Brubru
Intelligence politique de l'UE
La directive (UE) 2022/2555 est la loi européenne de cybersécurité transversale, qui remplace la directive NIS1 (2016/1148), à compter du 18 octobre 2024. Elle couvre 18 secteurs, impose une responsabilité au niveau du conseil d'administration, prescrit dix mesures de sécurité minimales, exige la déclaration d’incidents dans les 24 heures, 72 heures et un mois, et établit des amendes maximales de 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial pour les entités essentielles.
Pourquoi le NIS2 a remplacé le NIS1 et quelles sont les modifications ?
La première Directive NIS (2016/1148) était la première loi horizontale de cybersécurité de l'UE. Sa faiblesse fondamentale résidait dans sa structure : elle demandait aux États membres d'identifier les "fournisseurs de services essentiels" par le biais d'une procédure nationale, sans imposer de contraintes significatives quant à la manière dont cette identification devait être effectuée. Le résultat était prévisible : une fragmentation importante. Les différents États membres ont identifié des entités différentes, appliqué des exigences de sécurité variées et imposé des sanctions allant de triviales à substantielles. Le marché unique fonctionnait donc avec plus de dix-huit régimes de cybersécurité différents.
NIS2 corrige cela grâce à trois changements structurels. Tout d'abord, une règle de limite de taille remplace l'exercice d'identification discrétionnaire : toute entité de taille moyenne ou supérieure dans un secteur couvert est automatiquement concernée. Ensuite, les dix mesures minimales prévues à l'article 21(2) établissent un niveau harmonisé plutôt que de laisser les exigences de sécurité à la discrétion nationale. Enfin, le cadre de supervision et de sanctions est renforcé, avec des amendes maximales liées au chiffre d'affaires mondial, selon le même modèle que le RGPD.
La directive s’appuie sur l’article 114 TFUE (approximation du marché intérieur), a été adoptée le 14 décembre 2022 et publiée dans le Journal officiel L 333 du 27 décembre 2022. Elle est entrée en vigueur le 16 janvier 2023. Les États membres disposaient jusqu’au 17 octobre 2024 pour l’intégrer. La directive NIS1 (Directive 2016/1148) a été abrogée à compter du 18 octobre 2024 (article 44).
NIS2 est une directive, et non une réglementation : elle établit des objectifs contraignants que les États membres doivent atteindre par le biais de mesures de transposition nationale. Cela permet une certaine flexibilité dans l'intégration de ces règles dans les systèmes juridiques nationaux, mais les obligations essentielles – les dix mesures minimales, les délais de signalement des incidents, les montants maximums des amendes – sont des niveaux harmonisés, ce qui signifie que les États membres peuvent aller au-delà, mais pas en dessous du seuil.
NIS2 est complété par plusieurs outils connexes, qui doivent être interprétés en parallèle.
Les personnes concernées : la règle de la limite de taille et le cadre des 18 secteurs.
La NIS2 s'applique aux entités publiques ou privées figurant dans les Annexes I ou II, qui sont considérées comme des petites et moyennes entreprises (PME) ou qui dépassent ces seuils. Selon la Recommandation 2003/361/CE de la Commission, une petite et moyenne entreprise compte 50 employés ou a un chiffre d'affaires annuel ou un total des actifs supérieurs à 10 millions d'euros. Les entités figurant dans l'Annexe I et dépassant les seuils des PME (250 employés ou un chiffre d'affaires supérieur à 50 millions d'euros ou un total des actifs supérieur à 43 millions d'euros) sont classifiées comme des entités essentielles.
Les petites et moyennes entreprises (moins de 50 employés, chiffre d'affaires inférieur à 10 millions d'euros) sont généralement exclues du champ d'application, à moins qu'elles ne figurent dans l'une des catégories spécifiques de seuils mentionnées ci-dessous.
La classification en deux niveaux et pourquoi elle est importante pour la supervision.
Globalement, les entités les plus importantes et les plus significatives au niveau systémique. Cette catégorie comprend :
Surveillance ex ante et ex post (Article 32). Surveillance proactive, inspections, audits et analyses sans attendre la preuve de non-conformité.
