Échéance réglementaire

NIS2 arrive. Êtes-vous concerné ?

La directive européenne NIS2 fait passer le nombre d’organisations soumises à des obligations de cybersécurité d’environ 500 à près de 15 000 en France : PME de taille moyenne, ETI, collectivités. La loi française n’est pas encore votée. Le jour où elle le sera, les délais de mise en conformité risquent d’être courts.

Faire le test en 4 questions Demander un diagnostic

Illustration : cadenas posé sur un clavier d’ordinateur

Où en est-on ?

Une directive en vigueur, une loi française en retard

Le retard législatif n’est pas un répit : c’est le temps qu’il reste pour se préparer sans urgence.

Calendrier de la transposition de la directive NIS2 en France
Date	Étape
17 octobre 2024	Date limite de transposition fixée par la directive — non tenue par la France
Mars 2025	Le Sénat adopte le projet de loi « Résilience », qui transpose NIS2
17 mars 2026	L’ANSSI publie le Référentiel Cyber France (ReCyF), cadre des mesures attendues
8 juillet 2026	La Commission européenne saisit la Cour de justice de l’Union pour défaut de transposition
Octobre 2026	Examen à l’Assemblée nationale reporté, nouvelle date attendue
Après le vote	Décrets d’application, puis délais de mise en conformité pour les entités concernées

Sources : Commission européenne, ANSSI, Assemblée nationale. Calendrier mis à jour en octobre 2026 ; nous l’actualisons à chaque étape.

Deux catégories

Entité essentielle ou entité importante

Le classement dépend de votre secteur et de votre taille. Les obligations de fond sont proches ; c’est le contrôle et le niveau des sanctions qui changent.

Entité essentielle

Grandes organisations des secteurs les plus critiques

Énergie, transports, banque, santé, eau, infrastructures numériques, administrations… Contrôles possibles à tout moment, sans incident préalable.

Sanctions prévues par la directive : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial.

Entité importante

À partir de 50 salariés ou 10 M€ de chiffre d’affaires, dans 18 secteurs

Industrie, agroalimentaire, chimie, déchets, services postaux, numérique… Contrôles a posteriori, en cas d’incident ou de signalement.

Sanctions prévues par la directive : jusqu’à 7 M€ ou 1,4 % du chiffre d’affaires mondial.

Auto-évaluation

Êtes-vous concerné par NIS2 ?

Quatre questions, une minute. Le résultat est indicatif : il applique les critères de secteur et de taille de la directive européenne.

Question 1 sur 4

Dans quel secteur opérez-vous ?

À savoir : tant que la loi française n’est pas publiée, ce test applique les critères de la directive européenne. Certaines entités sont désignées quelle que soit leur taille, et les collectivités font l’objet de règles propres. Il ne remplace pas une analyse juridique.

Ce que la directive exige

Six obligations, et une responsabilité qui remonte à la direction

NIS2 ne demande pas d’acheter un produit. Elle demande de prouver que les risques sont gérés, que les mesures sont en place et que l’organisation sait réagir.

La direction s’engage

Les dirigeants approuvent les mesures de sécurité, en supervisent la mise en œuvre et doivent être formés. Leur responsabilité peut être engagée en cas de manquement.

Analyse des risques

Connaître son système d’information, ses actifs critiques et ses accès, puis prioriser. C’est le point de départ de tout le reste.

Mesures techniques

Authentification forte, gestion des correctifs, protection des postes, chiffrement, cloisonnement du réseau, journalisation.

Incidents signalés en 24 h

Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Sans supervision, on ne détecte pas dans ces délais.

Continuité d’activité

Sauvegardes testées, plan de reprise écrit, gestion de crise. Il faut pouvoir redémarrer, pas seulement avoir une copie.

Chaîne d’approvisionnement

Les entités concernées doivent maîtriser la sécurité de leurs fournisseurs. Si vous en êtes un, les exigences vous arrivent par contrat.

Notre accompagnement

Se préparer maintenant, pas dans l’urgence du décret

Nous alignons nos clients sur le Référentiel Cyber France de l’ANSSI, puis nous opérons et prouvons les mesures dans la durée.

Diagnostic NIS2

Qualification de votre statut (essentielle, importante, fournisseur ou hors périmètre) et mesure de l’écart avec le Référentiel Cyber France. Vous repartez avec une feuille de route chiffrée et priorisée.

Socle de protection

MFA généralisé, EDR supervisé, filtrage de la messagerie, sensibilisation au phishing, sauvegarde externalisée et gestion des correctifs. En service mensuel, opéré par nos équipes.

Détection et réponse

Supervision des alertes et procédure de réponse à incident écrite, avec les modèles de notification. Pour tenir le délai de 24 heures, il faut savoir avant qu’on vous le dise.

Pilotage et preuves

Tableau de bord mensuel de conformité, revue avec la direction, exercice de crise annuel. Ce que vous montrerez à un contrôleur, à un donneur d’ordre ou à votre assureur.

Où en êtes-vous par rapport au référentiel ?

Un premier échange de 30 minutes suffit pour qualifier votre situation et savoir si un diagnostic complet est utile. Assutech est référencé sur la plateforme Cybermalveillance.gouv.fr.

Demander un diagnostic 01 30 09 68 90

Cette page a une vocation informative et ne constitue pas un conseil juridique. Votre exposition réelle à NIS2 dépend de votre secteur, de votre taille, de vos relations contractuelles et du texte français qui sera finalement adopté.