La directive NIS2 redéfinit les obligations de cybersécurité pour les entreprises européennes. Pour les PME et ETI françaises dépassant 50 salariés ou 10M € de chiffre d’affaires, c’est désormais un cadre légal contraignant : reporting d’incident en 72 heures, MFA obligatoire, gestion de la supply chain — et des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
Calendrier NIS2 : où en est la France ?
La directive (UE) 2022/2555 — dite NIS2 — a été adoptée le 14 décembre 2022 et publiée au Journal officiel de l’Union européenne le 27 décembre 2022. Elle remplace la directive NIS de 2016 et élargit considérablement le champ des entités concernées, passant de 7 secteurs (NIS1) à 18 secteurs (NIS2).
La date limite de transposition en droit national était fixée au 17 octobre 2024. La France a engagé sa transposition via la loi sur la résilience des activités d’importance vitale et la protection des infrastructures critiques. L’ANSSI est désignée comme autorité nationale compétente pour la supervision.
Estimation officielle : environ 600 entités essentielles et 10 000 à 15 000 entités importantes sont concernées en France — contre seulement 300 opérateurs sous NIS1. Les PME et ETI représentent l’essentiel de cette nouvelle vague.
À qui s’applique NIS2 ?
NIS2 s’applique selon deux critères cumulatifs : le secteur d’activité et la taille de l’entreprise.
Critère de taille : sont visées les moyennes et grandes entreprises, c’est-à-dire celles dépassant 50 salariés ou €10 millions de chiffre d’affaires annuel ou €10 millions de bilan. Certaines micro et petites entreprises sont également visées si elles opèrent dans des secteurs critiques (registres DNS, fournisseurs de services de confiance qualifiés, etc.).
Secteurs concernés (18 au total) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC B2B, administration publique, espace, services postaux et de courrier, gestion des déchets, fabrication / production / distribution de produits chimiques, agroalimentaire, fabrication, fournisseurs numériques, recherche.
À retenir : si votre PME ou ETI dépasse 50 salariés et opère dans l’un de ces secteurs — ou est sous-traitante d’une entité elle-même concernée — NIS2 vous concerne.
Entité Essentielle (EE) ou Entité Importante (EI) ?
NIS2 distingue deux catégories d’entités, avec des obligations identiques mais des régimes de contrôle et de sanction différenciés.
Entité Essentielle (EE)
Grandes entreprises (250+ salariés ou €50M+ CA) opérant dans les secteurs hautement critiques : énergie, transports, banque, santé, eau, infrastructures numériques, espace.
Régime : supervision proactive (audits, inspections sur place possibles à tout moment).
Sanctions max : 10 M€ ou 2 % du CA mondial.
Sanctions max : 10 M€ ou 2 % du CA mondial.
Entité Importante (EI)
Moyennes entreprises (50+ salariés ou €10M+ CA) opérant dans les autres secteurs critiques : services postaux, déchets, agroalimentaire, fabrication, recherche, fournisseurs numériques.
Régime : supervision réactive (contrôle uniquement en cas de manquement signalé).
Sanctions max : 7 M€ ou 1,4 % du CA mondial.
Sanctions max : 7 M€ ou 1,4 % du CA mondial.
Sanctions, responsabilité du dirigeant
Au-delà des amendes administratives, NIS2 instaure une responsabilité personnelle des dirigeants. Les organes de direction peuvent être tenus directement responsables des manquements aux obligations de gestion des risques cyber. Cela signifie : obligation de formation à la cybersécurité pour les dirigeants, et possibilité de sanctions individuelles (interdiction temporaire d’exercer des fonctions de direction dans les cas les plus graves).
Autres mécanismes coercitifs prévus : astreintes journalières, ordres contraignants de mise en conformité, publication des sanctions, suspension temporaire de certification, et — pour les entités essentielles uniquement — interdictions temporaires d’activité.
Le simple fait de ne pas être en conformité n’entraîne pas automatiquement une sanction maximale : les autorités graduent en fonction de la gravité, de la durée du manquement, et de la coopération de l’entité. Mais l’absence de mesures techniques élémentaires (MFA, EDR, sauvegardes vérifiées) est considérée comme une circonstance aggravante.
