La directive NIS2
La directive NIS2 (Network and Information Security 2) est le nouveau cadre réglementaire européen en matière de cybersécurité, adopté en janvier 2023. Elle renforce et remplace la directive NIS1, avec un périmètre
élargi, des obligations plus strictes, et des sanctions accrues.
Son objectif : améliorer la résilience numérique des entreprises et administrations face aux cybermenaces de plus en plus fréquentes et sophistiquées.
Pourquoi la NIS2 est-elle cruciale pour les entreprises ?
Les cyberattaques ciblant les infrastructures critiques, les services numériques et les chaînes d’approvisionnement sont en forte hausse. Face à ce constat, l’Europe impose une approche unifiée et proactive :
- Meilleure anticipation des risques
- Renforcement des mesures de sécurité
- Détection rapide et remontée d’incidents
- Responsabilité accrue des dirigeants
Adopter NIS2, ce n’est pas simplement répondre à une obligation réglementaire, c’est protéger son activité, sa réputation et ses clients.
À qui s’applique la directive NIS2 ?
La directive concerne deux grandes catégories d’acteurs : les entités essentielles et les entités importantes.
Quels sont les acteurs concernés par NIS2 ?
🔹 Entités essentielles (infrastructures critiques) :
- Énergie (électricité, gaz, pétrole)
- Transports (aérien, ferroviaire, maritime, routier)
- Banques & marchés financiers
- Santé (hôpitaux, laboratoires, fabricants)
- Eau potable & assainissement
- Infrastructures numériques (DNS, datacenters)
- Administrations publiques
- Espace
🔸 Entités importantes (secteurs sensibles ou stratégiques) :
- Prestataires de services numériques (cloud, e-commerce, marketplaces)
- Fabricants de composants critiques
- Fournisseurs de logiciels IT
- Services postaux et logistiques
- Gestion des déchets
- Recherche scientifique (liée aux secteurs essentiels)
Les sociétés de taille moyenne sont-elles concernées ?
Oui, la directive NIS2 vise explicitement les entreprises de taille moyenne.
Une entreprise est concernée si elle :
- Compte plus de 50 salariés
ou - Réalise plus de 10 millions d’euros de chiffre d’affaires
et - Appartient à l’un des secteurs listés comme « essentiels » ou « importants »
Même une entreprise plus petite peut être incluse si elle est :
- Sous-traitante d’un acteur critique locale)
- Jugée sensible par l’État membre (ex. : PME opérant une infrastructure numérique
🎯 Conclusion : les ETI, les PME structurées, et certaines start-ups innovantes doivent évaluer leur exposition à NIS2 et anticiper leur conformité.
Quelles sont les obligations de conformité NIS2 ?
Les entreprises doivent :
- Réaliser une analyse de risques de cybersécurité
- Mettre en œuvre des mesures techniques et organisationnelles de protection
- Désigner un responsable de la sécurité
- Mettre en place une gestion des incidents
- Déclarer tout incident majeur dans un délai de 24 heures
- Garantir la continuité des activités même en cas de crise cyber
Les sanctions en cas de non-conformité
Les entreprises qui ne respectent pas la directive s’exposent à :
- Des amendes allant jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial
- Des sanctions personnelles contre les dirigeants en cas de négligence grave
- Des contrôles et audits obligatoires par les autorités nationales
Comment se mettre en conformité avec NIS2 ?
Évaluer votre exposition à la directive
Réaliser un audit cybersécurité NIS2
Mettre à jour vos politiques de sécurité
Former vos équipes et vos prestataires
Mettre en place des procédures de gestion de crise
Assurer une veille réglementaire continue
Notre accompagnement pour votre conformité NIS2
Chez PROBE IT, nous vous accompagnons dans votre mise en conformité NIS2, de l’audit initial à la formation de vos équipes, en passant par la rédaction de votre politique de sécurité et la gestion des risques.
Nos services incluent :
- Diagnostic NIS2
- Cartographie des actifs et menaces
- Plan de remédiation
- Formation & sensibilisation
- Suivi réglementaire
f.a.q.
Tout savoir sur la directive NIS2
Vous vous demandez si votre entreprise est concernée par la directive NIS2 ?
Vous cherchez à comprendre les obligations, les risques ou les différences avec le RGPD ?
Retrouvez ici les réponses aux questions les plus fréquentes pour anticiper sereinement votre conformité.
Oui. La directive NIS2 est une obligation légale pour toutes les entreprises et entités qui entrent dans son périmètre. Adoptée par l’Union européenne en janvier 2023, elle doit être transposée dans le droit national de chaque État membre (en France, d’ici octobre 2024).
Elle impose des exigences de cybersécurité minimales aux organisations dites essentielles ou importantes, avec des contrôles et sanctions à la clé.
Sont concernées par NIS2 les entreprises :
- appartenant à l’un des secteurs critiques (énergie, santé, transports, infrastructures numériques, etc.)
- ou jugées stratégiques pour l’économie ou la sécurité nationale (cloud, e-commerce, logistique, services numériques…)
- et qui dépassent les seuils suivants : plus de 50 salariés ou plus de 10 M€ de chiffre d’affaires
Même les sous-traitants ou prestataires IT peuvent être impactés s’ils travaillent pour des entités critiques.
Oui, les entreprises de taille moyenne entrent pleinement dans le champ d’application de la directive NIS2 si elles relèvent des secteurs ciblés.
La réglementation ne s’applique plus uniquement aux grandes entreprises : une PME avec 60 salariés opérant dans la cybersécurité ou l’énergie, par exemple, doit se mettre en conformité.
Même en dessous des seuils, une entreprise peut être concernée si elle est désignée comme critique par les autorités nationales.
Les risques en cas de non-conformité à NIS2 sont importants :
- Amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial
- Mises en demeure, audits obligatoires, voire interdiction temporaire d’activité
- Responsabilité des dirigeants, notamment en cas de manquement grave à la gestion des risques
Ne pas anticiper la directive peut aussi entraîner une perte de contrats, notamment avec des entités déjà conformes.
Non, NIS2 et RGPD sont deux textes complémentaires, mais distincts :
- Le RGPD (Règlement Général sur la Protection des Données) concerne la protection des données personnelles
- NIS2, elle, vise la cybersécurité des systèmes d’information, la résilience des infrastructures, et la gestion des incidents
Une entreprise peut donc être soumise aux deux règlements et doit adapter ses processus en conséquence.
Vous pouvez :
- vérifier si votre activité relève des secteurs listés dans NIS2
- évaluer votre taille (effectifs, chiffre d’affaires)
- consulter les textes de transposition nationaux
- ou demander un audit NIS2 à un expert
Chez PROBE IT, nous proposons un diagnostic gratuit pour évaluer rapidement votre exposition à la directive.
Un doute ? Un projet de conformité NIS2 ?
Nos experts vous accompagnent pour évaluer votre situation et bâtir un plan d’action sur mesure.
Contactez-nous dès maintenant pour un diagnostic gratuit ou une première consultation sans engagement.
Please set the ‘Contact Form’ component shortcode