Conformité à la directive NIS2 : guide complet pour les infrastructures critiques de l’UE

Dernière mise à jour : 13 janvier 2025 | Auteur : Dr. phil. Özkaya Zübeyir Talha

Executive Summary

La directive NIS2 (Network and Information Security Directive 2) est applicable dans tous les États membres depuis le 17 octobre 2024 et remplace la directive NIS de 2016. Avec un périmètre élargi, des exigences renforcées et des sanctions jusqu’à 10 M€ ou 2% du chiffre d’affaires annuel mondial, NIS2 concerne environ 160 000 entités dans l’UE – contre 5 000 sous NIS1.

Échéances critiques :

• 17 octobre 2024 : entrée en vigueur de NIS2
• 17 octobre 2024 : transposition dans le droit national
• 17 avril 2025 : enregistrement auprès des autorités nationales
• En continu : surveillance et reporting de conformité

Principales évolutions par rapport à NIS1 :

• 10x d’extension du périmètre (5 000 → 160 000 entités)
• exigences harmonisées dans l’UE
• responsabilité personnelle de la direction
• notification d’incident obligatoire (24/72 heures)
• exigences de sécurité de la chaîne d’approvisionnement
• sanctions jusqu’à 10 M€ ou 2% du CA

Après avoir déployé des programmes NIS2 pour 40+ opérateurs d’infrastructures critiques (énergie, transport, santé et infrastructures numériques), nous avons condensé ce guide pour aider les organisations à naviguer ce paysage réglementaire complexe.

Table des matières

1. Comprendre NIS2 : périmètre et applicabilité
2. Entités essentielles vs. importantes
3. Exigences de sécurité – analyse détaillée
4. Obligations de notification d’incident
5. Gestion des risques de la chaîne d’approvisionnement
6. Responsabilité de la direction et gouvernance
7. Feuille de route (6–12 mois)
8. Exigences spécifiques par secteur
9. Contrôles et sanctions
10. NIS2 vs. RGPD vs. DORA : gérer les chevauchements

---

1. Comprendre NIS2 : périmètre et applicabilité

Qui doit se conformer ?

NIS2 s’applique à deux catégories d’entités opérant dans 18 secteurs :

Entités essentielles (exigences renforcées)

Secteurs à criticité élevée :

1. Énergie

   • Électricité : production (>250 MW), transmission, distribution
   • Pétrole : pipelines, production, raffineries, stockage
   • Gaz : production, transmission, distribution, stockage, terminaux GNL
   • Hydrogène : production, stockage, transport
   • Chauffage/refroidissement urbain

2. Transport

   • Aérien : compagnies, aéroports, gestion du trafic aérien
   • Rail : entreprises ferroviaires, gestionnaires d’infrastructure
   • Maritime : transport passagers/fret, gestion portuaire
   • Routier : systèmes de gestion du trafic

3. Banque & infrastructures de marchés financiers

   • établissements de crédit
   • contreparties centrales
   • plateformes de négociation

4. Santé

   • prestataires de soins (hôpitaux >500 lits)
   • laboratoires de référence UE
   • R&D pharmaceutique

5. Eau potable

   • fournisseurs >50 000 personnes
   • opérateurs de distribution

6. Eaux usées

   • collecte et traitement

7. Infrastructures numériques

   • points d’échange Internet (IXP)
   • services DNS
   • registres TLD
   • services cloud
   • services de centres de données
   • réseaux de diffusion de contenu (CDN)
   • prestataires de services de confiance
   • réseaux/services de communications électroniques publics

8. Gestion de services ICT (B2B)

   • managed service providers
   • managed security service providers (MSSP)

9. Administration publique

   • entités centrales
   • entités régionales/locales fournissant des services essentiels

10. Espace

    • opérateurs d’infrastructures au sol
    • fournisseurs de services

Entités importantes (exigences standard)

Secteurs à criticité moyenne :

11. Services postaux & de courrier

    • fournisseurs du service universel
    • opérateurs >10 M€ de CA annuel

12. Gestion des déchets

    • collecte et recyclage

13. Chimie

    • production et distribution de produits chimiques

14. Agroalimentaire

    • production, transformation, distribution

15. Fabrication

    • dispositifs médicaux, électronique, véhicules, machines

16. Services numériques

    • places de marché en ligne
    • moteurs de recherche
    • réseaux sociaux

17. Recherche

    • organismes de recherche

18. Prestataires de sécurité

    • sécurité privée dans des secteurs critiques

Seuils de taille

NIS2 vise principalement les entreprises de taille moyenne et grande :

Seuil standard :

• ≥50 employés OU
• ≥10 M€ de chiffre d’affaires OU
• ≥10 M€ de total de bilan

Exceptions :

• indépendamment de la taille si l’entité :
  • est le seul fournisseur d’un service essentiel dans un État membre
  • fournit un service critique
  • a un impact majeur sur la sécurité publique

Outil d’évaluation rapide

Étape 1 : secteur Êtes-vous dans l’un des 18 secteurs NIS2 ?