Les 10 obligations techniques minimales
L’article 21 de la directive NIS2 énumère 10 catégories de mesures minimales que toute entité concernée doit mettre en place. Elles couvrent à la fois le volet technique et le volet organisationnel.
1. Politique de gestion des risques. Identification des risques pesant sur la sécurité des SI, méthodologie d’analyse, plan de traitement.
2. Gestion des incidents. Détection, qualification, réponse, notification (cadre 24h / 72h / 1 mois — détaillé plus bas).
3. Continuité d’activité. Plans de reprise (PRA / PCA), sauvegardes testées régulièrement, scénarios de bascule.
4. Sécurité de la chaîne d’approvisionnement. Évaluation et contrôle des risques cyber chez vos fournisseurs et sous-traitants.
5. Sécurité dans l’acquisition et le développement des SI. Intégration de la sécurité dans le cycle de vie (DevSecOps).
6. Évaluation de l’efficacité. Audits réguliers, tests d’intrusion, mesure de la posture.
7. Pratiques de cyber-hygiène et formation. Formation continue des collaborateurs et des dirigeants.
8. Cryptographie et chiffrement. Politique de chiffrement des données sensibles au repos et en transit.
9. Sécurité du personnel, contrôles d’accès, gestion d’actifs. Inventaire, durcissement des accès, principe du moindre privilège.
10. Authentification multifactorielle (MFA) et solutions sécurisées. MFA obligatoire pour les accès sensibles, communications sécurisées.
Reporting d’incident : le cadre 24h / 72h / 1 mois
C’est l’obligation la plus visible — et la plus opérationnellement contraignante — de NIS2. Toute entité doit notifier les incidents significatifs selon un calendrier précis :
≤ 24 heures
Alerte précoce. Notification initiale à l’ANSSI dès qu’un incident significatif est suspecté. Indiquer si l’incident résulte d’un acte malveillant et si un impact transfrontalier est possible.
≤ 72 heures
Notification d’incident. Évaluation initiale de l’impact (gravité, étendue, indicateurs de compromission), mesures prises ou envisagées. Doit être complétée et précisée si nécessaire.
≤ 1 mois
Rapport final. Description détaillée de l’incident (cause racine, gravité, mesures d’atténuation appliquées, conséquences transfrontalières si pertinent), leçons apprises.
Sans SOC opérationnel, sans détection automatisée, et sans processus d’escalade rodé, tenir ce calendrier est quasiment impossible — surtout pour une PME ou ETI sans équipe sécurité dédiée. C’est l’une des raisons pour lesquelles externaliser la détection devient un choix structurant.
Checklist NIS2 pour PME : 12 points à vérifier
Une checklist NIS2 pour PME tient sur une page. Les dix premiers points reprennent les mesures de l’article 21, les deux derniers ce que l’autorité vérifiera en premier. Cochez ce qui est en place ; ce qui reste devient votre plan.
- Analyse des risques et politique de sécurité — formalisées, validées par la direction, revues chaque année.
- Gestion des incidents — procédure écrite, capacité à qualifier un incident « important » en quelques heures, surveillance hors heures ouvrées (SOC ou astreinte).
- Notification des incidents — alerte précoce sous 24 h, notification sous 72 h, rapport final sous 1 mois — canal et responsable identifiés à l’avance.
- Continuité d’activité — sauvegardes testées dont une copie hors ligne ou immuable, plan de reprise, organisation de crise.
- Chaîne d’approvisionnement — fournisseurs critiques identifiés, clauses de sécurité contractuelles, inventaire des accès tiers.
- Acquisition, développement et maintenance — gestion des vulnérabilités, correctifs critiques appliqués en jours, divulgation encadrée.
- Évaluation de l’efficacité — indicateurs suivis, audits ou tests périodiques, dont tests d’intrusion.
- Hygiène informatique et formation — sensibilisation régulière de tous les collaborateurs ; formation des organes de direction, qui engagent leur responsabilité.
