Les obligations NIS2 visent la direction autant que le service informatique : la directive (UE) 2022/2555 demande aux organes de direction d’approuver les mesures de cybersécurité, d’en superviser la mise en œuvre et de se former. Les États membres devaient la transposer au plus tard le 17 octobre 2024. En France, ce travail n’est toujours pas achevé.
Le texte français passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le Sénat l’a adopté le 12 mars 2025, puis l’a transmis à l’Assemblée nationale le 13 mars 2025. À la date de cet article, l’Assemblée n’a pas encore voté le texte en séance. Les obligations restent donc en préparation. Préparez-vous sans attendre la date d’entrée en vigueur.
Qui sera soumis aux obligations NIS2
NIS2 couvre dix-huit secteurs. L’annexe I liste les secteurs hautement critiques : énergie, transports, banques, santé, eau, infrastructures numériques dont l’informatique en nuage, administration publique et espace, notamment. L’annexe II liste les autres secteurs critiques, par exemple les services postaux, la gestion des déchets, l’industrie manufacturière et les fournisseurs numériques.
Ensuite, le secteur et la taille de l’organisation déterminent sa qualification d’entité essentielle ou d’entité importante. Cette qualification fixe l’intensité du contrôle et des sanctions.
Pour le vérifier, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) publie des ressources pour vérifier si vous entrez dans le champ.
Les obligations NIS2 pour la direction
L’article 20 de la directive confie la cybersécurité aux organes de direction. Ils approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et suivent une formation. De plus, leurs membres peuvent être tenus responsables des violations, par leur entité, de ces obligations.
En pratique, la direction ne peut plus déléguer le sujet au seul responsable informatique. Elle signe les décisions, et un compte rendu de comité de direction devient une preuve de conformité.
L’article 21 détaille les mesures attendues. Il cite notamment l’analyse des risques, la gestion des incidents, la continuité d’activité et la sécurité de la chaîne d’approvisionnement. Il cite aussi la cryptographie, le contrôle des accès et l’authentification multifacteur. L’article 23 fixe enfin les délais de déclaration d’un incident important : une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures, puis un rapport final dans un délai d’un mois.
La directive NIS2 complète le RGPD sans le remplacer
NIS2 protège les réseaux et les systèmes d’information. Le RGPD protège les données personnelles. Les deux textes s’appliquent pourtant en même temps à la même organisation.
Un incident important au sens de NIS2 touche souvent des données personnelles. Il constitue alors aussi une violation de données au sens de l’article 33 du RGPD, à notifier à la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures. Préparez donc une seule procédure d’incident avec deux sorties : la déclaration NIS2 et la notification RGPD.
D’ailleurs, l’article 35 de NIS2 organise l’information des autorités de protection des données quand un manquement implique une violation de données personnelles.
L’article 32 du RGPD impose déjà des mesures de sécurité adaptées au risque. NIS2 précise ces mesures dans un cadre européen commun et ajoute la gouvernance et les délais de déclaration. Ainsi, votre analyse de risques RGPD et votre documentation de sécurité servent de point de départ.
Le rôle du DPO face aux obligations NIS2
Le DPO ne pilote pas la conformité NIS2. Il en connaît toutefois les pièces maîtresses : registre des traitements, cartographie des sous-traitants, procédure de violation.
Faites-le donc travailler avec le responsable de la sécurité des systèmes d’information pour qu’une même mesure serve aux deux textes.
- Vérifiez si votre organisation entre dans le champ, avec les ressources de l’ANSSI.
- Évaluez votre maturité, par exemple avec le référentiel ReCyF présenté par l’ANSSI en mars 2026.
- Documentez un programme de gestion des risques et faites-le approuver par la direction.
- Formez les membres de la direction à la cybersécurité.
- Fusionnez vos procédures d’incident NIS2 et de violation RGPD.
DPO Suite, l’application de conformité de DPO PARTAGE, propose par exemple des audits NIS2 à côté du registre et du suivi des violations. Pour un état des lieux des petites structures, lisez aussi notre article sur les PME françaises face au niveau de sécurité recommandé par l’ANSSI.
Sources
Le texte de la directive figure sur EUR-Lex : Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 (directive SRI 2).
Le parcours du projet de loi français figure dans le dossier législatif du Sénat Résilience des infrastructures critiques et renforcement de la cybersécurité.
L’obligation de notification à la CNIL figure à l’article 33 du règlement (UE) 2016/679 (RGPD) sur EUR-Lex.
Questions fréquentes
Quand NIS2 s’applique-t-elle en France ?
NIS2 s’appliquera en France après l’adoption de la loi de transposition, toujours en discussion au Parlement à la date de cet article.
Les États membres devaient transposer la directive au plus tard le 17 octobre 2024. Le Sénat a adopté le projet de loi le 12 mars 2025.
Mon entreprise est-elle concernée par NIS2 ?
Votre entreprise est concernée si elle exerce dans l’un des dix-huit secteurs des annexes I et II de la directive et atteint les seuils de taille prévus.
Le secteur et la taille déterminent ensuite la qualification d’entité essentielle ou importante. L’ANSSI publie des ressources pour le vérifier.
Le dirigeant est-il responsable en cas de manquement à NIS2 ?
Oui, l’article 20 de NIS2 prévoit que les membres des organes de direction peuvent être tenus responsables des violations, par leur entité, des obligations de gestion des risques.
Ils doivent aussi approuver les mesures de cybersécurité, superviser leur mise en œuvre et suivre une formation.
Quelle différence entre NIS2 et le RGPD ?
NIS2 protège les réseaux et systèmes d’information des secteurs critiques, alors que le RGPD protège les données personnelles.
Les deux textes s’appliquent ensemble : un incident NIS2 qui touche des données personnelles est aussi une violation à notifier à la CNIL sous 72 heures.
Quels sont les délais de notification d’un incident NIS2 ?
Pour un incident important, NIS2 impose une alerte précoce sous 24 heures, une notification d’incident sous 72 heures et un rapport final sous un mois.
Ces délais courent à partir de la prise de connaissance de l’incident.
