La directive NIS 2 est le cadre européen qui impose à des milliers d'entités essentielles et importantes de gérer leurs risques cyber, de rendre compte de leurs incidents et d'engager la responsabilité de leurs dirigeants.
En France, la transposition n'est pas achevée : le projet de loi Résilience, adopté par le Sénat en mars 2025, a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026, sans nouvelle date. Près de 15 000 entités sont concernées, et l'ANSSI les invite à se préparer dès maintenant. Voici ce qui est déjà acquis, ce qui reste à venir et comment avancer. Dans ce guide, nous verrons :
Pour découvrir comment Wire sur Cloud Temple soutient votre préparation à NIS 2, échangez avec notre équipe.
L'essentiel
La directive NIS 2 (directive (UE) 2022/2555) est le cadre européen de cybersécurité des entités essentielles et importantes. Elle impose des mesures de gestion des risques, une notification rapide des incidents et la responsabilité des dirigeants, avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Adoptée en 2022 et remplaçant la première directive NIS, elle devait être transposée avant le 17 octobre 2024. Elle élargit fortement le périmètre des organisations concernées : en France, elle abandonne la distinction entre opérateurs de services essentiels (OSE) et fournisseurs de services numériques (FSN) au profit de deux catégories, les entités essentielles et les entités importantes. Le texte européen est présenté sur le site de la Commission européenne.
La France a dépassé de près de deux ans la date limite de transposition. Le texte qui transpose NIS 2 est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive sur la résilience des entités critiques (REC) et le volet de la directive DORA.
|
Date |
Étape |
|
15 octobre 2024 |
Procédure accélérée engagée sur le projet de loi, déposé au Sénat |
|
17 octobre 2024 |
Date limite de transposition fixée par la directive |
|
12 mars 2025 |
Adoption du projet de loi par le Sénat |
|
10 septembre 2025 |
Adoption du texte par la commission spéciale de l'Assemblée nationale |
|
17 mars 2026 |
Publication par l'ANSSI du Référentiel Cyber France (ReCyF), comme document de travail |
|
6 octobre 2026 |
Retrait du texte de l'ordre du jour par la Conférence des présidents, sans nouvelle date |
|
7 octobre 2026 |
Date à laquelle l'examen en séance publique à l'Assemblée nationale était prévu |
Le projet de loi reprend les plafonds de sanctions de la directive. Dans la version adoptée en commission, les administrations de l'État, les collectivités territoriales et leurs établissements en sont exclus, sans être dispensés pour autant des obligations de cybersécurité. Selon la presse spécialisée, l'ANSSI envisagerait d'exiger une conformité complète fin 2028 ; à confirmer à l'adoption du texte.
Faut-il attendre l'adoption de la loi ? Non, et c'est la position de l'ANSSI : les futures entités sont invitées à s'engager dès à présent dans une démarche cohérente avec NIS 2. Le contenu précis des obligations peut encore évoluer à l'Assemblée nationale, mais les dix mesures et les délais de notification viennent de la directive et ne changeront pas sur le fond. Vérifiez l'état du texte avant toute décision d'investissement.
La directive s'applique à des entités de dix-huit secteurs, répartis en deux annexes, qui dépassent en général un seuil de taille : entreprises de taille moyenne ou grande. Certaines entités sont concernées quelle que soit leur taille, comme des fournisseurs d'infrastructures numériques ou l'administration publique.
|
Annexe |
Secteurs |
Catégorie d'entités |
|
Annexe I : secteurs hautement critiques |
Énergie, transports, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (entre entreprises), administration publique, espace |
Entités essentielles pour les grandes entités ; importantes pour les entités moyennes |
|
Annexe II : autres secteurs critiques |
Services postaux et d'expédition, gestion des déchets, produits chimiques, alimentation, fabrication (dont dispositifs médicaux et équipements), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche |
Entités importantes |
|
|
Entités essentielles |
Entités importantes |
|
Supervision |
Proactive, y compris avant tout incident (ex ante) |
Réactive, après un incident ou un signalement (ex post) |
|
Amende maximale |
10 millions d'euros ou 2 % du chiffre d'affaires mondial |
7 millions d'euros ou 1,4 % du chiffre d'affaires mondial |
|
Responsabilité des dirigeants |
Approbation des mesures, formation, suspension temporaire possible |
Approbation des mesures et formation |
|
Mesures de sécurité |
Les mêmes dix mesures |
Les mêmes dix mesures |
Pour savoir si vous êtes concerné, l'ANSSI propose via MonEspaceNIS2 un test en ligne. Les organisations qui exploitent des opérateurs d'importance vitale restent par ailleurs soumises à leur dispositif propre, qui s'articule avec NIS 2. Enfin, même hors périmètre, vos clients entités essentielles ou importantes pourront vous demander des garanties au titre de la sécurité de leur chaîne d'approvisionnement : un prestataire non concerné directement l'est souvent indirectement.
