Le temps de la découverte du texte est passé. En 2026, les questions posées en comité de sécurité portent sur l’exécution : quels contrôles sont réellement en place, qui les tient, et comment les démontrer devant l’autorité. La mise en conformité NIS2 se joue là, dans la traduction d’exigences juridiques en mesures techniques et organisationnelles traçables.
Ce guide suit l’ordre dans lequel les chantiers se déclenchent réellement : statut, état des lieux, priorisation, déploiement, preuves.
Identification du statut réglementaire de l’organisation
Tout commence par la qualification de votre exposition. La directive sépare deux catégories d’acteurs, dont les obligations de signalement et l’intensité des contrôles diffèrent.
Différencier Entité Essentielle et Entité Importante
Le classement dépend du secteur (haute criticité ou autres secteurs critiques), de la taille et du chiffre d’affaires. Une Entité Essentielle relève d’un régime de contrôle ex ante et ex post : l’autorité nationale peut vérifier de sa propre initiative, sans attendre l’incident.
L’Entité Importante relève principalement d’un contrôle ex post, déclenché par un incident, un signalement ou une plainte. La différence a un effet direct sur votre budget documentaire.
L’impact sur la chaîne d’approvisionnement
Vous pouvez rester sous les seuils de taille et entrer dans le champ par vos relations commerciales. Les entités régulées doivent s’assurer de la sécurité de leurs fournisseurs, et cette exigence descend par les contrats.
De nombreux sous-traitants répondent désormais à des questionnaires d’audit alignés sur NIS2 pour conserver leurs marchés. La conformité ruisselle, et elle arrive souvent par le service achats du client avant d’arriver par le régulateur.
Le cas des prestataires de services numériques
Fournisseurs cloud, opérateurs de centres de données, places de marché en ligne : leur position dans l’économie numérique les place d’office parmi les acteurs les plus surveillés. Si vous exploitez des infrastructures partagées, votre niveau de cloisonnement et de disponibilité conditionne aussi la conformité de vos clients.
Les obligations concrètes de la directive au-delà du texte
La directive NIS2 impose un socle de mesures minimales, documenté et opérationnel. Reprenons les trois blocs qui mobilisent le plus de charge.
Gouvernance et gestion des risques
Chaque mesure déployée doit se rattacher à une analyse de risque. Vous démontrez que vous avez identifié vos menaces, évalué leurs impacts et répondu de façon proportionnée : le texte parle d’approche tous risques.
Cela suppose une cartographie à jour des flux de données et des dépendances entre vos services essentiels et leurs supports techniques. Sans cette base, la justification des choix ne tient pas devant un auditeur.
Gestion des incidents et continuité d’activité
Le calendrier de signalement est strict : 24 heures pour l’alerte précoce, 72 heures pour la notification circonstanciée, un mois pour le rapport final. Ces délais supposent des procédures de détection et de réponse déjà écrites, déjà testées, avec des rôles nommés.
En parallèle, le PCA doit garantir la survie des fonctions essentielles après un rançongiciel ou une panne d’infrastructure majeure. Un plan jamais exercé ne vaut rien le jour J.
Hygiène cyber et formation des personnels
Les programmes de sensibilisation deviennent une obligation, au même titre que la formation technique des administrateurs. Gestion des correctifs, politique d’authentification, MFA, journalisation : l’hygiène informatique quitte le registre de la recommandation pour celui de l’exigence légale.
Réalisation de l’état des lieux initial
Avant d’ouvrir de nouveaux chantiers, figez une image fidèle de votre maturité. Ce diagnostic devient votre point zéro : toute la trajectoire se mesurera par rapport à lui.
Cartographie des actifs et définition du périmètre
La cartographie couvre le matériel, les applications, les données sensibles et les accès tiers. Le périmètre se définit par les services essentiels rendus, pas par zone géographique ou par plan d’adressage.
C’est souvent l’étape la plus longue, et celle qui révèle le plus d’angles morts : environnements de test oubliés, VPN fournisseurs jamais révoqués, applications métier hors DSI.
Audit de l’existant face aux mesures attendues
Confrontez vos pratiques au référentiel ReCyF de l’ANSSI. L’analyse d’écart identifie les manques domaine par domaine et produit une liste d’actions hiérarchisable.
Partagez ce résultat avec la direction sans le lisser. Un écart documenté et budgété se défend ; un écart masqué se paie au premier contrôle.
Identification des dépendances tiers
Reprenez vos contrats. Combien de fournisseurs disposent d’un accès direct à votre système d’information, avec quels droits, sous quelle surveillance ?
La directive vous tient responsable de la sécurité de votre écosystème. Une faiblesse chez un prestataire de maintenance devient votre incident, et votre non-conformité.
