NIS2 en pratique : enregistrement, signalement en 24 heures et réalité de la chaîne d'approvisionnement

NIS2 a connu un déploiement inhabituel. La date limite de transposition était le 17 octobre 2024, et la plupart des États membres l'ont manquée. Deux ans plus tard, le tableau reste inégal, ce qui a laissé à beaucoup d'entreprises l'impression qu'il ne s'était pas passé grand-chose.

Cette impression est désormais fausse. Les lois nationales sont là, les portails d'enregistrement sont ouverts, et les autorités de contrôle ont commencé à poser des questions. L'Allemagne a ouvert son portail le 6 janvier 2026, avec une échéance légale au 6 mars. Les Pays-Bas ont fait entrer leur Cyberbeveiligingswet en vigueur le 15 août 2026. D'autres ont suivi dans l'année.

Si vous attendiez de la clarté, elle est arrivée, et la réponse est que vous êtes probablement en retard plutôt qu'en avance.

Qui est concerné

NIS2 a remplacé la directive de 2016 sur la sécurité des réseaux et des systèmes d'information et a élargi le filet de manière considérable. Le périmètre est déterminé par le secteur et par la taille.

Les entités essentielles couvrent les secteurs hautement critiques : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique et espace.

Les entités importantes couvrent d'autres secteurs critiques : services postaux et de courrier, gestion des déchets, produits chimiques, alimentation, fabrication de certains produits dont les dispositifs médicaux, ordinateurs, électronique, machines et véhicules, fournisseurs numériques tels que places de marché, moteurs de recherche et plateformes sociales, et organismes de recherche.

Le seuil de taille correspond généralement aux moyennes entreprises et au-delà, soit 50 salariés ou plus, ou un chiffre d'affaires annuel supérieur à 10 millions d'euros. Certains types d'entités sont concernés quelle que soit leur taille, dont certains fournisseurs DNS, registres de domaines de premier niveau, prestataires de services de confiance et fournisseurs de communications électroniques publiques.

L'autorité allemande a estimé à environ 29 500 le nombre d'entités concernées dans ce seul pays. À l'échéance légale de mars 2026, environ 11 500 s'étaient enregistrées, puis environ 18 500 fin mai. Lisez cela comme un avertissement plutôt qu'un réconfort. Le retard des autres ne crée pas d'exemption.

Deux points piègent les entreprises. D'abord, la liste sectorielle inclut des industriels ordinaires, pas seulement des opérateurs d'infrastructure. Si vous fabriquez des machines, de l'électronique ou des dispositifs médicaux à une échelle quelconque, regardez de près. Ensuite, même hors périmètre, vos clients concernés vous transmettront leurs obligations de chaîne d'approvisionnement par contrat. Être hors périmètre ne veut pas dire être épargné.

L'enregistrement est une obligation distincte

La plupart des États membres exigent des entités concernées un enregistrement auprès de l'autorité nationale, et c'est là que se produisent les premiers manquements.

L'enregistrement suppose typiquement d'identifier l'entité, sa classification sectorielle, ses services, ses points de contact pour les questions de sécurité et les États membres dans lesquels elle opère. Les échéances varient selon les pays, et le processus est souvent plus lourd qu'un formulaire web.

Ne présumez pas être exempté parce que l'autorité ne vous a pas contacté. NIS2 fonctionne par auto-identification. C'est à vous de déterminer le périmètre et de vous enregistrer, pas au régulateur de vous trouver.

Le calendrier de signalement

Le signalement d'incidents est la partie la plus exigeante opérationnellement, et les délais sont serrés.

• Sous 24 heures après avoir eu connaissance d'un incident important : une alerte précoce, indiquant si l'incident est soupçonné de résulter d'actes illicites ou malveillants et s'il pourrait avoir un impact transfrontalier.
• Sous 72 heures : une notification d'incident, complétant l'alerte précoce par une évaluation initiale, la gravité, l'impact et les indicateurs de compromission.
• Sur demande : des rapports d'état intermédiaires.
• Sous un mois : un rapport final avec description détaillée, type de menace ou cause première, mesures d'atténuation appliquées et tout impact transfrontalier.