Les entités concernées, à savoir les entités de la Liste Annex I de taille moyenne qui ne sont pas considérées comme essentielles, et les entités de la Liste Annex II (sauf si elles relèvent d'une catégorie de taille exceptionnellement réduite), représentent une population d'entreprises bien plus vaste que ce que la NIS1 avait pu atteindre.
Les entités importantes sont soumises aux mêmes obligations fondamentales que les entités essentielles (mesures de gestion des risques prévues à l'article 21, signalement des incidents prévu à l'article 23, immatriculation), mais sont soumises à une surveillance moins intensive : les autorités compétentes les supervisent de manière réactive (ex post), en réponse à des preuves, à des indices ou à des informations indiquant un non-respect.
Surveillance Ex post seulement (Article 33). L'autorité doit disposer d'une justification avant d'agir ; elle ne peut pas mener d'audits proactifs aléatoires, comme elle le pourrait pour les entités essentielles.
Les États membres devaient établir, publier et communiquer à la Commission une liste des entités essentielles et importantes (et des prestataires de services d'enregistrement de noms de domaine) avant le 17 avril 2025. Cette liste devait être revue et mise à jour au moins tous les deux ans. Les entités devaient soumettre des informations d'enregistrement, notamment le nom, l'adresse, les coordonnées, le secteur d'activité et les plages d'adresses IP.
Article 20 – Responsabilités au niveau du conseil d'administration et obligation de formation.
La NIS1 ne comprenait pas de clause de responsabilité au niveau de la direction. La cybersécurité était considérée comme une fonction informatique. La NIS2 modifie cela fondamentalement : la directive attribue désormais la responsabilité de la cybersécurité directement au conseil d'administration, et non à l'équipe technique.
Article 20(1) exige des États membres de veiller à ce que… organismes de gestion Les entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prévues à l'article 21, supervisent leur mise en œuvre, et peuvent être tenues responsables en cas de violation de cet article. Cela établit une chaîne de responsabilité directe entre le conseil d'administration ou l'organe de gouvernance équivalent et la posture de cybersécurité de l'organisation.
L'article 20(2) impose une obligation de formation : les membres des organes de direction doivent suivre une formation en cybersécurité afin d'acquérir les connaissances et les compétences nécessaires pour identifier les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis. Les entités sont encouragées (bien que cette obligation ne soit pas imposée au niveau de l'UE) à proposer des formations similaires à leurs employés de manière régulière.
En ce qui concerne les entités essentielles, l'article 32(5) permet aux autorités compétentes, en dernier recours, de demander la suspension temporaire de toute personne responsable de l'entité ou agissant comme son représentant légal, de l'empêcher d'exercer des fonctions de gestion au sein de cette entité. Cette mesure est disponible uniquement après que toutes les autres mesures coercitives ont été épuisées et que l'entité n'a pas réussi à corriger la situation dans le délai imparti.
L'article 32(6) exige également que les États membres veillent à ce que les personnes physiques agissant comme représentants légaux, exerçant une responsabilité de gestion au sein d'une entité essentielle, ou disposant d'une autorité pour prendre des décisions au nom de cette entité, puissent être tenues personnellement responsables en cas de violation de leur obligation de garantir le respect de la directive. La même disposition s'applique aux entités importantes, par référence croisée dans l'article 33(5). Cette disposition relative à la responsabilité personnelle est l'une des plus importantes évolutions en matière de gouvernance introduites par le NIS2.
Article 21 – approche globale face à tous les risques et niveau de sol minimal obligatoire.
Article 21(1) exige des entités de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur un… approche couvrant tous les risquesCela signifie que le cadre de gestion des risques doit aborder toutes les menaces possibles – non seulement les attaques informatiques, mais aussi les menaces physiques à l'environnement des systèmes (inondations, incendies, panne d'électricité), les menaces internes et la compromission de la chaîne d'approvisionnement. La proportionnalité est évaluée en fonction de l'exposition de l'entité aux risques, de sa taille, de la probabilité et de la gravité des incidents, ainsi que de leur impact social et économique.
