ClariGuard
GUIDE · NIS2

NIS2 : suis-je concerné ?

Une lecture courte pour savoir si votre structure entre dans le périmètre, ce qui vous serait demandé, et ce qu'il est utile de faire dès maintenant.

Voir la mission Conformité NIS2
ISO/IEC 27001 · NIS2 · RGPD · ANSSI · EBIOS RM · CIS Controls ·

Les cadres que je mobilise en mission.

De quoi parle-t-on

Adoptée en décembre 2022, NIS2 succède à la première directive NIS de 2016. Elle harmonise au niveau européen les obligations en matière de cybersécurité pour les entités essentielles et importantes.

En France, elle n'est pas encore applicable. Au 3 septembre 2026, l'ANSSI indique sur son service en ligne que « la transposition de la directive NIS 2 en France est en cours » : le projet de loi Résilience poursuit son parcours parlementaire, et seul le pré-enregistrement des entités est ouvert. Le délai européen, fixé au 17 octobre 2024, est dépassé, et le 8 juillet 2026 la Commission européenne a renvoyé la France devant la Cour de justice de l'Union européenne pour ce retard.

Qui est concerné

NIS2 distingue « entités essentielles » et « entités importantes ». Sont visées les structures de plus de 50 salariés ou 10 M€ de chiffre d'affaires opérant dans les secteurs listés en annexes I et II : finance, santé, transport, services numériques, fournisseurs gérés, entre autres. Le périmètre est bien plus large que celui de NIS1 : beaucoup d'entreprises concernées l'ignorent encore.

  • PME ≥ 50 salariés ou ≥ 10 M€ CA dans secteur listé : entité importante
  • Grandes entreprises secteurs critiques : entité essentielle
  • Sous-traitants des deux : tirés vers le haut indirectement

Les sanctions prévues

Jusqu'à 10 M€ ou 2 % du CA mondial pour entités essentielles ; 7 M€ ou 1,4 % pour entités importantes. Au-delà des amendes, la directive prévoit la responsabilité personnelle des dirigeants en cas de manquement répété.

Ces plafonds sont ceux de la directive. Leur application en France dépendra de la loi de transposition et de ses décrets : aucune sanction NIS2 n'est prononçable à ce jour.

Ce que la directive demande, en huit familles

Le guide en 27 points détaille chaque famille. Les voici, pour vous situer :

  • Gouvernance
  • Formation cybersécurité dirigeants ≥ 8h/an
  • Plan de traitement chiffré et budgété
  • MFA sur tous les comptes à privilèges
  • Durcissement des postes de travail
  • Continuité d'activité
  • Gestion des incidents
  • Communication aux personnes concernées si nécessaire
QUESTIONS FRÉQUENTES

Les questions qui reviennent

Si vous avez plus de 50 salariés ou 10 M€ de chiffre d'affaires dans un secteur listé aux annexes I ou II, oui. Les cabinets d'expertise comptable n'y figurent pas en tant que tels : beaucoup sont concernés indirectement, comme fournisseurs d'une entité qui l'est. En cas de doute, un cadrage de qualification tranche avant tout engagement.
Pas aujourd'hui : la loi française de transposition n'est pas promulguée, et les obligations s'ouvriront avec ses décrets d'application. Ce sursis n'en est pas un. Quand le texte sortira, le calendrier sera court, alors qu'une mise en conformité se compte en mois. L'ANSSI ouvre déjà le pré-enregistrement des entités.
Non. Un prestataire IT n'est pas un RSSI. NIS2 demande une fonction de pilotage sécurité, distincte de l'exploitation.
Vous restez responsable. La sous-traitance se contractualise (clauses NIS2) et se contrôle.
Non, pas encore. Au 3 septembre 2026 la loi française de transposition n'est pas promulguée, et l'ANSSI indique que la transposition est en cours. Les plafonds prévus par la directive sont de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial pour les entités importantes, 10 millions ou 2 % pour les entités essentielles, avec responsabilité personnelle des dirigeants en cas de manquement répété. Ce délai se referme : le 8 juillet 2026, la Commission européenne a renvoyé la France devant la Cour de justice de l'UE pour son retard.

POUR ALLER PLUS LOIN

Parlons de votre situation.

30 minutes pour faire le point, que vous cherchiez un interlocuteur informatique ou un pilote pour la sécurité de votre PME. Un échange confidentiel, sans engagement.

Réserver mes 30 minutes Diagnostic IA Express, 149 € HT

Plutôt écrire un message Évaluer ma maîtrise numérique