L'article 21 est le cœur opérationnel de la directive. Il impose aux entités essentielles comme importantes de mettre en œuvre dix catégories de mesures, proportionnées à leur exposition et à leur taille, que le Référentiel Cyber France de l'ANSSI décline en mesures recommandées.
|
Mesure |
Ce que cela implique |
Exemple concret |
|
a. Analyse des risques et politiques de sécurité |
Identifier les risques et formaliser une politique de sécurité des systèmes d'information |
Cartographie des actifs, analyse de risques, PSSI |
|
b. Gestion des incidents |
Détecter, traiter et signaler les incidents |
Procédures, outils de détection, contacts ANSSI |
|
c. Continuité d'activité et gestion de crise |
Sauvegardes, reprise après sinistre et gestion de crise |
PCA, PRA, exercices de crise cyber |
|
d. Sécurité de la chaîne d'approvisionnement |
Évaluer et encadrer les fournisseurs et prestataires |
Clauses contractuelles, audits, hébergeurs qualifiés |
|
e. Sécurité des acquisitions et du développement |
Sécuriser l'acquisition, le développement et la maintenance, y compris la gestion des vulnérabilités |
Gestion des correctifs, divulgation de vulnérabilités |
|
f. Évaluation de l'efficacité |
Contrôler régulièrement que les mesures fonctionnent |
Audits, tests d'intrusion, indicateurs |
|
g. Hygiène informatique et formation |
Pratiques de base et sensibilisation des équipes |
Formation, bonnes pratiques de l'ANSSI |
|
h. Cryptographie et chiffrement |
Politiques d'usage de la cryptographie et du chiffrement, le cas échéant |
Chiffrement des données et des échanges |
|
i. Ressources humaines, contrôle d'accès, gestion des actifs |
Maîtriser qui accède à quoi, et le cycle de vie des accès |
Gestion des identités, droits, départs |
|
j. Authentification forte et communications sécurisées |
Authentification multifacteur ou continue, communications vocales, vidéo et textuelles sécurisées, systèmes sécurisés de communication d'urgence, le cas échéant |
Messagerie chiffrée, canal de crise hors bande |
Les mesures c, d, h, i et j concernent directement vos outils de communication. La directive ne désigne aucun produit, et aucun logiciel ne rend à lui seul une organisation conforme : c'est l'ensemble de la démarche, documentée, qui compte.
L'article 23 impose un calendrier précis aux entités qui subissent un incident important :
|
Délai |
Étape |
Contenu |
|
Sous 24 heures |
Alerte précoce |
Signaler l'incident important et indiquer s'il est susceptible d'être d'origine malveillante ou d'avoir un impact transfrontalier |
|
Sous 72 heures |
Notification de l'incident |
Évaluation initiale, gravité, impact et indicateurs de compromission |
|
Sous un mois |
Rapport final |
Description détaillée, cause probable, mesures prises, impact transfrontalier |
Tenir ces délais suppose que l'équipe de crise puisse communiquer au moment précis où les outils habituels sont compromis ou indisponibles. C'est le sens du canal de crise hors bande, indépendant du système d'information principal : sans lui, les équipes improvisent sur des applications grand public, avec des membres non maîtrisés. Notre guide du plan de communication de crise détaille les étapes clés.