L'article 21(5) oblige la Commission à adopter des actes d'application précisant les exigences techniques et méthodologiques applicables aux mesures prévues au paragraphe 2, concernant certains fournisseurs de services numériques, avant le 17 octobre 2024. Ces actes d'application définissent concrètement la signification des dix mesures pour les fournisseurs de services cloud, les services DNS, les prestataires de services gérés et autres.
| Mesurer | Article | Portée | Obligation principale |
|---|---|---|---|
| Analyse des risques et politiques de sécurité des systèmes d'information. | Article 21(2)(a) | Toutes les entités. | Analyser les résultats de l'analyse des risques liés aux documents et maintenir des politiques de sécurité des systèmes d'information à jour. |
| Gestion des incidents | Article 21(2)(b) | Toutes les entités. | Établir des procédures couvrant la prévention, la détection, l'analyse, le confinement, la réponse et la reprise après les incidents. |
| Continuité des activités, sauvegarde, reprise après sinistre. | Article 21(2)(c) | Toutes les entités. | Mettre en place une gestion des sauvegardes, des plans de reprise après sinistre et des mesures de gestion des crises, afin de garantir la continuité de service après un incident. |
| Sécurité de la chaîne d'approvisionnement | Article 21(2)(d) | Toutes les entités. | Assurer la sécurité des relations avec les fournisseurs et prestataires directs ; évaluer leurs vulnérabilités, leur niveau de cybersécurité et leurs procédures de développement sécurisées. Tenir compte des évaluations des risques dans la chaîne d'approvisionnement au niveau européen (Art. 22). |
| Acquisition sécurisée, développement et entretien. | Article 21(2)(e) | Toutes les entités. | Sécurité des réseaux et des systèmes d'information, incluant la gestion des vulnérabilités et la divulgation. |
| Politiques d'évaluation de l'efficacité | Article 21(2)(f) | Toutes les entités. | Établir des politiques et des procédures pour évaluer régulièrement l'efficacité des mesures de gestion des risques en matière de cybersécurité. |
| Hygiène et formation en matière de cybersécurité. | Article 21(2)(g) | Toutes les entités. | Mettre en place des pratiques de base en matière d'hygiène numérique et maintenir un programme de formation à la cybersécurité pour le personnel. |
| Cryptographie et chiffrement | Article 21(2)(h) | Toutes les entités. | Mettre en place des politiques et des procédures concernant l'utilisation de la cryptographie et, si nécessaire, de l'encodage. La stratégie nationale de cybersécurité doit promouvoir l'utilisation de l'encodage de bout en bout, conformément à l'article 7. |
| Sécurité des ressources humaines et contrôle d'accès. | Article 21(2)(i) | Toutes les entités. | Mettre en œuvre des mesures de sécurité des ressources humaines, des politiques de contrôle d'accès et une gestion des actifs, afin de réduire la surface d'attaque liée aux menaces internes. |
| Authentification multi-facteurs | Article 21(2)(j) | Toutes les entités. | Utilisez l'authentification multi-facteurs (AMF) ou des solutions d'authentification continue, sécurisez les communications vocales/vidéo/textuelles et les systèmes de communication d'urgence, si cela est approprié. |
Article 23 – alerte précoce, notification et rapport final
Un incident est considéré comme significatif s'il a entraîné ou est susceptible de provoquer : (a) une perturbation importante des services ou une perte financière pour l'entité ; ou (b) des dommages matériels ou non-matériels importants pour d'autres personnes physiques ou juridiques. La simple capacité à provoquer une telle perturbation suffit – il n'est pas nécessaire que des dommages aient effectivement été causés. L'article 101 précise que l'évaluation initiale doit prendre en compte l'importance des systèmes affectés, la gravité et les caractéristiques techniques de la menace, les vulnérabilités sous-jacentes et l'expérience de l'entité avec des incidents similaires.
Le simple fait de signaler un événement ne constitue pas une obligation supplémentaire pour l'entité qui le signale. Les signalements volontaires prévus à l'article 30 (concernant les incidents mineurs, les quasi-accidents et les menaces cybernétiques) ne donnent pas lieu à de nouvelles obligations, au-delà de celles qui s'appliqueraient si l'entité n'avait pas signalé. Cette disposition vise à encourager la communication rapide et transparente, sans que les entités hésitent à signaler par crainte que la divulgation ne soit utilisée contre elles.