Étape 2 : taille Remplissez-vous les critères (≥50 employés ou ≥10 M€ CA/bilan) ?

Étape 3 : exceptions Êtes-vous critique, unique fournisseur, ou particulièrement sensible ?

Si oui, NIS2 s’applique.

---

2. Entités essentielles vs. importantes

Tableau comparatif

---

3. Exigences de sécurité – analyse détaillée

Article 21 : mesures de gestion des risques cyber

1. Analyse des risques & politiques de sécurité

Obligatoire :

• Analyse de risques au moins annuelle
• Politiques de sécurité documentées
• Modélisation des menaces pour systèmes critiques

Bonnes pratiques :

• ISO 27001 / NIST CSF
• Inventaire d’actifs avec criticité
• KPI de réduction du risque

2. Gestion des incidents

Obligatoire :

• Plan de réponse aux incidents (IRP)
• Rôles et responsabilités
• Communication interne/externe

Bonnes pratiques :

• Runbooks par type d’incident
• Exercices “tabletop” trimestriels
• Astreinte 24/7 pour services critiques

3. Continuité d’activité & reprise après sinistre

Obligatoire :

• BCP/DRP documentés
• Stratégie de sauvegarde + tests

Bonnes pratiques :

• RTO/RPO définis
• Tests DR annuels
• Redondance pour systèmes critiques

4. Sécurité de la chaîne d’approvisionnement

Obligatoire :

• Évaluation des risques fournisseurs
• Exigences de sécurité contractuelles
• Monitoring des tiers

Bonnes pratiques :

• Programme TPRM
• Due diligence basée sur preuves
• SLA/OLA avec métriques de sécurité

5. Sécurité lors de l’acquisition, du développement et de la maintenance

Obligatoire :

• Secure SDLC
• gestion des correctifs
• gestion des vulnérabilités

Bonnes pratiques :

• SAST/DAST dans le CI/CD
• pentests avant mise en production
• fenêtres de patch définies

6. Cryptographie & chiffrement

Obligatoire :

• chiffrement des données sensibles
• gestion des clés

Bonnes pratiques :

• AES-256 + TLS 1.2/1.3
• HSM pour les clés
• rotation/révocation

7. Sécurité RH, contrôle d’accès, gestion des actifs

Obligatoire :

• vérifications (si autorisées)
• moindre privilège
• inventaire des actifs

Bonnes pratiques :

• accès JIT pour admins
• revues trimestrielles des accès
• standards de durcissement endpoints

8. Authentification multi‑facteurs (MFA)

Obligatoire :

• MFA pour systèmes critiques

Bonnes pratiques :

• MFA pour comptes privilégiés
• méthodes résistantes au phishing (FIDO2)

9. Communications voix/vidéo/texte sécurisées

Obligatoire :

• canaux chiffrés

Bonnes pratiques :

• chiffrement E2E
• pas de données sensibles en clair

10. Communication d’urgence sécurisée

Obligatoire :

• canaux d’urgence indépendants

Bonnes pratiques :

• plan de communication out‑of‑band
• contacts d’urgence pour autorités

---

4. Obligations de notification d’incident

Article 23 : obligations

NIS2 impose une notification graduée :

Alerte précoce (24 heures)

Inclure :

• première évaluation
• suspicion d’acte criminel ?
• origine présumée
• systèmes concernés

Rapport intermédiaire (72 heures)

Inclure :

• description détaillée
• mesures de confinement
• impact sur les services
• cause probable

Rapport final (1 mois)

Inclure :

• analyse de cause racine
• impacts définitifs
• mesures de prévention
• leçons apprises

Définition d’“incident significatif”

Un incident est significatif si :

• interruption majeure des opérations
• dommages financiers importants
• impact sur de nombreux utilisateurs
• risque pour la sécurité publique

---

5. Gestion des risques de la chaîne d’approvisionnement

Éléments obligatoires :

• classification des fournisseurs (tiering)
• exigences par niveau de risque
• audits/évaluations
• clauses contractuelles (SLA, reporting incident)
• monitoring continu

Conseil : NIS2 exige des mesures “appropriées” tout au long de la chaîne. Sans programme TPRM structuré, la conformité est fragile.

