Conformité NIS 2

Pas encore, au 29 septembre 2026. La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 et annoncé en séance publique à l'Assemblée nationale à partir du 7 octobre 2026. Restent le vote définitif, la promulgation et les décrets d'application, avec lesquels les obligations s'appliqueront. L'ANSSI recommande de s'y préparer sans attendre.

Trois critères comptent : votre secteur d'activité, parmi les 18 visés par la directive, votre taille (effectif, chiffre d'affaires, bilan) et votre place dans un groupe. En règle générale, les entreprises de ces secteurs d'au moins 50 salariés, ou de plus de 10 millions d'euros de chiffre d'affaires et de bilan, sont concernées. Notre diagnostic d'assujettissement répond à la question en une à deux semaines. L'ANSSI propose aussi un pré-enregistrement volontaire sur la plateforme MonEspaceNIS2.

La directive (UE) 2022/2555 fixe trois obligations principales : vous enregistrer auprès de l'ANSSI, gérer vos risques cyber par des mesures juridiques, techniques et organisationnelles (article 21) et déclarer vos incidents importants (article 23). Le niveau d'exigence dépend de votre statut d'entité essentielle ou importante. La loi française et ses décrets d'application en préciseront les modalités.

La directive engage directement la direction (article 20) : ses membres approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et suivent une formation adaptée. Ils peuvent être tenus responsables des manquements de l'entité. La loi française précisera les conditions de cette responsabilité.

En mesurant vos pratiques, domaine par domaine, aux mesures de gestion des risques attendues par la directive : gouvernance, gestion des incidents, continuité, chaîne d'approvisionnement, sécurité des systèmes. Notre grille est le ReCyF, le référentiel de l'ANSSI qui détaille ces mesures, rapproché de la norme ISO 27001 et du guide d'hygiène informatique. Vous obtenez la part des mesures déjà en place et les chantiers à engager.

Le Référentiel Cyber France (ReCyF) liste les mesures recommandées par l'ANSSI pour atteindre les objectifs de sécurité fixés par NIS 2. Présenté le 17 mars 2026 en version 2.5, il reste un document de travail jusqu'à la transposition de la directive en droit français. Veyan s'en sert dès maintenant comme grille d'évaluation, pour mesurer vos écarts et classer vos chantiers.

Par qualifier votre statut : entité essentielle, entité importante ou hors champ, société par société si vous êtes un groupe. Notre test NIS 2 en six questions donne une première indication. Viennent ensuite la mesure de vos écarts et une feuille de route priorisée, présentée en comité de direction.

Pas un audit annuel obligatoire pour toutes les entités. La directive demande des procédures pour évaluer l'efficacité de vos mesures de sécurité (article 21) et permet à l'autorité, l'ANSSI en France, d'imposer des audits de sécurité : réguliers et ciblés pour les entités essentielles (article 32), ciblés dans le cadre d'un contrôle a posteriori pour les entités importantes (article 33).

La directive (UE) 2022/2555 (article 34) demande aux États de prévoir des amendes d'un plafond d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. La loi française fixera les montants applicables. La directive prévoit aussi la responsabilité des organes de direction.

Vos clients soumis à NIS 2 doivent maîtriser la sécurité de leur chaîne d'approvisionnement et vous demanderont des garanties. Se préparer devient alors un argument commercial.