Un incident important est un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave ou des pertes financières, ou qui a affecté ou est susceptible d'affecter d'autres personnes en causant des dommages matériels ou immatériels considérables.

L'alerte précoce de 24 heures est le point difficile. Vingt-quatre heures ne suffisent pas à enquêter. C'est un signalement d'alerte, et la directive l'attend comme tel. Les équipes qui attendent de comprendre l'incident avant de signaler manqueront la fenêtre à chaque fois.

Si votre organisation traite aussi des données personnelles, vous pourriez conduire en parallèle une notification RGPD sous 72 heures vers une autre autorité, avec un périmètre et un seuil différents. Ces processus doivent être conçus ensemble, ce que nous traitons dans notre guide RGPD.

Les dix mesures

L'article 21 exige des mesures de gestion des risques couvrant au minimum dix domaines. En clair :

1. Analyse des risques et politiques de sécurité des systèmes d'information. Documentées, à jour, et réellement utilisées par ceux qui exploitent les systèmes.
2. Gestion des incidents. Détection, réponse, reprise, et le workflow de signalement ci-dessus.
3. Continuité d'activité et gestion de crise. Gestion des sauvegardes, reprise après sinistre, et une restauration testée plutôt qu'une tâche de sauvegarde planifiée.
4. Sécurité de la chaîne d'approvisionnement. Traitée séparément ci-dessous, car c'est là que va l'essentiel de l'effort.
5. Sécurité dans l'acquisition, le développement et la maintenance. Pratiques de développement sécurisé, traitement et divulgation des vulnérabilités.
6. Évaluation de l'efficacité. Comment vous savez que vos contrôles fonctionnent. Tests, audits, indicateurs.
7. Hygiène cyber et formation. Pratiques de base et sensibilisation, y compris pour la direction.
8. Politiques de cryptographie et de chiffrement. Où le chiffrement est utilisé et comment les clés sont gérées.
9. Sécurité des ressources humaines, contrôle d'accès et gestion des actifs. Arrivées, mobilités, départs, moindre privilège, et un inventaire d'actifs à jour.
10. Authentification multifacteur et communications sécurisées. MFA ou authentification continue, communications voix, vidéo et texte sécurisées, et systèmes de communication d'urgence.

Rien de tout cela n'est exotique. Dans la plupart des organisations, l'écart n'est pas de savoir quoi faire, c'est la preuve. La supervision NIS2 est lourde en documentation, et un contrôle non documenté est fonctionnellement absent.

La chaîne d'approvisionnement est le vrai chantier

Le changement le plus lourd de conséquences dans NIS2 est l'accent mis sur le risque de chaîne d'approvisionnement. Les entités concernées doivent prendre en compte les pratiques de sécurité de leurs fournisseurs et prestataires directs, y compris la qualité de leurs produits et leurs pratiques de développement sécurisé.

En pratique, cela cascade. Un hôpital concerné répercute des exigences sur ses éditeurs. Ceux-ci les répercutent sur leurs hébergeurs et fournisseurs de composants. Des entreprises bien hors du périmètre formel finissent par répondre à des questionnaires de sécurité dérivés de NIS2 parce que leur client, lui, est concerné.

Si vous vendez du logiciel ou des services dans l'un des secteurs listés, attendez-vous à :

• Des questionnaires de sécurité comme élément standard des achats, avant contrat plutôt qu'après.
• Des exigences contractuelles de sécurité, dont des délais de notification d'incident qui remontent vers l'obligation de 24 heures de votre client.
• Des demandes de preuves : synthèses de tests d'intrusion, statut SOC 2 ou ISO 27001, documentation du processus de gestion des vulnérabilités, SBOM.
• Des droits d'audit.