L'ENISA doit élaborer et maintenir une base de données européenne des vulnérabilités, accessible à toutes les parties prenantes, y compris les entités en dehors du champ d'application de la NIS2. Cette base de données répertorie les vulnérabilités connues publiquement dans les produits et services TIC, y compris les produits concernés, leur niveau de gravité, les correctifs disponibles et les conseils en matière de réduction des risques lorsque les correctifs ne sont pas disponibles. Chaque État membre doit désigner une CSIRT (Cellule de réponse aux incidents) comme coordinateur pour la divulgation coordonnée des vulnérabilités, agissant comme un intermédiaire de confiance entre les chercheurs et les fournisseurs.
Articles 31-37 – régime différencié pour les entités essentielles et importantes
Les autorités compétentes disposent d’un éventail complet de pouvoirs de supervision proactive concernant les entités essentielles, notamment :
Les pouvoirs d'application comprennent : avertissements ; instructions contraignantes ; ordonnances interdisant les activités de contrefaçon ; nomination d'un responsable de suivi ; publication publique des violations ; amendes administratives ; et, en dernier recours, suspension temporaire des certifications ou interdiction temporaire pour un responsable individuel d'exercer ses fonctions.
La surveillance des entités importantes est réactive. L'autorité compétente doit disposer de preuves, d'indices ou d'informations démontrant un non-respect avant de pouvoir agir. Une fois la situation déclenchée, les outils de surveillance et les pouvoirs d'application disponibles sont les mêmes que pour les entités essentielles.
Les entités importantes ne sont pas tenues de documenter systématiquement leur conformité aux mesures de gestion des risques en matière de cybersécurité pour les soumettre à l'autorité compétente en l'absence d'une action de supervision. Elles doivent cependant conserver une documentation interne et être en mesure de la produire à la demande.
La Commission a estimé que la distinction entre la surveillance préventive (ex ante) et la surveillance corrective (ex post) constitue le principal levier pour garantir la proportionnalité : le coût de la préparation à la conformité proactive et des audits est élevé, et en réservant ces mesures aux entités présentant les risques les plus importants, on évite d’imposer des charges disproportionnées aux petites et moyennes entreprises opérant dans des secteurs moins critiques.
Article 34 – Limites maximales des amendes et facteurs aggravants
| Catégorie d'entité | Amende maximale | Article | Remarques |
|---|---|---|---|
| Entités essentielles | 10 000 000 EUR ou 2% du chiffre d'affaires annuel mondial total (selon ce qui est le plus élevé). | Article 34(4) | Chiffre d'affaires de l'entreprise à laquelle l'entité appartient ; s'applique aux violations des articles 21 et 23. |
| Entités importantes | 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total (selon ce qui est le plus élevé). | Article 34(5) | Chiffre d'affaires de l'entreprise à laquelle l'entité appartient ; s'applique aux violations des articles 21 et 23. |
| Paiements d'amendes périodiques | Discrétion nationale | Article 34(6) | Les États membres peuvent prévoir des pénalités périodiques pour contraindre une entité à cesser une violation. |
| Entités de l'administration publique | Discrétion nationale | Article 34(7) | Les États membres déterminent si et dans quelle mesure les amendes administratives sont applicables aux organismes publics. |
Lorsqu'il s'agit d'infliger une amende, les autorités compétentes doivent tenir dûment compte, à titre minimum :
Lorsque le même comportement constitue à la fois une violation du NIS2 et une violation de la protection des données personnelles en vertu du RGPD, et qu'une amende conformément au RGPD a été imposée, l'autorité compétente ne peut pas imposer une amende distincte en vertu du NIS2 pour le même comportement (Article 35(2)).
Une directive n'est pas directement applicable : chaque État membre doit l'intégrer dans sa propre législation nationale avant une date limite de transposition. Pour la directive NIS2, la date limite de transposition de l'UE était… 17 octobre 2024La carte présente, pour chaque État membre, la mesure nationale principale qu'il a notifiée à la Commission et sa date. 23 des 27 États membres ont notifié des mesures, qui sont répertoriées ici ; la liste complète et officielle des mesures de transposition nationales pour chaque État membre est disponible sur… Mesures de transposition nationales – EUR-Lex.