Plan de mise en conformité : les phases d’exécution
Quatre phases, dans cet ordre. La tentation de commencer par la troisième explique la plupart des projets qui s’enlisent.
Phase 1 : organisation et nomination des responsables
Désignez un pilote. Le rôle revient généralement au RSSI, avec un appui formel du juridique et des achats, sans lequel le chantier contractuel n’avancera jamais.
Formalisez une instance de pilotage mensuelle : arbitrage des priorités, suivi des plans d’action, décisions budgétaires. Les comptes rendus de cette instance font partie de vos preuves.
Phase 2 : analyse de risques et priorisation
Ne traitez pas tout en même temps. Partez de la cartographie pour isoler les risques à impact majeur sur la disponibilité ou la confidentialité de vos services essentiels.
Documentez chaque arbitrage, y compris les reports. Une mesure repoussée sur la base d’une analyse de risque écrite se défend devant l’autorité ; une mesure oubliée, non.
Phase 3 : déploiement technique et organisationnel
MFA, chiffrement, segmentation réseau, supervision SIEM/EDR, gestion des accès à privilèges : la phase visible du projet. En parallèle, mettez à jour votre PSSI pour qu’elle décrive ce qui se pratique réellement.
Une politique qui décrit un fonctionnement idéal, jamais appliqué, se retourne contre vous en audit. L’écart entre le document et le terrain sera le premier point relevé.
Le cycle de vie des vulnérabilités
Le scan trimestriel ne suffit plus. Installez une veille sur les menaces et un calendrier de correctifs assorti de délais fermes, plus courts pour les actifs exposés sur internet.
Tracez les exceptions : chaque serveur non patché dans les délais doit avoir une justification et une date de traitement.
Phase 4 : cycle de vie documentaire
La conformité se prouve par l’écrit. Audits, tests d’intrusion, comptes rendus d’incidents, attestations de formation : chaque livrable a un propriétaire, une date de revue et un lieu de stockage unique.
C’est là qu’une plateforme de GRC change le quotidien. Fini les Excel parallèles, les relances manuelles et les preuves introuvables la veille d’un contrôle.
Évolution de la responsabilité des instances dirigeantes
La directive implique directement les organes de direction. La cybersécurité sort du périmètre DSI pour entrer dans l’ordre du jour du conseil.
L’obligation de formation des dirigeants
Les membres des organes de direction doivent suivre des formations leur permettant de comprendre les risques cyber et leurs impacts sur l’activité. L’argument de l’ignorance technique ne protège plus en cas de défaut de surveillance.
Gardez la trace de ces sessions : dates, participants, contenus. Cette preuve-là est demandée en premier.
Sanctions et responsabilité de la gouvernance
Les autorités nationales peuvent engager la responsabilité des dirigeants en cas de manquement grave aux obligations de gestion des risques. Les modalités varient selon les États membres, mais la trajectoire est stable : la négligence en sécurité devient un risque de responsabilité civile, voire pénale.
Intégrer la cyber dans la stratégie
Inscrivez la sécurité à l’ordre du jour des conseils, avec des indicateurs stables d’une séance à l’autre. Un lancement de service, une acquisition ou une externalisation se traitent avec la sécurité dès la conception, pas après la mise en production.
Gestion des preuves : le pilier de la conformité durable
La conformité s’entretient. Un dossier constitué pour un audit et laissé de côté six mois perd sa valeur démonstrative.
Un périmètre qui bouge tous les mois
Nouveaux serveurs, nouveaux collaborateurs, nouveaux partenaires : votre conformité en cybersécurité suit ce rythme ou décroche. Une mesure efficace en janvier peut être contournée en juin par une technique d’attaque nouvelle.
Prévoyez des revues périodiques du périmètre et de l’analyse de risques, avec une fréquence écrite dans votre SMSI.
Centraliser et horodater les éléments de preuve
Lors d’un contrôle, l’autorité demandera des pièces : rapports de scans, journaux, preuves de sensibilisation, comptes rendus d’exercices de crise, procès-verbaux du comité de sécurité. Centralisez-les dans un outil dédié, horodatés et versionnés.
Une seule source de vérité : les mêmes risques, tiers, actions et preuves partagés entre équipes, jamais ressaisis.
Préparer les audits de contrôle
Un plan d’action à jour, même avec des actions en cours, montre une démarche pilotée. L’autorité distingue rapidement l’organisation qui connaît ses faiblesses et les traite de celle qui affirme sans démontrer.
Préparez un dossier d’audit permanent : périmètre, analyse de risques, PSSI, plan de contrôle, registre des incidents, suivi des tiers.
Calendrier et erreurs de séquencement à éviter
Le temps est la ressource la plus contrainte d’un projet NIS2. Un mauvais séquencement produit des dépenses inutiles et des équipes qui décrochent.
Une trajectoire sur 12 à 18 mois
Le déploiement d’un PAM ou d’une nouvelle politique de sauvegarde demande plusieurs mois de tests avant généralisation. Découpez le projet en séquences trimestrielles avec des livrables identifiés et un point de passage en comité.
Les habitudes de travail bougent lentement. Prévoyez la conduite du changement dans le planning, pas en fin de projet.
L’approche « tout technique »
Acheter des licences avant d’avoir défini la gouvernance produit des outils sous-exploités. Un moteur de détection sans équipe formée ni procédure de traitement des alertes n’apporte aucune capacité réelle.
L’outil arrive après la gouvernance et l’analyse de risques. Dans cet ordre, il sert à quelque chose.
La surcharge des achats et du juridique
La revue des contrats fournisseurs représente une charge lourde et étalée. Vos juristes devront intégrer des clauses de sécurité, des engagements de notification et des droits d’audit dans chaque contrat sensible.
Avec plusieurs centaines de fournisseurs, ce chantier démarre le premier mois. Il conditionne la date à laquelle vous pourrez déclarer votre écosystème maîtrisé.
Ce qu’il faut retenir
- Qualifiez votre statut : Entité Essentielle ou Importante, l’intensité des contrôles n’est pas la même.
- Responsabilisez la direction : la formation des dirigeants relève de l’obligation, avec preuve à l’appui.
- Pilotez par les risques : chaque mesure répond à une menace identifiée et documentée.
- Documentez en continu : la preuve compte autant que la mesure technique.
- Traitez la supply chain tôt : vos fournisseurs prolongent votre système d’information.
- Entretenez le dispositif : revues périodiques, exercices, mise à jour des analyses, dans une logique PDCA.
Questions fréquentes
Quel est le montant des sanctions en cas de non-conformité NIS2 ?
La directive fixe des plafonds élevés. Pour les Entités Essentielles : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les Entités Importantes : 7 millions d’euros ou 1,4 % du chiffre d’affaires. Les États membres complètent ce socle par des mesures d’injonction et de suspension.
NIS2 s’applique-t-elle aux filiales étrangères d’une entreprise française ?
Une filiale située dans l’Union européenne et dépassant les seuils relève de la directive dans son pays d’accueil, avec l’autorité nationale correspondante. Les filiales hors UE ne sont pas visées directement, mais entrent dans le périmètre par contrat dès qu’elles fournissent des services au groupe européen. La maison mère leur impose alors ses propres exigences de sécurité.
Peut-on être conforme à NIS2 en étant déjà certifié ISO 27001 ?
L’ISO 27001 constitue une base solide : le SMSI, l’analyse de risques et le cycle d’amélioration sont déjà en place. L’équivalence n’est pas automatique pour autant. NIS2 ajoute des obligations de signalement dans des délais courts et des exigences sur la chaîne d’approvisionnement qui dépassent souvent le périmètre de certification. Une analyse différentielle entre votre déclaration d’applicabilité et le référentiel ReCyF permet de mesurer l’écart réel.
Comment l’ANSSI va-t-elle contrôler les entreprises ?
Plusieurs leviers coexistent : audits documentaires, audits sur site menés par ses agents ou par des prestataires qualifiés PASSI, contrôles techniques. Les Entités Importantes seront principalement contrôlées à la suite d’un incident ou d’un signalement. Les Entités Essentielles peuvent faire l’objet de contrôles programmés. La qualité de votre documentation détermine largement le déroulé de ces inspections.
Les petites entreprises sont-elles épargnées ?
Pas systématiquement. Une petite structure identifiée comme critique par l’État, par exemple fournisseur unique d’un composant indispensable à une Entité Essentielle, peut être désignée quelle que soit sa taille. Par ailleurs, la pression contractuelle des grands donneurs d’ordres impose de fait un niveau d’exigence aux PME qui veulent conserver leurs marchés.
Pour aller plus loin
Trois actions à engager dès ce trimestre : nommer officiellement le pilote NIS2, faire valider le périmètre des services essentiels par la direction, lancer l’analyse d’écart face au référentiel ReCyF. Cette dernière donne la vision la plus nette de la marche à franchir, et sert de base à l’arbitrage budgétaire.
Associez les achats et le juridique immédiatement. La mise en conformité des contrats fournisseurs sera votre chantier le plus long, et il conditionne le reste.
Make IT Safe centralise vos analyses de risques, vos plans d’action et votre gestion documentaire dans une plateforme collaborative. Mappez vos mesures de sécurité sur plusieurs référentiels en une fois (NIS2, ISO 27001, RGPD, DORA) : pas de double saisie, pas de silos. Vos tableaux de bord donnent à la direction la visibilité dont elle a besoin pour assumer ses responsabilités.
Pour voir comment ces exigences se traduisent dans un outil, demandez une démonstration.