---

6. Responsabilité de la direction & gouvernance

Article 20 : gouvernance

Obligations de la direction :

• approbation des mesures de sécurité
• supervision de l’exécution
• formation sécurité
• responsabilité en cas de négligence grave

Bonnes pratiques :

• KPI sécurité au niveau du board
• revues trimestrielles
• budgets dédiés

---

7. Feuille de route (6–12 mois)

Phase 1 : Gap assessment (Mois 1–2)

• définir le périmètre
• analyse des actifs et des risques
• rapport d’écart

Phase 2 : Quick wins (Mois 2–4)

• déploiement MFA
• logging & monitoring
• mise à jour IR

Phase 3 : Implémentation cœur (Mois 4–9)

• politiques & processus
• gestion fournisseurs
• formations
• mesures techniques

Phase 4 : Optimisation (Mois 9–12)

• audits
• tests d’intrusion
• amélioration continue

Investissement total

Entreprise moyenne (100–500 employés) :

• 50 000–200 000 €

Grande entreprise (500+ employés) :

• 200 000–1 000 000 €

---

8. Exigences spécifiques par secteur

Énergie

• sécurité OT/ICS
• segmentation réseau
• monitoring 24/7

Santé

• protection des données patients
• disponibilité des systèmes critiques
• contrôle d’accès renforcé

Services financiers

• alignement DORA
• TLPT (Threat‑Led Penetration Testing)
• reporting réglementaire

Infrastructures numériques (cloud, data centers)

• isolation multi‑tenant
• résidence des données
• sécurité physique

---

9. Contrôles et sanctions

Sanctions (Article 34)

Entités essentielles :

• jusqu’à 10 M€ ou 2% du CA

Entités importantes :

• jusqu’à 7 M€ ou 1,4% du CA

Mesures de contrôle

• injonctions officielles
• inspections sur site
• audits
• publication des manquements

---

10. NIS2 vs. RGPD vs. DORA : gérer les chevauchements

Matrice comparative

Harmonisation

• modèle de gouvernance unique
• registre de risques commun
• audits consolidés
• processus de reporting alignés

---

Conclusion

NIS2 est l’évolution la plus significative de la réglementation cybersécurité de l’UE depuis le RGPD. Avec un périmètre élargi, des exigences renforcées et une responsabilité personnelle, les organisations ne peuvent pas repousser la conformité.

Plan d’action 30‑60‑90 jours :

Jours 1–30 :

• □ vérifier l’applicabilité et la classification
• □ s’enregistrer auprès de l’autorité
• □ briefing exécutif
• □ constituer l’équipe conformité
• □ lancer la gap analysis

Jours 31–60 :

• □ finaliser l’analyse d’écart
• □ prioriser les actions
• □ déployer la MFA
• □ mettre à jour l’IR
• □ former la direction
• □ valider le budget

Jours 61–90 :

• □ déployer les quick wins
• □ lancer le programme fournisseurs
• □ planifier les pentests
• □ documenter les progrès
• □ reporting au board

ATLAS Advisory a accompagné 40+ opérateurs critiques vers la conformité NIS2 avec 95% d’achèvement à temps et zéro sanction.

Besoin d’aide ?
Contactez notre équipe NIS2 : nis2@atlas-advisory.eu

Découvrez notre service de conseil NIS2.

---

Ressources complémentaires

Sources officielles :

• Directive NIS2 (EUR‑Lex) - texte officiel
• Ressources ENISA NIS2 - guides
• Commission européenne NIS2 - contexte

Transposition nationale :

• Belgique - Centre for Cybersecurity Belgium (CCB)
• Allemagne - BSI
• France - ANSSI
• Pays-Bas - NCSC

Standards & frameworks :

• ISO/IEC 27001 - ISMS
• IEC 62443 - cybersécurité industrielle
• NIST CSF - framework
• CIS Controls - mesures pratiques

Spécifiques secteurs :

• ENISA Energy Sector Report
• ENISA Healthcare Cybersecurity
• EBA - ICT Risk

Formations & certifications :

• SANS SEC504: Hacker Tools, Techniques, and Incident Handling
• ISACA CISM: Certified Information Security Manager
• (ISC)² CISSP: Certified Information Systems Security Professional
• EC-Council CEH: Certified Ethical Hacker

---

À propos de l’auteur : Dr. Rajesh Patel est Cloud Security Director chez ATLAS Advisory SE, spécialisé dans la conformité NIS2 pour les infrastructures numériques et les fournisseurs cloud. Il est certifié CISSP, CCSP et CISM et a dirigé des programmes de conformité pour 40+ entités essentielles.

Dernière mise à jour : 28 octobre 2025
Temps de lecture : 20 minutes
Niveau : Avancé

---

Articles associés :

• Zero Trust Architecture for Critical Infrastructure
• GDPR Compliance Checklist 2025
• Incident Response Playbook
• Third-Party Risk Management (TPRM) Guide 2025

Chevauchements réglementaires :

• DORA (Digital Operational Resilience Act) - secteur financier
• Directive CER (Critical Entities Resilience) - résilience physique
• Cyber Resilience Act - sécurité produit