NIS2 : cadrez votre périmètre avant qu'un client ne le fasse à votre place

Le calendrier a dérapé, pas les obligations

La directive (UE) 2022/2555, adoptée le 14 décembre 2022, abroge NIS1 avec effet au 18 octobre 2024 et devait être transposée au 17 octobre 2024. La plupart ne l'ont pas fait : mise en demeure à vingt-trois États le 28 novembre 2024, avis motivés le 7 mai 2025, saisine de la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas le 8 juillet 2026.

La France en est là. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé le 15 octobre 2024, transpose d'un seul texte NIS2, la directive REC et le volet national de DORA. Le Sénat l'a adopté le 12 mars 2025, la commission spéciale de l'Assemblée nationale a voté son texte le 10 septembre 2025, puis la séance publique a glissé près d'un an — en partie sur un débat étranger à NIS2, la sanctuarisation du chiffrement de bout en bout. L'examen en hémicycle est désormais inscrit pour juillet 2026 et la promulgation attendue dans l'été. À la date de publication de cet article, fin juillet 2026, le texte n'est toujours pas promulgué : vérifiez ce point avant de vous en servir, c'est le seul passage que le calendrier parlementaire peut périmer.

Ce retard nourrit partout le même réflexe, l'attente. Elle repose sur un contresens : les articles 2, 3, 20, 21 et 23 ne seront pas réécrits à Paris, qui n'en a pas le pouvoir.

L'ANSSI, elle, n'a pas attendu. Le 17 mars 2026, elle a publié le Référentiel cyber France en version 2.5, document de travail adossé à l'article 14 du projet de loi. Le ReCyF fixe vingt objectifs de sécurité, les quinze premiers pour les entités importantes comme essentielles, les objectifs 16 à 20 pour les seules entités essentielles. Les moyens acceptables de conformité qu'il propose ne sont pas obligatoires, mais une entité qui les applique peut s'en prévaloir lors d'un contrôle. C'est déjà la grille de lecture du contrôleur français, publiée avant la loi.

Essentielle, importante, ou hors périmètre

Le test tient en deux étapes : relever d'un type d'entité listé à l'annexe I ou II, puis passer le plafond de taille de l'article 2 — la taille d'une moyenne entreprise au sens de la recommandation 2003/361/CE, soit cinquante salariés, ou dix millions d'euros de chiffre d'affaires et de bilan.

L'article 3 tranche ensuite. Est essentielle une entité de l'annexe I qui dépasse ces plafonds, soit deux cent cinquante salariés, ou plus de cinquante millions d'euros de chiffre d'affaires et plus de quarante-trois millions de bilan. Le sont aussi, quelle que soit leur taille, les prestataires de services de confiance qualifiés, les registres TLD, les fournisseurs DNS et les administrations centrales. Le reste est important.

L'article 2(2) perce ce raisonnement, et son exception la plus redoutable est la moins citée : une entité relève de NIS2 quelle que soit sa taille si elle est le seul fournisseur, dans un État membre, d'un service essentiel à des activités critiques, ou si elle a une importance particulière au niveau national ou régional. Aucune de ces formulations ne se teste sur un tableur.

Le cadrage est réellement difficile, pour trois raisons. La qualification se fait entité juridique par entité juridique, pas au niveau du groupe : une filiale de soixante personnes exploitant un service de l'annexe I est assujettie même si sa holding ne l'est pas. L'annexe I contient ensuite une catégorie que beaucoup n'ont pas vue venir, la gestion des services TIC en B2B : les fournisseurs de services gérés et de sécurité gérés y sont nommément listés, donc une ESN qui infogère des postes de travail est concernée. L'article 26 déplace enfin la compétence, pour les acteurs numériques, vers l'État membre de l'établissement principal, qui n'est pas toujours celui du siège.

D'où un constat que je fais sans plaisir : la plupart des organisations que nous accompagnons n'ont pas découvert leur assujettissement par leur propre analyse, mais dans le questionnaire fournisseur d'un client, avec quinze jours pour répondre. C'est le pire moment pour commencer : la réponse engage.

Ce qu'un contrôleur lit dans « approprié et proportionné »

L'article 21(1) demande des mesures appropriées et proportionnées, fondées sur une approche tous risques, tenant compte de l'état de l'art et du coût de mise en œuvre, calibrées sur l'exposition et la taille de l'entité. Cette formule est lue comme une clause d'échappement ; elle n'en est pas une.

La proportionnalité n'est pas un argument, c'est une démonstration, qui passe par une analyse de risques datée, tracée, arbitrée puis approuvée. Une entité qui présente une analyse EBIOS RM à jour, un plan de traitement et des risques résiduels explicitement acceptés tient une position défendable. Sans analyse de risques, il n'y a pas de proportionnalité, seulement des arbitrages non documentés.

L'article 21(2) énumère dix familles minimales, de l'analyse des risques à l'authentification multifacteur, en passant par la continuité et la chaîne d'approvisionnement. Un système de management ISO 27001 sérieux les couvre déjà largement. Deux points passent pourtant à travers : le f), qui demande d'évaluer l'efficacité des mesures et non leur avancement, et le d), sur lequel je reviens.

Pour onze catégories d'acteurs numériques, un texte plus précis existe déjà : le règlement d'exécution (UE) 2024/2690 du 17 octobre 2024, qui décline l'article 21(2) en exigences techniques et chiffre la significativité — perte financière directe supérieure à cinq cent mille euros ou à 5 % du chiffre d'affaires annuel, le plus faible des deux étant retenu, exfiltration de secrets d'affaires, décès ou atteinte grave à la santé. Ailleurs, le test de l'article 23(3) reste qualitatif.

