'accès, l'authentification, le cloisonnement et la détection.

#Définition : NIST SP 800-207

La Zero Trust Architecture est un modèle de sécurité formalisé par le National Institute of Standards and Technology dans la publication NIST SP 800-207 (Zero Trust Architecture, août 2020). Le principe central — "never trust, always verify" — abandonne le périmètre réseau traditionnel : aucune confiance implicite, chaque requête est authentifiée, autorisée et chiffrée individuellement, indépendamment de sa localisation réseau (à l'intérieur ou à l'extérieur du périmètre historique).

L'architecture repose sur deux composants logiques fondamentaux : un Policy Decision Point (PDP) qui évalue les requêtes selon des règles dynamiques, et un Policy Enforcement Point (PEP) qui applique la décision. La microsegmentation, le chiffrement systématique des flux, et l'authentification forte (MFA) sont les piliers techniques de mise en œuvre.

Le modèle Zero Trust a été adopté par le gouvernement fédéral américain via l'Executive Order 14028 (mai 2021) et la Federal Zero Trust Strategy (janvier 2022, OMB M-22-09), qui impose à l'ensemble des agences fédérales une maturité Zero Trust complète d'ici fin 2024. En Europe, l'ENISA a publié en 2023 des Zero Trust Implementation Guidelines explicitement positionnées comme socle de mise en œuvre des obligations NIS2 et DORA. Voir la définition Zero Trust Architecture complète dans le glossaire Nehos.

#Pourquoi Zero Trust pour NIS2 : 5 obligations couvertes nativement

Un déploiement Zero Trust couvre nativement cinq des dix obligations NIS2 listées au chapitre 3. Obligation 7 (hygiène cyber et politique d'accès) : Zero Trust impose une politique d'accès au moindre privilège stricte, des sessions à durée limitée, une revue continue des droits.

Obligation 8 (chiffrement et MFA) : Zero Trust impose le chiffrement systématique des flux (TLS 1.3 minimum) et la MFA résistante au phishing (FIDO2/WebAuthn) pour tous les accès. Obligation 6 (tests et exercices) : la microsegmentation Zero Trust facilite les exercices d'isolement et les scénarios red team.

Obligation 5 (notification d'incidents) : le monitoring continu Zero Trust (SIEM, EDR, UEBA) détecte les incidents significativement plus tôt qu'une approche périmétrique. Obligation 9 (BCP/DRP) : l'architecture Zero Trust facilite la bascule entre sites et régions cloud, sans rupture d'identité.

#Microsegmentation : isoler les fonctions critiques

La microsegmentation est la mise en œuvre technique la plus structurante de Zero Trust pour NIS2. Le principe : segmenter le SI en zones de confiance fines (microsegments) correspondant aux fonctions métier, et n'autoriser les flux entre microsegments que selon une politique explicite validée par le PDP.

Pour un opérateur essentiel énergie type, un découpage peut faire apparaître plusieurs dizaines de microsegments : SCADA temps réel, ERP, CRM, RH, finance, R&D, monitoring opérationnel, postes utilisateurs bureau, postes administrateurs, environnements de développement, environnements de tests, plateforme client externe, infrastructures cloud, sauvegardes.

Une attaque qui compromet un poste utilisateur ne peut plus se propager latéralement vers le SCADA — gain massif en matière de résilience face aux ransomwares.

#IAM, monitoring continu et SIEM

Le socle Zero Trust repose sur trois briques techniques opérationnelles. IAM (Identity and Access Management) centralisé : annuaire unique, fédération d'identités, MFA résistante phishing, gestion centralisée des comptes à privilèges (PAM). Monitoring continu : SIEM (Security Information and Event Management) collectant l'ensemble des logs critiques, EDR (Endpoint Detection and Response) sur tous les postes et serveurs, UEBA (User and Entity Behavior Analytics) pour détecter les comportements anormaux.

Réponse automatisée : SOAR (Security Orchestration, Automation and Response) pour les playbooks de réponse incident, alerting 24/7 vers le SOC interne ou MSSP externalisé.

#Coût de déploiement Zero Trust pour une ETI

Mise en perspective. Le coût d'un déploiement Zero Trust bout-en-bout dépend de la taille du SI, du nombre de sites et du niveau de départ ; il se chiffre au cadrage, avec des charges récurrentes annuelles (licences IAM/EDR/SIEM, MSSP, audit, maintenance). À mettre en regard de la sanction NIS2 maximale (10 M€ ou 2 % du CA mondial) et du coût moyen d'une cyberattaque réussie (4,88 millions de dollars selon le rapport IBM Cost of a Data Breach 2024).

#Chapitre 6 — Méthode Nehos d'audit et mise en conformité NIS2 en 5 phases

Voici la méthode Nehos que nous utilisons en mission de conformité NIS2 pour les ETI et grandes PME classées opérateur essentiel ou important. Cinq phases, de l'ordre de 16 semaines au total pour un cas moyen.

#Phase 1 — Diagnostic initial (3 semaines)

Objectif : produire un état des lieux factuel et chiffré du niveau de conformité NIS2 actuel. Livrables : cartographie réglementaire (confirmation statut opérateur essentiel ou important, secteur de rattachement, seuils applicables), cartographie SI (actifs critiques, applications métier, infrastructures, fournisseurs IT), gap analysis vs les 10 obligations NIS2 (scoring 0 à 100 % par obligation), priorisation des écarts (impact + effort), estimation budget mise en conformité, calendrier proposé. Mobilisation client : RSSI, DSI, Compliance Officer, DPO, responsable achats IT.

#Phase 2 — Plan de remédiation (2 semaines)

Objectif : transformer le diagnostic en plan d'action exécutable. Livrables : plan d'action priorisé sur 12 à 14 semaines, budget détaillé (capex + opex), calendrier ressources internes et externes, gouvernance projet (comité de pilotage hebdomadaire, comité de direction mensuel), KPI de suivi. Validation formelle par le comité exécutif ou le board.

#Phase 3 — Déploiement Zero Trust et obligations (8 semaines)

C'est la phase la plus dense. Quatre chantiers menés en parallèle. Chantier A — Gouvernance et formation dirigeants : politique cyber formalisée signée par le board, lettre de mission RSSI / Compliance Officer cyber, programme de formation des dirigeants, comité cyber mensuel installé.

Chantier B — Socle technique Zero Trust : déploiement IAM centralisé avec MFA résistante phishing, microsegmentation initiale du SI (15 à 30 microsegments cibles), durcissement EDR sur l'ensemble du parc, SIEM activé avec règles de corrélation. Chantier C — Processus incidents 24h/72h : runbook gestion incidents formalisé, template de notification ANSSI pré-rempli, équipe astreinte 24/7 installée (interne ou MSSP externalisé), exercice de simulation grandeur réelle.

Chantier D — Supply chain et BCP/DRP : registre des fournisseurs IT critiques complété, clauses contractuelles renégociées en priorité, BCP/DRP documenté et testé.

#Phase 4 — Audit interne et préparation ANSSI (2 semaines)

Objectif : se mettre dans la peau de l'auditeur ANSSI avant le contrôle effectif. Livrables : audit interne Nehos couvrant les 10 obligations, plan de remédiation des gaps résiduels (les gaps mineurs identifiés en fin de phase 3), dossier complet de preuves documentaires (policies, comptes-rendus comité, registre fournisseurs, runbook incidents, programme tests, attestations formation dirigeants), répétition générale de contrôle ANSSI avec mise en situation des équipes.

#Phase 5 — Exploitation et amélioration continue (mode récurrent)

Objectif : faire vivre la conformité dans la durée et préparer la prochaine échéance d'audit ANSSI. Livrables récurrents : comité cyber mensuel, reporting board trimestriel, exercices annuels (tests d'intrusion, exercices de crise, audits fournisseurs critiques), revues annuelles d'analyse des risques et du plan d'action, veille réglementaire ENISA / ANSSI / CNIL, mises à jour des documents et des configurations. Un mode Compliance Officer cyber externalisé est possible : sur devis, chiffré en 48 h après un premier échange.

#Comment raisonner le retour sur investissement

Le retour sur investissement d'une mise en conformité NIS2 se raisonne par comparaison : coût du programme et des achats de licences, face au risque de sanction (jusqu'à 10 M€ ou 2 % du CA mondial pour un opérateur essentiel), au coût d'une cyberattaque réussie et au risque de mise sous tutelle. Chaque entité a un profil différent : nous ne publions pas de ratio moyen, et nous chiffrons chaque mission après un diagnostic.

Voir le service Audit NIS2 Nehos forfait fixe et le service Conformité Nehos 7 standards.

#Chapitre 7 — Exemple de situation : énergéticien régional opérateur essentiel

Exemple de situation construit pour illustrer la méthode : il ne décrit pas une mission réelle et ne contient aucun résultat chiffré.

#Situation de départ

Un énergéticien régional français, opérateur de réseau de distribution d'électricité moyenne tension, de plusieurs centaines de collaborateurs. Statut NIS2 confirmé : opérateur essentiel du secteur énergie (Annexe I). Hors régime LPM (sous les seuils des opérateurs d'importance vitale).

Système d'information typique : ERP, GMAO, SCADA legacy partiellement modernisé, infrastructure mixte on-premise + cloud européen. Pas de RSSI dédié avant NIS2, un responsable sécurité IT à temps partiel rattaché au DSI, un DPO partagé avec la direction juridique.

#Diagnostic initial

Le diagnostic initial évalue le niveau de conformité pour chacune des 10 obligations. Dans une situation comme celle-ci, les écarts les plus lourds se trouvent généralement sur la gouvernance des dirigeants, la supply chain et la notification d'incidents sous 24 h / 72 h. Le budget de la mission se chiffre après ce diagnostic, hors achats de licences IAM/EDR/SIEM qui restent à la charge du client.

#Phase 1 — Diagnostic (semaines 1 à 3)

Trois semaines de cartographie complète. Livrables : cartographie réglementaire confirmant le statut d'opérateur essentiel énergie, cartographie SI (actifs critiques, applications métier, fournisseurs IT recensés), gap analysis détaillée vs 10 obligations, plan d'action prioritisé, validation par le board.

#Phase 2 — Plan de remédiation (semaines 4 à 5)

Deux semaines pour formaliser le plan. Livrables : roadmap de déploiement, budget validé, gouvernance projet installée (Compliance Officer cyber désigné en interne, lettre de mission RSSI signée), comité cyber mensuel installé.

#Phase 3 — Déploiement (semaines 6 à 13)

Huit semaines de déploiement intensif. Livrables majeurs : politique cyber signée par le board, programme de formation des dirigeants (PDG et comex), IAM centralisé avec MFA résistante au phishing (FIDO2) généralisée, microsegmentation initiale du SI, EDR sur l'ensemble du parc, SIEM configuré avec règles de corrélation alignées sur les recommandations ANSSI, runbook incidents et modèle de notification ANSSI pré-rempli, exercice de simulation grandeur réelle, registre des fournisseurs IT complété et contrats renégociés pour les fournisseurs critiques, BCP/DRP testé en exercice par scénario.

#Phase 4 — Audit interne et préparation ANSSI (semaines 14 à 15)

Deux semaines d'audit interne renforcé. Livrables : audit Nehos couvrant les 10 obligations, identification des gaps résiduels mineurs, dossier complet de preuves (policies, comptes-rendus comité, registre fournisseurs, runbook incidents, programme tests, attestations formation), répétition générale de contrôle ANSSI avec mise en situation du PDG, du RSSI et du DSI.

#Phase 5 — Exploitation (semaine 16 et au-delà)

Mise en exploitation : comité cyber mensuel récurrent, reporting board trimestriel, possibilité d'un contrat de Compliance Officer cyber externalisé.

#Résultat

Ce qu'on vise : arriver à un éventuel contrôle de l'ANSSI avec un dossier de preuves complet, sans non-conformité majeure, et conserver cette posture dans la durée (pas de mise en demeure, pas d'incident significatif non maîtrisé). Les gains secondaires typiques sont la rationalisation de l'IAM et l'automatisation des correctifs. Nous ne promettons pas de résultat chiffré : il dépend de l'entité et du contrôle.

#Chapitre 8 — Sanctions NIS2 et responsabilité personnelle des dirigeants

La nouveauté la plus structurante de NIS2 par rapport à NIS1 est le régime de sanctions, à la fois durci pour les entités et étendu aux dirigeants exécutifs personnellement.

#Sanctions financières aux entités

Deux barèmes distincts selon la catégorie. Opérateurs essentiels : amende administrative maximale de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le plus élevé des deux étant retenu. Opérateurs importants : amende administrative maximale de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total.

Ces plafonds s'appliquent aux manquements graves : absence répétée de notification d'incidents, défaillances de supply chain (article 21), absence de politique de gestion des risques, absence de formation des dirigeants, défaut de coopération avec l'ANSSI.

Les sanctions sont prononcées par l'ANSSI après procédure contradictoire (mise en demeure, droit de réponse, audition possible). Le montant est modulé selon plusieurs critères : gravité et durée du manquement, caractère répété ou non, niveau de coopération de l'entité, mesures correctives engagées, antécédents.

#Sanctions administratives complémentaires

Au-delà des amendes financières, l'ANSSI peut prononcer plusieurs sanctions administratives complémentaires. Mise sous tutelle ANSSI : pour les manquements graves persistants, l'ANSSI peut imposer un plan de remédiation sous supervision directe, avec audits réguliers, reportings mensuels, et capacité d'intervention sur la gouvernance cyber interne.

Suspension d'agrément ou de certification : pour les entités ayant besoin d'agréments réglementaires sectoriels (énergie, santé, finance), l'ANSSI peut suggérer aux autorités sectorielles (CRE, ARS, ACPR) la suspension temporaire de ces agréments. Publication de la décision : les décisions de sanction sont publiées au registre ANSSI, avec impact réputationnel direct.

Mise en demeure publique : pour les manquements graves, l'ANSSI peut publier la mise en demeure avant même la sanction définitive.

#Responsabilité personnelle des dirigeants — la nouveauté NIS2

C'est la disposition la plus disruptive. L'article 20 de la Directive impose la responsabilité personnelle des dirigeants exécutifs (PDG, directeurs généraux, membres du comex) sur la mise en œuvre des obligations cyber. Trois conséquences pratiques. Première conséquence — sanction financière personnelle : en cas de manquement grave imputable à une défaillance de gouvernance, le dirigeant peut être sanctionné personnellement (selon la transposition nationale).

Deuxième conséquence — interdiction temporaire d'exercer : pour les manquements graves répétés ou les cas de cyber-attaque résultant d'une négligence manifeste, l'ANSSI peut prononcer une interdiction temporaire d'exercice de fonctions dirigeantes dans des entités relevant de NIS2.

Troisième conséquence — formation obligatoire : tout dirigeant exécutif d'une entité NIS2 doit suivre une formation en cybersécurité. Le défaut de formation est un manquement à part entière.

#Ce qu'une décision de sanction peut retenir

À titre d'illustration générique (sans décision réelle citée), une sanction cumulerait typiquement plusieurs manquements : absence de politique cyber formalisée et signée par le dirigeant, absence de plan de continuité d'activité testé, absence d'authentification multifacteur sur l'accès aux systèmes critiques, non-déclaration sous 24 h d'un incident significatif, absence de formation cyber du dirigeant.

Un manquement répété après mise en demeure aggrave la sanction. À cela s'ajoutent des effets réputationnels (presse, perte de contrats) qu'il faut intégrer au calcul du risque.

#Mettre le coût de la conformité en regard du risque

Le coût d'une mise en conformité NIS2 bout-en-bout pour une ETI classée opérateur essentiel comprend le programme de mise en conformité, les achats de licences techniques, et éventuellement un Compliance Officer cyber externalisé. Nous chiffrons chaque mission sur devis, en 48 h après un premier échange, après un audit NIS2.

À mettre en regard de la sanction maximale (10 M€ ou 2 % du CA mondial), du coût moyen d'une cyberattaque (4,88 M$ selon IBM, 2024), de la mise sous tutelle ANSSI (perte d'autonomie de gouvernance) et de la responsabilité personnelle du dirigeant (risque d'interdiction d'exercer).

Pour cadrer votre situation, voir le service Audit NIS2 Nehos forfait fixe et le secteur Énergie-Industrie Nehos.

Photos : Brett Sayles, panumas nikhomkhai, Kris Møklebust sur Pexels.