Cliquez sur un marqueur de l'État membre pour connaître la loi nationale transposée et sa date de publication. Source : EUR-Lex. Mesures d'implémentation nationale, récupérées le 20 mai 2026. Si un marqueur indique « Notifié via EUR-Lex », consultez le lien EUR-Lex ci-dessus pour les mesures de ce pays.
Le Groupe de Coopération, le Réseau des CSIRTs et EU-CyCLONe
Le mécanisme de coopération stratégique, composé de représentants des États membres, de la Commission et d’ENISA, fournit des orientations concernant la transposition et la mise en œuvre, échange de bonnes pratiques et supervise les évaluations coordonnées des risques de sécurité des chaînes d’approvisionnement critiques conformément à l’article 22. Il rend compte au Parlement européen et au Conseil. Il se réunit au moins annuellement avec le Groupe des Entités Critiques dans le cadre de la Directive CER.
La couche de coopération opérationnelle : un réseau de Groupes Nationaux de Réponse aux Incidents de Sécurité Informatique (CERT) plus CERT-EU. Il échange des informations sur les capacités, les incidents, les vulnérabilités et les fausses alarmes, peut coordonner les réponses aux incidents transfrontaliers et apporte une assistance transfrontalière aux États membres. La Commission participe en tant qu'observateur ; ENISA assure la secrétariat.
Le Réseau d'Organisation pour la Gestion des Crises Cyber dans l'Union Européenne gère les incidents et les crises de cybersécurité à un niveau opérationnel. Il est composé des autorités nationales de gestion des crises cyber. Lorsqu’un incident pourrait avoir des répercussions importantes sur l’Union, la Commission y participe pleinement, et non en tant qu’observateur. Elle rend compte tous les 18 mois au Parlement européen et au Conseil.
L'ENISA (l'Agence européenne pour la cybersécurité) joue un rôle central au sein du NIS2. Elle assure la secrétariat du Réseau des CSIRTs et de EU-CyCLONe, développe et maintient la base de vulnérabilités européenne (Article 12), gère le registre de certains prestataires de services numériques de l'ENISA (Article 27), publie un rapport biennal sur l'état de la cybersécurité dans l'Union (Article 18), et fournit des directives et une assistance technique aux États membres pour le développement des CSIRTs et des stratégies nationales de cybersécurité. Le rôle de l'ENISA est considérablement élargi par le NIS2 par rapport au NIS1.
De la transition de NIS1 à NIS2 et les perspectives d'avenir.
définition des termes et concepts clés du cadre NIS2
questions pratiques de conformité
Deux questions permettent de déterminer l’éligibilité. Premièrement : votre organisation propose-t-elle des services dans l’un des 18 secteurs mentionnés aux Annexes I ou II du NIS2 ? Deuxièmement : possède-t-elle 50 employés ou plus, et un chiffre d’affaires annuel ou un total des actifs supérieurs à 10 millions d’euros ? Si les deux réponses sont “oui”, vous êtes concerné(e). Il est toutefois à noter que même si vous êtes en dessous de ces seuils, vous pouvez toujours être concerné(e) si vous relevez d’une des catégories spécifiques mentionnées à l’article 2(2)-(4) – par exemple, si vous êtes le seul fournisseur d’un service essentiel dans un État membre, ou si vous êtes un prestataire de services de confiance ou un prestataire de services DNS.
Oui, si ces services sont fournis au sein de l'Union. Certaines catégories d'entités – notamment les fournisseurs de services DNS, les registres de noms de domaine de premier niveau (TLD), les fournisseurs de services de cloud computing, les fournisseurs de centres de données, les fournisseurs de CDN, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, et les fournisseurs de plateformes de commerce en ligne, de moteurs de recherche et de réseaux sociaux – sont soumises à la juridiction de l'État membre de l'UE où elles ont leur siège principal dans l'Union. Si une telle entité n'est pas établie dans l'UE, mais qu'elle propose des services au sein de l'UE, elle doit désigner un représentant dans l'Union (Article 26(3)). Le fait de ne pas désigner un représentant ne l'exempte pas des obligations de la directive ; toute État membre où l'entité fournit des services peut engager des poursuites pour violation.