La réponse efficace est de construire le dossier de preuves une seule fois. Ce que demandent les clients est largement identique d'un questionnaire à l'autre, et les artefacts recoupent fortement les obligations du Cyber Resilience Act. Construisez une chaîne SBOM, un processus documenté de traitement des vulnérabilités et un runbook d'incident, et vous avez répondu à la majeure partie des deux.

Responsabilité de la direction

NIS2 rend les organes de direction responsables de l'approbation des mesures de gestion des risques cyber et de la supervision de leur mise en œuvre, et les États membres peuvent engager leur responsabilité personnelle. La direction doit également suivre des formations.

C'est pourquoi les conversations NIS2 avancent plus vite que la plupart des sujets de conformité dans les entreprises. La responsabilité personnelle change la vitesse à laquelle un conseil approuve un budget.

Sanctions

Pour les entités essentielles, jusqu'à 10 millions d'euros ou 2 pour cent du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4 pour cent. Les autorités peuvent aussi émettre des instructions contraignantes, ordonner la publication de la non-conformité, et dans les cas graves suspendre une certification ou interdire temporairement à des personnes d'exercer des fonctions de direction.

Par où commencer si ce n'est pas fait

Une séquence viable pour une organisation partant de presque zéro :

Déterminer correctement le périmètre. Secteur, taille, et les États membres où vous êtes établi. Obtenez-le par écrit de vos conseils, car tout le reste en découle.

S'enregistrer. Vérifiez l'échéance et la procédure de votre autorité nationale. Si elle est passée, enregistrez-vous quand même.

Construire l'inventaire d'actifs. On ne gère pas le risque sur des systèmes qu'on n'a pas listés. C'est l'artefact au plus fort levier et le plus souvent manquant.

Écrire le runbook d'incident et le répéter. Concentrez-vous sur le chemin des 24 heures. Qui déclare, qui évalue l'impact transfrontalier, qui soumet, et que se passe-t-il à trois heures du matin un jour férié.

Faire la revue des fournisseurs. Lister les fournisseurs critiques, les évaluer, et faire entrer des clauses de sécurité dans les contrats au renouvellement.

Combler les écarts évidents. MFA partout, sauvegardes testées, gestion des correctifs, revues d'accès, journalisation. Peu glorieux, et c'est ce qu'un audit regarde en premier.

Documenter au fil de l'eau. Pas un classeur de politiques rédigé après coup. Des décisions consignées au moment où elles sont prises, avec dates et responsables.

Une note honnête sur l'effort

Pour une organisation disposant d'un programme de sécurité qui fonctionne, NIS2 est surtout un exercice de documentation et de signalement. Pour une organisation qui n'en a pas, c'est une vraie construction, qui se mesure en trimestres plutôt qu'en semaines.

L'erreur est de le traiter comme un projet de conformité porté par le juridique. Les obligations sont opérationnelles. Elles vivent chez ceux qui exploitent les systèmes, et les artefacts ne restent à jour que s'ils font partie de la façon de travailler de l'équipe plutôt que d'être produits pour un audit.

Se faire aider

Nous construisons et exploitons des systèmes logiciels pour des entreprises dans toute l'Europe, y compris la supervision, la journalisation, les sauvegardes et la visibilité sur la chaîne d'approvisionnement que NIS2 attend. Notre utilité est du côté technique : rendre les contrôles réels et faire des preuves un sous-produit du travail normal plutôt qu'un effort séparé.

Écrivez à office@c9group.dev. Notre guide de la conformité numérique européenne 2026 montre comment NIS2 s'articule avec tout ce qui arrive cette année, et la page maintenance des systèmes existants décrit le travail qui vient généralement en premier.

Nous ne sommes pas un cabinet d'avocats et nous ne donnons pas d'avis juridique. La détermination du périmètre en particulier appartient à vos conseils.