Page à jour au 14 novembre 2026.

Qu’est-ce que la directive NIS 2 ?

La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2 (ou SRI 2), fixe des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’Union européenne. Publiée au Journal officiel de l’Union européenne du 27 décembre 2022, elle est entrée en vigueur le 16 janvier 2023. Elle a abrogé, à compter du 18 octobre 2024, la première directive NIS, la directive (UE) 2016/1148 du 6 juillet 2016.

Que prévoyait la première directive NIS ?

La directive de 2016 visait deux catégories d’acteurs : les opérateurs de services essentiels, désignés par chaque État membre, et les fournisseurs de service numérique (places de marché en ligne, moteurs de recherche, services d’informatique en nuage).

Elle a été transposée en France par la loi n° 2018-133 du 26 février 2018 et par le décret n° 2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d’information des opérateurs de services essentiels et des fournisseurs de service numérique. Ces textes sont toujours en vigueur dans l’attente de la loi de transposition de NIS 2.

Qui est concerné par NIS 2 ?

La directive s’applique aux entités publiques ou privées relevant de l’un des dix-huit secteurs listés dans ses annexes I et II (énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, espace, services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche, notamment) et qui constituent au moins des entreprises moyennes (article 2). En pratique, sont visées les entités qui emploient au moins 50 personnes ou dont le chiffre d’affaires et le total du bilan dépassent 10 millions d’euros.

Certaines entités sont concernées quelle que soit leur taille : les fournisseurs de réseaux ou de services de communications électroniques accessibles au public, les prestataires de services de confiance, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS et les entités fournissant des services d’enregistrement de noms de domaine.

Quelle différence entre entité essentielle et entité importante ?

Sont essentielles, notamment, les entités des secteurs de l’annexe I qui dépassent les plafonds de la moyenne entreprise, c’est-à-dire les grandes entreprises de ces secteurs. Les autres entités visées sont des entités importantes (article 3). La distinction commande l’intensité du contrôle exercé par l’autorité compétente et le plafond des amendes.

Quelles sont les obligations ?

Les entités doivent prendre des mesures de gestion des risques en matière de cybersécurité (article 21). Leurs organes de direction approuvent ces mesures, en supervisent la mise en œuvre et peuvent être tenus responsables de leur violation ; leurs membres doivent suivre une formation (article 20).

Tout incident important doit être notifié en plusieurs temps : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d’incident dans les 72 heures, puis un rapport final au plus tard un mois après cette notification (article 23).

Quelles sont les sanctions ?

En cas de violation des articles 21 ou 23, les États membres doivent prévoir des amendes administratives dont le maximum est d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % de ce chiffre d’affaires pour les entités importantes, le montant le plus élevé étant retenu (article 34).

Où en est la transposition en France ?

Les États membres devaient transposer la directive au plus tard le 17 octobre 2024. La France ne l’a pas encore fait.

La transposition est portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « projet de loi Résilience », présenté en conseil des ministres le 15 octobre 2024 et adopté par le Sénat le 12 mars 2025. L’Assemblée nationale l’a examiné en séance publique les 9 et 10 novembre 2026 ; le vote solennel est prévu le 17 novembre 2026.

À la date de cette page, la loi n’est donc ni définitivement adoptée ni promulguée, et ses décrets d’application restent à prendre.