- Cryptographie — politique de chiffrement des données au repos et en transit, gestion des clés.
- Ressources humaines, actifs, contrôle d’accès — inventaire des actifs, procédures d’arrivée et de départ, revue des droits.
- Authentification forte — MFA sur les accès distants et les comptes à privilèges, communications sécurisées.
- Preuves — chaque point ci-dessus documenté : politiques, journaux, comptes rendus de tests — c’est ce que l’autorité demandera.
Notre pilote de 60 jours démarre par un audit de posture qui passe ces douze points en revue et vous rend le plan d’écart.
Comment ucyber répond à NIS2
Pour chaque obligation NIS2, voici le service ucyber qui y répond. Aucun de ces services n’est gadget : ils correspondent exactement à ce qu’une autorité de supervision attendrait de voir lors d’un contrôle.
| Obligation NIS2 | Service ucyber |
|---|---|
| Détection d’incidents temps réel | EDR + SOC MSSP 24/7 Agentique |
| Reporting 24h / 72h / 1 mois | SOC MSSP + automatisation des notifications |
| Authentification multifactorielle (MFA) | IAM avec SSO et MFA |
| Centralisation et corrélation des logs | SIEM |
| Gestion continue des vulnérabilités | VMDR |
| Audit périodique & tests d’intrusion | Hackbots IA (continu) + Tests d’Intrusion Expert (humain) |
| Sécurité cloud et configurations | CSPM + CWP |
| Protection des e-mails (phishing, malware) | Email Security |
| Sécurisation des agents IA & du code LLM (AI Act Art. 9) | AIGIL — surveillance runtime + audit build-time |
| Évaluation de la maturité & roadmap | Pilote 60 jours — audit de posture NIS2 complet |
Pourquoi ucyber.ai
Trois différences concrètes qui font basculer une décision NIS2 d’un fournisseur générique à ucyber.ai.
L’IA divise le coût de la conformité par 10
Un SOC interne pour la conformité NIS2 demande 5 à 7 analystes en rotation 24/7 — soit plusieurs centaines de k€ par an. Notre IA agentique assure la surveillance en continu ; nos analystes seniors interviennent sur les alertes qualifiées. Résultat : ucyber.ai délivre une couverture environ 10× moins chère qu’un SOC interne — un écart qu’un MDR traditionnel n’atteint pas.
Une seule console pour toutes les briques NIS2
ucyber-console agrège EDR, SIEM, IAM, VMDR, CSPM, SOC et reporting d’incident dans une interface unique. Une seule preuve à apporter à votre auditeur, un seul tableau de bord pour votre direction, un seul prestataire pour toute la conformité technique. Pas cinq contrats à orchestrer.
Complète, simple, claire
Une plateforme complète qui couvre les 10 obligations de l’article 21. Un déploiement simple : 48h, sans expertise interne requise. Une interface claire, lisible par un dirigeant comme par votre DSI. Engagement de transparence : pas de jargon, pas de surprises sur la facture, pas de zones grises entre fournisseurs.
Évaluer votre posture NIS2 en 60 jours
Pendant 60 jours, ucyber déploie sa protection managée sur votre périmètre, opérée par notre IA agentique et nos analystes seniors. À J+60, vous recevez un rapport de posture détaillé identifiant les écarts vs NIS2, vos priorités d’action, et une roadmap de mise en conformité personnalisée.
Aucune carte bancaire. Aucun engagement. Le rapport vous appartient, que vous continuiez avec nous ou non.
Questions fréquentes sur NIS2
Le seuil de référence est de 50 salariés ou €10 millions de CA annuel (ou €10 millions de bilan), si votre entreprise opère dans l’un des 18 secteurs visés. Certaines micro et petites entreprises sont également visées si leurs activités sont jugées critiques (par exemple, fournisseurs DNS, prestataires de services qualifiés). Le critère « taille » s’applique au niveau du groupe consolidé, pas seulement de l’entité juridique.