L'article 20, ou ce qui change vraiment l'arbitrage budgétaire

Une phrase de la directive fait plus pour la sécurité que tout l'article 21. L'article 20 impose que les organes de direction approuvent les mesures de gestion du risque cyber, en supervisent la mise en œuvre, et puissent être tenus responsables des manquements de l'entité à l'article 21.

C'est la première fois qu'un texte cyber européen fait remonter la responsabilité au-dessus du RSSI, et l'effet est immédiat : un plan de remédiation refusé deux exercices de suite passe en quinze jours dès lors que le comité exécutif doit l'approuver, ou le refuser, dans un procès-verbal.

Ce qu'exige matériellement l'article 20 est concret : un point à l'ordre du jour, une délibération datée, un compte rendu qui nomme ce qui a été approuvé — politique, appétence au risque, plan de traitement, et surtout liste des risques résiduels acceptés. C'est ce dernier document qui protège les dirigeants : il transforme une négligence supposée en décision assumée. Nommer un responsable NIS2 ne déplace pas cette responsabilité d'un centimètre.

La lecture de ce tableau est contre-intuitive : l'écart entre les deux régimes porte peu sur les mesures, puisque l'article 21 s'applique aux deux, mais sur la probabilité d'être contrôlé. Une entité importante peut passer des années sans voir d'auditeur ; elle en verra un le lendemain de son premier incident notifié.

Vingt-quatre heures, soixante-douze heures, un mois

L'article 23 se déclenche dès qu'un incident est important : perturbation opérationnelle grave ou perte financière pour l'entité, ou dommage considérable causé à des tiers. La cascade se joue en trois temps.

1. Alerte précoce dans les vingt-quatre heures suivant la connaissance de l'incident, indiquant seulement s'il est soupçonné d'origine malveillante et s'il peut avoir un impact transfrontière.
2. Notification dans les soixante-douze heures : évaluation initiale de la gravité et de l'impact, indicateurs de compromission disponibles.
3. Rapport final dans le mois suivant la notification, avec cause racine et mesures d'atténuation. Si l'incident est toujours en cours, un rapport d'avancement le remplace et le rapport final suit un mois après la clôture.

L'article 23 impose aussi d'informer les destinataires du service susceptibles d'être affectés. Une notification réglementaire reste confidentielle ; une notification client ne l'est jamais longtemps.

Le point dur n'est pas le délai mais le mot « connaissance ». L'horloge démarre au SOC, un dimanche à trois heures du matin, quand un analyste corrèle deux alertes. Si votre procédure confie la qualification à un comité de crise qui se réunit le lundi matin, les vingt-quatre heures sont consommées. Écrivez donc à l'avance un critère de qualification assez mécanique pour être appliqué par une personne seule, et nommez un délégataire joignable, autorisé à déclencher l'alerte seul. Cette alerte n'est pas un rapport, elle tient en quelques lignes ; l'erreur la plus fréquente consiste à la retarder pour mieux comprendre.

La chaîne d'approvisionnement, là où presque tous les programmes cèdent

Sans nuance : l'article 21(2)(d) est le point le plus faible de presque tous les programmes NIS2 que nous auditons. Il demande de traiter la sécurité des relations avec les fournisseurs et prestataires directs, et l'article 21(3) impose de tenir compte des vulnérabilités propres à chacun.

Ce qu'on trouve en réalité : un tableur de trois cents fournisseurs sorti de la comptabilité, une clause type dans les contrats, un questionnaire envoyé une fois et jamais relu, aucun lien entre les trois. Pas de criticité, pas de revue, pas de preuve.

Trois corrections changent la trajectoire. Hiérarchiser par service rendu et non par montant facturé : ce qui compte n'est pas ce que vous payez un prestataire, mais ce qui s'arrête s'il tombe, ce qu'il voit de vos données et quels accès d'administration il détient. Un prestataire à quinze mille euros par an avec un compte administrateur du domaine est un risque majeur ; un fournisseur à deux millions sans accès au SI ne l'est pas. Cesser de confondre questionnaire et contrôle : un questionnaire est une déclaration, une preuve est un rapport d'audit ou un résultat de test. Caler enfin les délais contractuels sur les vôtres : si votre prestataire s'engage à vous notifier sous soixante-douze heures, votre alerte à vingt-quatre heures est structurellement en retard.

Par où commencer si vous démarrez aujourd'hui

1. Qualifiez entité juridique par entité juridique, et écrivez la conclusion — y compris « hors périmètre », qui est celle qu'il faudra défendre.
2. Délimitez le périmètre technique : les systèmes qui supportent les services listés, pas tout le SI. Trop large, le programme meurt par le budget.
3. Menez l'analyse de risques sur ce périmètre. C'est l'objectif 16 du ReCyF, et c'est elle qui rend la proportionnalité opposable.
4. Mesurez l'écart au ReCyF, en partant de votre déclaration d'applicabilité ISO 27001 si vous en avez une.
5. Chiffrez le plan de remédiation avec ses risques résiduels et faites-le approuver par l'organe de direction. Sans délibération, l'article 20 n'est pas satisfait.
6. Testez la chaîne de notification par un exercice, pas par une procédure. Réussite : une alerte partie en moins de vingt-quatre heures, un dimanche.

La saisine du 8 juillet 2026 ne change rien à votre calendrier interne, mais elle en fixe la borne. Les organisations qui auront attendu la loi découvriront qu'un programme NIS2 sérieux se compte en douze à dix-huit mois, et qu'aucun décret ne raccourcira ce délai-là.