Suis-je concerné par NIS2 ? Comment le savoir et s'y préparer

NIS2 fait passer le nombre d'entités concernées en France d'environ 500 à près de 15 000. Beaucoup d'organisations découvriront tardivement qu'elles sont assujetties. Voici comment le savoir dès maintenant, et par où commencer si c'est le cas.

NIS2, en une phrase

NIS2 est une directive européenne qui impose aux entités concernées un socle commun de gestion des risques cyber, des obligations de déclaration d'incidents et une responsabilisation directe des dirigeants. Elle remplace la première directive NIS et élargit considérablement son périmètre, en couvrant des secteurs jusqu'ici épargnés comme l'agroalimentaire, la gestion des déchets ou une partie de l'industrie manufacturière.

Suis-je concerné ? Les deux critères à vérifier

L'assujettissement à NIS2 repose sur deux critères cumulatifs : votre secteur d'activité, et la taille de votre structure.

1. Votre secteur d'activité

La directive distingue des secteurs hautement critiques (annexe I) et des secteurs critiques (annexe II) :

• Annexe I : énergie, transport, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace.
• Annexe II : services postaux et d'expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution alimentaire, industrie manufacturière (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques, recherche.

2. La taille de votre structure

En principe, sont concernées les moyennes et grandes entreprises : au moins 50 salariés, ou un chiffre d'affaires et un total de bilan annuels supérieurs à 10 millions d'euros. Certaines entités restent assujetties quelle que soit leur taille, notamment lorsqu'elles sont les seules à fournir un service essentiel dans leur zone géographique, ou lorsqu'une interruption de leur activité aurait un impact significatif sur la sécurité publique.

Entité essentielle ou entité importante ?

Les entités les plus critiques de l'annexe I, au-delà d'un certain seuil de taille, sont classées « entités essentielles » : elles font l'objet d'un contrôle proactif de l'ANSSI et de sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Les autres entités assujetties sont classées « entités importantes », contrôlées a posteriori, avec un plafond de sanction de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. Dans les deux cas, les obligations de fond restent proches : c'est surtout le niveau de supervision qui diffère.

Ce que NIS2 impose concrètement

• Gestion des risques sur au moins 10 domaines : politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition et du développement des systèmes, évaluation de l'efficacité des mesures, cyberhygiène, cryptographie, sécurité des ressources humaines, authentification.
• Déclaration des incidents significatifs : une alerte précoce sous 24h, une notification sous 72h, un rapport final sous un mois auprès de l'ANSSI.
• Responsabilité des dirigeants : approbation des mesures de gestion des risques, suivi de leur mise en œuvre, et obligation de formation.
• Sanctions pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles.

Où en est la France ?

La transposition française de NIS2 s'appuie sur le projet de loi Résilience, qui couvre également la directive REC sur les infrastructures critiques et le règlement DORA. En parallèle, l'ANSSI a publié en mars 2026 le référentiel ReCyF (French Cyber Framework), qui formalise les mesures attendues pour répondre aux objectifs de sécurité de NIS2. Ce référentiel est d'ores et déjà opérationnel et constitue la meilleure base de travail pour se préparer, même avant la promulgation définitive de la loi.

Comment se préparer, en 5 étapes

1. Vérifier son assujettissement précisément : secteur, sous-secteur, taille, statut d'entité essentielle ou importante.
2. Réaliser un diagnostic de maturité initial face aux 10 domaines de gestion des risques, pour identifier les écarts les plus critiques.
3. Cartographier son système d'information et sa chaîne de sous-traitance, souvent le point aveugle des organisations qui découvrent NIS2 tardivement.
4. Prioriser un plan d'actions réaliste, en traitant d'abord les non-conformités majeures identifiées lors du diagnostic.
5. S'outiller et se faire accompagner pour structurer la démarche dans la durée, plutôt que de la traiter comme un projet ponctuel.