NIS2

NIS2 (directive 2022/2555) est le second cadre européen de cybersécurité, qui remplace la directive NIS de 2016. Elle est entrée en application le 17 octobre 2024 et a été transposée en droit français par la loi du 21 novembre 2024.

L'objectif : harmoniser et renforcer le niveau de cybersécurité dans l'UE en imposant aux entités identifiées comme « essentielles » ou « importantes » des obligations de gestion du risque, de notification d'incident, et de gouvernance — avec une responsabilité personnelle des dirigeants en cas de manquement.

L'autorité française de référence est l'ANSSI (Agence nationale de la sécurité des systèmes d'information). C'est elle qui reçoit les déclarations, les notifications d'incident, et qui mène les contrôles.

Le périmètre est défini par les annexes I (entités essentielles) et II (entités importantes) de la directive. En synthèse :

• Annexe I (entités essentielles) : énergie, transport, banques, santé, eau, infrastructures numériques, administrations publiques, espace.
• Annexe II (entités importantes) : services postaux, gestion des déchets, alimentation, fabrication de produits chimiques / dispositifs médicaux / véhicules, services numériques (cloud, datacenter, SaaS), R&D.

Les seuils : ≥ 50 salariés OU ≥ 10 M€ de CA suffisent pour entrer dans le périmètre « entité importante ». Au-delà de 250 salariés ou 50 M€ CA, c'est « entité essentielle » avec un régime de contrôle plus strict.

Important : la déclaration auprès de l'ANSSI est auto-déclarative. Aucune notification n'est envoyée par l'autorité — c'est à l'entité concernée de s'identifier et de se déclarer. L'absence de déclaration est elle-même une infraction.

• 17 octobre 2024 : entrée en application de la directive.
• Novembre 2024 : transposition française votée.
• 2025 : ouverture du portail d'auto-déclaration ANSSI.
• À compter de 2026 : contrôles ciblés sur les acteurs ayant eu un incident notifié, signalés via plainte, ou identifiés comme à risque.

Les sanctions sont à la fois administratives et personnelles :

• Entités essentielles : amende jusqu'à 10 M€ ou 2 % du CA annuel mondial (le plus élevé).
• Entités importantes : amende jusqu'à 7 M€ ou 1,4 % du CA annuel mondial.
• Responsabilité personnelle des dirigeants : possibilité d'interdiction temporaire d'exercer des fonctions de direction.
• Sanctions complémentaires : injonctions de mise en conformité, suspension d'autorisations, publication des décisions.

L'article 21 de la directive liste 10 catégories de mesures techniques et organisationnelles minimales. En traduction logicielle :

• Audit log infalsifiable et requêtable (chaque action sensible tracée, append-only, horodaté).
• Détection d'incident et workflow de notification ANSSI sous 24h alerte / 72h détaillé / 1 mois rapport final.
• Registre des sous-traitants techniques avec certifications associées (SOC 2, ISO 27001, NIS2), dates d'audit, contacts DPO/RSSI.
• Gestion d'accès avec MFA, gestion des privilèges, et revues régulières.
• Plan de continuité d'activité documenté, testé, et revu annuellement.