Oui. Un seul incident de cybersécurité peut être considéré comme un incident significatif selon le NIS2 (ce qui déclenche une cascade de signalement de 24h/72h/1 mois conformément à l'article 23) et également comme une violation de données personnelles relevant de l'article 33 du RGPD (avec un délai de 72 heures pour le responsable de protection des données). Dans ce cas, l'article 35(1) du NIS2 exige que les autorités compétentes et le responsable de protection des données coopèrent. De plus, l'article 35(2) prévoit que si l'autorité de protection des données a déjà infligé une amende conformément à l'article 58(2)(i) du RGPD pour le même comportement, l'autorité compétente du NIS2 ne doit pas infliger une amende administrative séparée pour ce même comportement. Les autres mesures d'application du NIS2 (avertissements, instructions contraignantes, etc.) peuvent néanmoins être appliquées.
Les articles 34(4) et (5) font référence au chiffre d'affaires mondial total de l'exercice financier précédent de l'« entreprise à laquelle l'entité essentielle appartient ». Le concept d'entreprise dans ce contexte correspond à la définition applicable en matière de droit de la concurrence, selon les articles 101 et 102 du TFUE, et implique l'ensemble des sociétés sous contrôle commun, et non seulement l'entité juridique qui a commis l'infraction. Pour une filiale d'un grand groupe multinational, cela peut entraîner une limite de sanction beaucoup plus élevée que si l'on utilisait uniquement le chiffre d'affaires de la filiale elle-même. Le considérant 130 du NIS2 confirme cette interprétation.
Cela dépend de l'équivalence des règles spécifiques à un secteur. L'article 4(1) de la directive NIS2 prévoit que lorsque l'un des règlements juridiques de l'Union spécifiques à un secteur exige des entités d'adopter des mesures de gestion des risques en matière de cybersécurité ou de signaler les incidents significatifs, et que ces exigences sont au moins équivalentes aux obligations prévues par la directive NIS2, les dispositions pertinentes de la directive NIS2 ne s'appliquent pas. La directive DORA (règlement 2022/2554) constitue un exemple majeur : les entités financières soumises à la directive DORA sont exemptées des dispositions relatives à la gestion des risques et à la déclaration d'incidents prévues par la directive NIS2, dans la mesure où elles sont couvertes par cette directive. Cependant, la Commission a publié des directives en juillet 2023 pour faciliter cette analyse, et toutes les entités financières ne sont pas couvertes par la directive DORA de la même manière. En cas de doute, il est recommandé de consulter un conseiller juridique pour déterminer si vos obligations spécifiques au secteur répondent réellement aux critères d'équivalence de la directive NIS2.
Photo: Christina Morillo via Pexels
Sources primaires pour la NIS2 et la transposition nationale.
Le texte intégral de la Directive (UE) 2022/2555 concernant EUR-Lex, incluant tous les préambules, les articles applicatifs et les annexes I à III. CELEX 32022L2555Le texte consolidé intègre toutes les lois modifiant ultérieures.
La page NIS2 de l'ENISA propose des documents d'orientation, des kits de mise en œuvre, la base de données européenne de vulnérabilités et des informations sur la transposition par les États membres. L'ENISA est l'organisme principal de l'UE qui soutient la mise en œuvre du NIS2.
Directives publiées par la Commission en juillet 2023, précisant les cas où les règles spécifiques à un secteur (comme DORA) sont équivalentes aux exigences de NIS2, disponibles sur EUR-Lex. Une lecture essentielle pour les entités des secteurs réglementés, afin d'évaluer quel régime s'applique à leur activité.
Le dossier de procédure législative du Parlement européen concernant la NIS2, qui suit l'intégralité de l'historique législatif, de la proposition de la Commission à la première lecture, au trilogue et à l'adoption finale. Référence 2020/0359(COD).
Utilisez les outils d'IA de Brubru pour faciliter la conformité aux réglementations NIS2 et au droit européen de cybersécurité.