18 secteurs au total, contre 7 sous NIS1. Sont nouvellement intégrés : la gestion des déchets, la fabrication, l’agroalimentaire, la production et distribution de produits chimiques, la recherche, les services postaux, les fournisseurs de services numériques (plateformes, marketplaces, moteurs de recherche), les administrations publiques, et l’espace. Les secteurs historiques (énergie, transports, banque, santé, eau, infrastructures numériques) restent évidemment concernés.
Les obligations techniques et organisationnelles sont identiques. Ce qui diffère, c’est le régime de contrôle et le plafond des sanctions. Les EE (généralement grandes entreprises dans les secteurs hautement critiques) sont soumises à une supervision proactive (audits, inspections sur place possibles à tout moment) avec sanctions max à 10 M€ ou 2 % du CA mondial. Les EI relèvent d’une supervision réactive (contrôle uniquement si manquement signalé) avec sanctions max à 7 M€ ou 1,4 % du CA mondial.
Au-delà des amendes administratives (jusqu’à 10 M€ pour EE, 7 M€ pour EI), plusieurs mécanismes complémentaires existent : astreintes journalières, ordres contraignants de mise en conformité, publication des sanctions, suspension temporaire de certifications, et — uniquement pour les EE — possibilité d’interdictions temporaires d’activité. La directive prévoit également la responsabilité personnelle des dirigeants, avec possibilité d’interdiction temporaire d’exercer des fonctions de direction dans les cas les plus graves.
Le cadre est échelonné en trois temps. ≤ 24h : alerte précoce à l’ANSSI dès qu’un incident significatif est suspecté. ≤ 72h : notification complète avec évaluation initiale de l’impact, gravité, mesures prises ou envisagées. ≤ 1 mois : rapport final détaillé (cause racine, atténuations, leçons apprises). Sans détection automatisée, sans SOC opérationnel et sans processus d’escalade rodé, tenir ce calendrier est quasiment impossible.
Oui, indirectement mais de manière contraignante. NIS2 impose à chaque entité visée d’évaluer et de contrôler les risques cyber de sa chaîne d’approvisionnement — y compris ses fournisseurs IT, ses prestataires, ses sous-traitants. En pratique : vos clients régulés par NIS2 vont vous demander des engagements contractuels de cybersécurité, des audits, parfois la conformité à un référentiel (ISO 27001, SecNumCloud). Ne pas pouvoir le démontrer = perdre le contrat.
La date limite de transposition était fixée au 17 octobre 2024. La France a engagé sa transposition au travers de la loi sur la résilience des activités d’importance vitale et la protection des infrastructures critiques. L’ANSSI est désignée comme autorité nationale de supervision. Selon les dernières estimations, environ 600 EE et 10 000 à 15 000 EI sont concernées en France.
L’article 21 de la directive en liste 10 (résumées ci-dessus) : gestion des risques, gestion des incidents, continuité d’activité, sécurité de la supply chain, sécurité dans le développement des SI, évaluation d’efficacité, cyber-hygiène et formation, cryptographie, contrôles d’accès et gestion d’actifs, et MFA. Concrètement, attendez-vous à devoir démontrer : MFA généralisée, EDR comportemental, gestion des vulnérabilités, sauvegardes testées, plan de réponse à incident, et formation continue.
Trois étapes pragmatiques. 1. Évaluer. Auditer votre posture actuelle vs les exigences NIS2 — c’est l’objet du pilote 60 jours d’ucyber. 2. Prioriser. Combler les écarts les plus exposés (MFA absent, pas de détection, logs non centralisés) avant de viser le « 100 % conforme ». 3. Outiller. Mettre en place les briques structurantes (EDR, SOC managé, IAM, SIEM, gestion des vulnérabilités) plutôt que de tout réinventer en interne. Une PME ou ETI qui essaie de couvrir NIS2 à mains nues — sans outillage adapté — n’y arrivera pas.
Prêt à évaluer votre posture NIS2 ?
Le pilote 60 jours d’ucyber est l’outil le plus rapide pour mesurer votre écart vs les obligations NIS2 — sans engagement, sans carte bancaire, et avec un rapport de posture qui vous reste acquis.
ou