NIS2 entités essentielles, obligations, périmètre et sanctions

La directive (UE) 2022/2555, dite NIS2 (Network and Information Security, deuxième version), remplace la désignation au cas par cas par des seuils : taille et secteur suffisent. Pour une entité essentielle, elle impose un socle de mesures, des délais de notification courts et une supervision a priori, jusqu’à la direction. Ce qui suit est une lecture d’architecture, pas un avis juridique : la transposition nationale en vigueur fait foi.

→ Lire l’explication complète de la marmotte

Périmètre NIS2 : qui devient entité essentielle

L’annexe I liste les secteurs hautement critiques (énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (technologies de l’information et de la communication) entre entreprises, administration publique, espace) ; l’annexe II, les autres secteurs critiques (poste, déchets, chimie, alimentation, industrie manufacturière, fournisseurs numériques, recherche).

Est entité essentielle (article 3) :

une grande entreprise d’un secteur de l’annexe I (au moins 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions de bilan) ;
quelle que soit sa taille : un prestataire de services de confiance qualifié, un registre de noms de domaine de premier niveau, un fournisseur de services DNS (Domain Name System) ;
un fournisseur de réseaux ou services de communications électroniques publics de taille moyenne ou plus ;
une entité de l’administration publique centrale, ou toute entité désignée par l’État membre.

Les autres entités des annexes, à partir de la taille moyenne (50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan), sont entités importantes. La différence porte moins sur les mesures que sur la supervision et le plafond des sanctions.

Piège classique : la taille se calcule avec les entreprises partenaires et liées (recommandation 2003/361/CE) ; la filiale de trente personnes d’un grand groupe n’est pas une petite entreprise.

Obligations de l’article 21 et gouvernance de l’article 20

L’article 20 rend l’organe de direction responsable : il approuve les mesures, en supervise la mise en œuvre, suit une formation et engage sa responsabilité. L’article 21 fixe dix familles de mesures minimales, selon une approche « tous risques » :

politiques d’analyse de risque et de sécurité des systèmes d’information ;
gestion des incidents ;
continuité d’activité, sauvegardes, reprise après sinistre, gestion de crise ;
sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs ;
sécurité de l’acquisition, du développement et de la maintenance, dont le traitement et la divulgation des vulnérabilités ;
évaluation de l’efficacité des mesures ;
cyberhygiène et formation ;
politiques de cryptographie et de chiffrement ;
sécurité des ressources humaines, contrôle d’accès, gestion des actifs ;
authentification multifacteur (MFA, Multi-Factor Authentication) ou continue, communications sécurisées, y compris d’urgence.

Pour les fournisseurs d’infrastructures numériques (DNS, informatique en nuage, centres de données, fournisseurs de services gérés et de services de sécurité gérés), le règlement d’exécution (UE) 2024/2690 transforme ces dix lignes en exigences techniques détaillées. Pour les autres, l’autorité nationale (en France, l’ANSSI, Agence nationale de la sécurité des systèmes d’information) précise les attendus.

Le compromis central tient en une phrase : une conformité documentaire se produit vite et coûte peu, une conformité démontrable coûte cher et tient au contrôle. La supervision a priori cherche des preuves d’exécution, pas des politiques signées. La recommandation : partir de l’inventaire des actifs et de la chaîne de notification, puis rattacher chaque mesure de l’article 21 à une preuve produite automatiquement (journal, rapport, export de configuration). Une politique de chiffrement sans inventaire des algorithmes en service reste un vœu (la rubrique Cryptographie détaille cet inventaire). Les slides promettant « NIS2 en trente jours » chronomètrent la rédaction des politiques, pas leur application.

Notification d’incident : les trois échéances de l’article 23

Un incident est important s’il cause ou peut causer une perturbation grave du service, des pertes financières ou des dommages considérables à des tiers. Trois échéances courent à partir de la prise de connaissance :

24 heures : alerte précoce au CSIRT (Computer Security Incident Response Team) ou à l’autorité, en indiquant si une origine malveillante ou un effet transfrontière est suspecté ;
72 heures : notification avec évaluation initiale, gravité, impact et indicateurs de compromission ;
un mois après la notification : rapport final (cause, mesures, impact transfrontière), ou d’avancement si l’incident dure.

Conséquence d’architecture : l’horodatage de la prise de connaissance devient une donnée réglementaire. Il s’enregistre dans l’outil de gestion des incidents au moment de la qualification, pas a posteriori. L’exemple suivant (Bash et GNU date, sur toute distribution Linux) calcule les trois échéances.