La mesure j de l'article 21 cite explicitement les communications vocales, vidéo et textuelles sécurisées et les systèmes sécurisés de communication d'urgence. Dans la pratique, cinq exigences ressortent.
|
Exigence |
Pourquoi elle compte pour NIS 2 |
Ce que doit apporter une messagerie |
|
Chiffrement de bout en bout par défaut |
Mesure h (cryptographie) et protection des échanges sensibles |
Messages, appels et fichiers chiffrés sans option à activer |
|
Contrôle d'accès et gouvernance |
Mesure i (accès) et article 20 (responsabilité) |
SSO, SCIM, rôles, membres internes, externes et invités identifiés |
|
Canal de crise hors bande |
Mesure c (gestion de crise) et notification sous 24 h |
Espace indépendant du SI principal, membres connus à l'avance |
|
Hébergement et juridiction maîtrisés |
Mesure d (chaîne d'approvisionnement) |
Éditeur sous contrôle européen, hébergement qualifié SecNumCloud pour les données sensibles |
|
Preuves et auditabilité |
Mesure f (évaluation) et contrôles de l'ANSSI |
Code open source, journaux d'audit, documentation |
Beaucoup d'organisations utilisent encore WhatsApp ou Telegram pour ces échanges : les limites sont détaillées dans notre analyse du chiffrement de WhatsApp et notre analyse de la sécurité de Telegram. Les solutions européennes sont comparées dans notre comparatif des messageries sécurisées pour entreprises. Pour la maîtrise de l'hébergement et de la juridiction, lisez notre guide de la souveraineté du cloud et notre panorama des fournisseurs de cloud souverain.
Cette démarche suit la logique de l'ANSSI : identifier, gouverner, mesurer les écarts, puis installer les mesures par priorité.
Vérifiez si vous relevez d'un secteur des annexes, de quelle taille, et de quelle catégorie (essentielle ou importante). Le test en ligne de MonEspaceNIS2 est un bon point de départ ; documentez la décision, y compris si vous concluez être hors champ.
L'article 20 fait de la cybersécurité une responsabilité de la direction : elle doit approuver les mesures, superviser leur mise en œuvre et se former. Désignez un sponsor au niveau du comité exécutif et inscrivez le sujet à son agenda.
Utilisez le Référentiel Cyber France comme grille : comparez vos pratiques actuelles aux mesures recommandées, par catégorie de l'article 21, et classez les écarts par gravité.
Priorisez les actions qui réduisent le plus le risque et qui sont exigées par la directive : authentification forte, sauvegardes testées, gestion de crise, sécurité des fournisseurs et des échanges sensibles. Prévoyez un budget et des responsables.
Recensez vos prestataires critiques, encadrez-les par contrat (notification d'incident, audit, réversibilité) et choisissez, pour les données sensibles, des hébergements qualifiés SecNumCloud. Le choix d'un éditeur et d'un hébergeur est aussi une question de juridiction.
Rédigez les procédures de gestion d'incident, préparez le circuit de notification à l'ANSSI dans les délais de 24 h, 72 h et un mois, et mettez en place un canal de crise hors bande. Testez-le lors d'exercices, avec la direction.
En cas de contrôle, ce qui n'est pas documenté n'existe pas. Conservez politiques, comptes rendus d'approbation par la direction, analyses de risques, résultats d'audits et d'exercices.
Le projet de loi peut encore évoluer à l'Assemblée nationale, et le ReCyF est diffusé comme document de travail. Prévoyez une revue régulière pour ajuster votre plan, sans attendre pour autant : l'essentiel du socle est connu.
La transposition française accuse un retard important, mais le socle de NIS 2 est connu et l'ANSSI invite à s'y préparer dès maintenant. Identifiez votre statut, engagez la direction, mesurez vos écarts avec le ReCyF et traitez en priorité la gestion de crise, la chaîne d'approvisionnement et les échanges sécurisés, qui sont explicitement visés par l'article 21.
Wire sur Cloud Temple fait partie des outils qui peuvent soutenir cette préparation pour vos communications : une messagerie chiffrée de bout en bout par défaut, déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.
Avec Wire sur Cloud Temple, vos équipes disposent d'une messagerie chiffrée de bout en bout, déployée sur le cloud de confiance de Cloud Temple, qualifié SecNumCloud par l'ANSSI. Un espace de confiance pour vos échanges sensibles et votre communication de crise, à côté de vos outils habituels. Aucune solution ne rend une organisation conforme à elle seule : Wire répond à des mesures précises de l'article 21.
Principales fonctionnalités :
Plus de 1 800 organisations utilisent déjà Wire pour sécuriser leurs échanges. Demandez des références adaptées à votre secteur.
Ou contactez-nous pour voir comment Wire sur Cloud Temple peut répondre à vos exigences.