Sécurité et Conformité :
Experts du déploiement Wazuh

NIS 2 (directive UE 2022/2555) est le nouveau cadre européen de cybersécurité, qui remplace la directive NIS de 2016. Elle impose aux entreprises concernées des obligations de gestion des risques cyber, de notification d'incidents et de gouvernance, sous la supervision de l'ANSSI en France.

NIS 2 élargit fortement le périmètre : on passe d'environ 500 entités sous l'ancienne directive à près de 15 000 entités en France, réparties sur 18 secteurs d'activité (énergie, santé, numérique, industrie, transport, gestion des déchets, etc.). De nombreuses PME et ETI découvrent qu'elles sont concernées alors qu'elles ne l'étaient pas auparavant. L'ANSSI propose un parcours d'identification en ligne sur MonEspaceNIS2 (cyber.gouv.fr) pour vérifier votre statut.

Les entités essentielles relèvent de secteurs hautement critiques (énergie, santé, transport, eau, infrastructures numériques...) et sont soumises aux obligations les plus strictes. Les entités importantes couvrent des secteurs secondaires (chimie, alimentation, fabrication, services numériques...) avec un régime de contrôle légèrement allégé. Le référentiel de l'ANSSI (ReCyF) distingue 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes.

La France a manqué l'échéance européenne du 17 octobre 2024. Le texte de transposition (la loi « Résilience », qui regroupe NIS 2, la directive REC et le règlement DORA) a été adopté au Sénat en mars 2025, mais son examen par l'Assemblée nationale a été reporté à plusieurs reprises — au mieux à l'automne 2026 au moment de la rédaction. La Commission européenne a saisi la Cour de justice de l'UE contre la France pour ce retard. Attention : ce retard ne dispense pas de se préparer — l'ANSSI recommande explicitement de ne pas attendre la loi pour agir.

Les sanctions prévues peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles (1,4 % pour les entités importantes), selon le montant le plus élevé. L'ANSSI dispose également de pouvoirs gradués : mise en demeure, injonction avec astreinte journalière, puis sanction financière prononcée par une commission dédiée. Une publication des manquements (« name and shame ») est aussi prévue.

Oui, c'est l'une des ruptures majeures de NIS 2 : la cybersécurité n'est plus seulement l'affaire du DSI, elle engage directement les organes de direction. Les dirigeants doivent approuver les mesures de gestion des risques et suivre une formation dédiée. En cas de manquement grave d'une entité essentielle, l'autorité peut aller jusqu'à demander la suspension temporaire de l'exercice de fonctions de direction.

Très probablement, par effet de cascade. L'article 21 de la directive impose aux entités régulées de sécuriser leur chaîne d'approvisionnement, donc leurs prestataires et sous-traitants. Concrètement, si l'un de vos clients est soumis à NIS 2, il vous demandera de plus en plus souvent de prouver votre propre niveau de sécurité (questionnaires, audits, clauses contractuelles) — même si votre PME n'est pas elle-même une entité régulée.

Le Référentiel Cyber France (ReCyF), publié par l'ANSSI le 17 mars 2026, traduit les exigences NIS 2 en mesures techniques concrètes : 20 objectifs de sécurité pour les entités essentielles, 15 pour les entités importantes. Il reste un document de travail tant que la loi n'est pas promulguée, mais l'ANSSI recommande de s'en servir dès aujourd'hui comme grille d'auto-évaluation — ce sera la base contraignante de demain.

Cinq premières étapes recommandées : 1) vérifier votre statut sur MonEspaceNIS2, 2) cartographier votre système d'information et vos actifs critiques, 3) réaliser une analyse de risques (méthode EBIOS Risk Manager), 4) confronter votre existant au ReCyF pour identifier les écarts, 5) prioriser un plan de traitement (détection, sauvegardes, MFA, procédure de notification d'incident 24h/72h).

En tant qu'intégrateur Wazuh, nous couvrons la brique technique de détection et de traçabilité exigée par NIS 2 : SIEM/XDR, surveillance d'intégrité (FIM), threat intelligence (MISP), gestion d'incidents traçable (TheHive/Cortex) et rapports de conformité prêts à présenter à un auditeur. Nous vous aidons à transformer les objectifs du ReCyF en dispositif opérationnel, sans attendre la promulgation de la loi.