# Horodatage de la prise de connaissance, en heure locale explicite
export TZ=Europe/Paris
CONNAISSANCE="2026-09-29 08:40 +0200"

# Alerte précoce : 24 heures
date -d "$CONNAISSANCE +24 hours" '+Alerte précoce avant   : %F %H:%M %z'

# Notification d'incident : 72 heures
date -d "$CONNAISSANCE +72 hours" '+Notification avant     : %F %H:%M %z'

# Rapport final : un mois après la notification (ici envoyée à T+70 h)
NOTIFICATION=$(date -d "$CONNAISSANCE +70 hours" '+%F %H:%M %z')
date -d "$NOTIFICATION +1 month" '+Rapport final avant    : %F %H:%M %z'

La dernière échéance traverse le passage à l’heure d’hiver : %z affiche le décalage réel, là où un calcul à la main perd une heure un dimanche de fin octobre.

Supervision et sanctions des entités essentielles

L’article 32 donne à l’autorité un contrôle a priori : inspections sur site, audits réguliers et ciblés, scans de sécurité, demandes de preuves. L’article 34 fixe le plafond des amendes administratives : au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (contre 7 millions ou 1,4 % pour une entité importante). En cas de manquement persistant, l’autorité peut suspendre une certification et demander l’interdiction temporaire d’un dirigeant.

Ce que NIS2 ne garantit pas : la conformité n’est pas une preuve de sécurité, et un audit réussi ne dit rien de la résistance à un attaquant qui ne lit pas le référentiel. La directive n’impose aucune solution technique, seulement de justifier ses choix.

Exploitation : ce qui doit tourner en continu

Enregistrement. L’entité s’enregistre auprès de l’autorité nationale (en France, via le service en ligne de l’ANSSI) et tient à jour coordonnées, secteurs et plages d’adresses IP (Internet Protocol) publiques.

Preuves. Chaque mesure de l’article 21 a un propriétaire, un indicateur et une preuve régénérée périodiquement ; l’export manuel de la veille d’audit ne résiste pas à une inspection inopinée.

Continuité. Le plan de reprise se teste par une restauration réelle et chronométrée ; annuaires de crise et canaux d’urgence existent hors du système d’information principal.

Fournisseurs. Les contrats incluent notification d’incident et droit d’audit. La rubrique Gouvernance couvre la mise en œuvre côté pilotage.

🐝 Ce qui arrive si on s’en passe

Sans mise en oeuvre, l’entité reste inconnue du registre national : aucune autorité ne sait qui appeler, et les alertes sectorielles diffusées par le CSIRT compétent n’atteignent personne. L’absence de procédure de notification fait sauter les délais (alerte précoce à 24 heures, rapport à 72 heures) : un incident n’est plus corrélé avec ceux des autres entités du même secteur, ce qui retarde l’identification d’une campagne commune. Faute d’exigences imposées aux fournisseurs, la chaîne d’approvisionnement devient un angle mort contractuel, sans droit d’audit ni obligation d’information en cas de compromission. Sans analyse de risque documentée ni plan de continuité testé, la reprise s’improvise et la traçabilité des décisions manque lors d’un contrôle. S’ajoutent les sanctions prévues, amendes calculées sur le chiffre d’affaires et responsabilité personnelle des dirigeants.

🦫 Explication de la marmotte 🍫

NIS2 est une loi européenne qui oblige certaines organisations à protéger leurs systèmes informatiques. Pour savoir si une organisation est concernée, on regarde deux choses : son secteur d’activité (énergie, santé, transport, banque, eau, internet, administration) et sa taille, mesurée en nombre de salariés et en argent gagné. Les plus grandes des secteurs les plus sensibles deviennent « entités essentielles ». Elles doivent alors s’inscrire auprès de l’agence nationale de cybersécurité, puis appliquer dix familles de mesures : analyser leurs risques, gérer les attaques, garder des sauvegardes, surveiller leurs fournisseurs, corriger les failles, former le personnel, chiffrer les données, contrôler qui accède à quoi et exiger plusieurs preuves d’identité pour se connecter. Les dirigeants doivent approuver ces mesures et en répondent personnellement. Quand une attaque grave arrive, trois délais démarrent au moment où l’organisation l’apprend : un premier signalement en un jour, un rapport détaillé en trois jours, un rapport final un mois plus tard. L’agence peut venir contrôler sur place avant tout incident et demander des preuves. Si les règles ne sont pas respectées, l’amende peut atteindre dix millions d’euros ou deux pour cent du chiffre d’affaires mondial, et un dirigeant peut être temporairement écarté.

Pages voisines

La citent

NIS2 entités essentielles, obligations, périmètre et sanctions

Elle cite

: les deux pages se citent l’une l’autre.

NIS2 entités essentielles, obligations, périmètre et sanctions

NIS2 entités essentielles, obligations, périmètre et sanctions

Périmètre NIS2 : qui devient entité essentielle

Obligations de l’article 21 et gouvernance de l’article 20

Notification d’incident : les trois échéances de l’article 23

Supervision et sanctions des entités essentielles

Exploitation : ce qui doit tourner en continu

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines