La directive NIS est souvent citée comme un « texte cyber » de référence, mais elle reste mal comprise: certains la confondent avec une vague « directive numérique », d’autres avec le cadre américain nist. Or, NIS (et désormais la directive NIS 2) sert surtout de colonne vertébrale opérationnelle pour élever un niveau commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne, en imposant des obligations concrètes de gestion des risques, de gouvernance et de notification d’incident. Pour les organisations en Europe et en France, l’enjeu n’est pas de réciter le texte, mais de se repérer: périmètre, obligations, contrôle, et trajectoire de mise en conformité via la transposition nationale et les repères de l’anssi.
- La directive NIS (2016/1148) est le premier cadre global de l’ue pour sécuriser les réseaux et systèmes d’information des services vitaux.
- La directive NIS 2, publiée en décembre 2022 et entrée en vigueur en janvier 2023, élargit fortement le périmètre et renforce la supervision, avec une transposition attendue au plus tard le 17 octobre 2024.
- Le cœur des exigences: gestion des risques, gouvernance au niveau direction, sécurité de la chaîne d’approvisionnement, continuité, chiffrement et authentification forte, et notification d’incidents majeurs.
- En France, l’anssi joue un rôle central dans le contrôle et l’accompagnement, avec des repères comme le reCyF (document de travail mis à disposition le 17 mars 2026).
- NIS n’est pas nist: nist est un référentiel volontaire utile pour structurer la conformité, au même titre qu’iso 27001, en articulation avec rgpd et dora.
Directive NIS : définition et place dans la cybersécurité de l’ue
La directive NIS (souvent appelée SRI 1) correspond à la directive 2016/1148. Elle constitue la première législation globale de l’Union européenne visant à renforcer la cybersécurité des réseaux et des systèmes d’information, avec un objectif clair: protéger des services vitaux pour l’économie et la société de l’ue en élevant un niveau commun de sécurité.
Concrètement, NIS n’est pas une « norme technique » unique. C’est un cadre qui impose aux états membres d’organiser: l’identification d’acteurs critiques, des exigences de sécurité, des mécanismes de supervision et des canaux de coopération. Cette logique explique pourquoi l’on parle de transposition nationale: une directive fixe des objectifs et des obligations de résultat, mais chaque pays les intègre dans son droit et son dispositif de contrôle.
Les confusions sont fréquentes sur l’étiquette « directive numérique ». Dans les politiques européennes, le terme « numérique » recouvre un ensemble de textes (marchés, services, données, résilience). La directive NIS, elle, est la directive européenne sur la cybersécurité au sens de la sécurité des réseaux et des systèmes d’information. Elle ne remplace pas le rgpd (protection des données personnelles) et ne traite pas des mêmes objets que d’autres règlements sectoriels comme dora (résilience opérationnelle numérique dans la finance).
Ce positionnement est essentiel pour une lecture opérationnelle: NIS vise l’organisation de la sécurité et la capacité à encaisser des incidents; le rgpd vise la licéité et la protection des données personnelles; dora vise un niveau de résilience et de tests renforcés pour les entités financières et certains prestataires tic.
De NIS à NIS 2 : pourquoi l’ue renforce le cadre
De NIS à NIS 2 : pourquoi l’ue renforce le cadre
La directive NIS a posé les bases, mais l’ue a rapidement constaté des limites: hétérogénéité d’application selon les pays, périmètres variables, maturité inégale des contrôles, et montée en puissance des attaques affectant des chaînes d’approvisionnement et des services transfrontières. C’est dans ce contexte que la Commission européenne propose, en décembre 2020, une révision de la SRI 1, processus qui aboutit à la directive NIS 2.
La directive NIS 2 est publiée en décembre 2022 au Journal officiel de l’union européenne et entre en vigueur en janvier 2023. Elle est présentée comme un élargissement « considérable » du champ d’application, voire une extension « sans précédent » en matière de réglementation cyber. L’idée n’est pas seulement d’ajouter des secteurs, mais de rendre les obligations plus homogènes et plus actionnables.
Les objectifs se lisent comme une feuille de route:
- harmoniser les exigences et la supervision entre états membres;
- responsabiliser davantage les directions, en ancrant la gouvernance de la sécurité;
- structurer la gestion des incidents, avec des attentes claires de notification;
- renforcer la coopération européenne, notamment via un cadre formel pour le réseau CyCLONe et un mécanisme renforcé autour du réseau des csirt pour l’échange d’informations sur menaces et incidents.
Cette montée en puissance n’est pas théorique: elle vise à réduire l’écart entre des organisations très matures et d’autres qui découvrent encore la gestion de crise cyber, alors même qu’elles opèrent des services essentiels au fonctionnement du marché intérieur.
Qui est concerné : secteurs, tailles et critères de périmètre
Qui est concerné : secteurs, tailles et critères de périmètre
Le premier réflexe utile est de raisonner en deux catégories: secteurs essentiels et entités importantes (en miroir des notions d’entités essentielles et importantes introduites par NIS 2). L’enjeu opérationnel n’est pas de s’enfermer dans une lecture juridique, mais de se positionner rapidement pour décider d’un plan d’action.
NIS 2 élargit fortement le champ par rapport à NIS 1. En France, l’ordre de grandeur couramment avancé est d’environ 15 000 entités potentiellement concernées. Cela donne une indication: on sort d’un périmètre limité à quelques opérateurs critiques pour toucher des organisations de tailles et de secteurs plus variés.
Pour se repérer sans se perdre, trois critères pratiques reviennent dans les démarches de qualification:
- le secteur d’activité: appartenance à un secteur listé comme essentiel ou important;
- la taille: NIS 2 s’appuie sur une logique de seuils et de catégories d’entreprises, même si des exceptions existent;
- le rôle systémique: certaines entités peuvent être concernées en raison de leur criticité ou de leur position dans une chaîne de valeur.
Exemple concret de lecture: une entreprise peut ne pas se percevoir comme « critique », mais fournir un service numérique ou industriel indispensable à plusieurs acteurs d’un secteur essentiel. La conséquence est immédiate sur les exigences de sécurisation de la chaîne d’approvisionnement et sur les attentes contractuelles: clauses de sécurité, exigences d’audit, preuves de mesures de sécurité.
Obligations clés : gestion des risques, gouvernance et incidents
Obligations clés : gestion des risques, gouvernance et incidents
Le cœur de NIS 2 se résume en une exigence: mettre en place des mesures techniques et organisationnelles de gestion des risques liés à la sécurité des réseaux et des systèmes d’information. Le texte cite explicitement des familles de mesures, qui servent de guide de lecture pour bâtir un plan de conformité.
Sur le volet « mesures de sécurité », NIS 2 met en avant, notamment:
- des politiques de gestion des risques cyber et leur pilotage;
- des procédures de gestion des incidents;
- la continuité d’activité et la gestion de crise;
- la sécurisation de la chaîne d’approvisionnement;
- le chiffrement et l’authentification forte.
Le volet « gouvernance » est souvent sous-estimé: NIS 2 renforce la responsabilisation. Dans la pratique, cela se traduit par des arbitrages budgétaires plus traçables, des rôles et responsabilités clarifiés, et des indicateurs de suivi qui remontent au bon niveau. Une organisation qui ne sait pas démontrer qui décide, sur quelles bases et avec quels contrôles s’expose à des constats de non-conformité, même si des outils existent.
Enfin, la notification d’incident devient un exercice à industrialiser: définition de ce qu’est un incident « majeur », chaîne d’escalade, capacité à qualifier l’impact, et préparation de messages à l’autorité compétente. Certains éléments peuvent être applicables dès l’entrée en vigueur de la loi nationale, notamment la déclaration des incidents majeurs, présentée comme ne nécessitant pas de modification technique des systèmes d’information: c’est donc d’abord une question de processus, de responsabilités et de preuve.
Transposition et contrôle : ce que cela change en pratique en France
Transposition et contrôle : ce que cela change en pratique en France
Une directive ne s’applique pas « telle quelle »: elle doit être traduite en droit interne via la transposition nationale. Pour NIS 2, la date limite fixée aux états membres est le 17 octobre 2024, et la directive abroge NIS 1 à compter du 18 octobre 2024. En France, le 15 octobre 2024, le projet de loi de transposition est présenté en conseil des ministres puis déposé au sénat, ce qui matérialise le passage du cadre européen vers un dispositif national opposable.
Dans ce dispositif, l’anssi occupe une place structurante: autorité nationale de référence, elle intervient dans l’animation, l’accompagnement, et la supervision selon les catégories d’entités. NIS 2 annonce un renforcement de la supervision, avec audits réguliers et possibilité d’amendes en cas de non-conformité. Pour une organisation, la question devient: quelles preuves produire, comment démontrer la maîtrise des risques, et comment se préparer à un contrôle.
La trajectoire d’application peut être progressive. Des extraits évoquent un délai de transition jusqu’à fin 2027 avant application de sanctions pour non-conformité. Cette perspective ne doit pas être lue comme un report du travail, mais comme une fenêtre pour structurer: cartographie des actifs, analyse de risques, plan de traitement, gouvernance, tests de crise, et contractualisation supply chain.
La coopération européenne est un autre impact concret. NIS 2 renforce la gestion de crise cyber via un cadre formel pour CyCLONe et un mécanisme de coopération renforcé entre csirt. Pour les acteurs opérant dans plusieurs pays, cela implique des pratiques plus standardisées de qualification d’incident et de communication, afin d’éviter des réponses divergentes selon les filiales.
NIS, nIST et autres référentiels : compatibilités et bonnes pratiques
NIS, nIST et autres référentiels : compatibilités et bonnes pratiques
La confusion « nIS vs nIST » est l’une des plus fréquentes. NIS et NIS 2 sont des directives de l’Union européenne, donc des obligations légales après transposition. NIST est un ensemble de référentiels et publications d’un organisme américain, largement utilisés comme bonnes pratiques. Les normes nist ne sont pas « obligatoires » en Europe en tant que telles, mais elles peuvent être utiles pour démontrer une démarche robuste de gestion des risques et structurer des contrôles.
Pour une lecture opérationnelle, on peut voir NIS 2 comme le « quoi » (obligations) et des référentiels comme nist ou iso 27001 comme le « comment » (méthodes, contrôles, preuves). L’important est d’aligner les livrables: politiques, registres de risques, plans de continuité, procédures d’incident, exigences fournisseurs, et traces d’audit.
En France, un repère utile est le Référentiel Cyber France (reCyF), mis à disposition le 17 mars 2026, et diffusé « à ce stade » comme document de travail. Il correspond au référentiel de cybersécurité mentionné à l’article 14 du projet de loi Résilience. Par défaut, il n’est pas obligatoire, mais il peut être invoqué par un futur assujetti qui l’applique en cas de contrôle de l’autorité nationale. Un outil de comparaison de référentiels est également prévu pour comparer reCyF à d’autres référentiels, normes ou réglementations existants, ce qui aide à éviter les doublons.
Dernier point de repérage: NIS 2 ne vit pas seule. Elle cohabite avec le rgpd (données personnelles) et avec dora (finance). Une approche efficace consiste à bâtir une matrice d’exigences commune, pour mutualiser:
- la gestion des risques et les contrôles;
- la gestion des incidents (avec des canaux de notification distincts si nécessaire);
- la gouvernance et la preuve documentaire;
- la gestion des tiers et des contrats.
FAQ
Qu’est-ce que la directive NIS ?
La directive NIS (directive 2016/1148) est le premier cadre global de l’ue visant à renforcer la sécurité des réseaux et des systèmes d’information pour protéger des services vitaux, via des obligations de sécurité, de supervision et de coopération, transposées dans chaque état membre.
Quelle est la directive sur la cybersécurité de l’UE ?
La directive NIS, puis la directive NIS 2 (publiée en décembre 2022, entrée en vigueur en janvier 2023), constituent le socle européen dédié à la sécurité des réseaux et des systèmes d’information, avec un périmètre élargi et une supervision renforcée.
Quelle est la directive européenne numérique ?
Il n’existe pas une seule « directive numérique »: l’ue adopte plusieurs textes selon les sujets. NIS et NIS 2 visent spécifiquement la cybersécurité; le rgpd vise les données personnelles; dora vise la résilience numérique du secteur financier.
Les normes NIST sont-elles applicables en Europe ?
Les référentiels nist ne sont pas des obligations légales européennes, mais ils sont utilisables comme bonnes pratiques pour structurer une démarche de gestion des risques et produire des preuves de mesures de sécurité compatibles avec les exigences de NIS 2.
La bonne préparation à NIS 2 tient moins à une lecture article par article qu’à une exécution disciplinée: qualifier son périmètre, formaliser la gouvernance, industrialiser la gestion des risques et des incidents, et s’appuyer sur des référentiels reconnus, en cohérence avec rgpd et dora.
