NIS2 en France : 8 questions que votre conseil d'administration doit pouvoir trancher en 30 jours

La directive NIS2 s’applique désormais dans la majorité des États membres de l’UE en 2026. La date de transposition est passée le 17 octobre 2024. Dans les États qui ont transposé, les autorités nationales mènent des évaluations systématiques de conformité et les premières mesures d’exécution sont attendues cette année. La France, elle, n’a toujours pas transposé — la Commission européenne a saisi la Cour de justice le 8 juillet 2026.

Et la part que la plupart des conseils n’ont pas encore pleinement intégrée : en vertu de l’article 20 de la directive, les membres des organes de direction — administrateurs, dirigeants — peuvent être tenus personnellement responsables du défaut de conformité de leur entité. Les transpositions nationales prévoient des interdictions temporaires d’exercer des fonctions de direction en cas d’infractions répétées ou graves. « Je ne comprends pas l’informatique » n’est plus une défense ; c’est désormais une preuve.

Si votre organisation entre dans le champ d’application de NIS2 — et si vous êtes une entreprise moyenne ou grande dans l’un des 18 secteurs couverts, c’est presque certainement le cas — les 30 prochains jours sont la bonne fenêtre pour répondre à 8 questions précises.

Où en est la transposition française ?

La France a manqué la date limite du 17 octobre 2024, et la transposition n’est toujours pas acquise. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — qui transpose NIS2 en droit français — a été adopté par le Sénat en mars 2025, puis en commission spéciale à l’Assemblée nationale en septembre 2025, sans avoir été examiné en séance publique : inscrit à l’ordre du jour le 22 septembre 2026, il en a été retiré le 6 octobre, sans nouvelle date. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne, en demandant une somme forfaitaire et des astreintes journalières. Les décrets d’application qui préciseront le référentiel technique ne viendront qu’après le vote, et le pré-enregistrement sur MonEspaceNIS2 reste volontaire.

Pour un conseil d’administration français, cela ne change rien à la préparation : le répit porte sur le calendrier, pas sur l’obligation. Les entités concernées savent déjà qu’elles le sont, et le délai de mise en conformité ne se raccourcira pas parce que la loi arrive tard.

Le cadre français crée deux catégories : les entités essentielles (EE) et les entités importantes (EI). Environ 15 000 entités seront concernées — contre 500 sous NIS1 — dont 80 % classées comme « importantes ». Les seuils d’application restent ceux de la directive : 50 salariés ou 10 M€ de chiffre d’affaires, dans l’un des 18 secteurs couverts. L’ANSSI est l’autorité compétente, chargée du contrôle et des sanctions.

Le projet de loi français définit 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Et point notable : l’ANSSI a explicitement indiqué que la certification ISO 27001 ne couvre que 2 des 20 objectifs. Une certification n’équivaut pas à la conformité NIS2.

Pourquoi 30 jours ?

Trente jours n’est pas une échéance légale. C’est une échéance exécutive. Les obligations NIS2 ne sont pas du genre à déléguer à la DSI pour examen le trimestre prochain. L’article 20 exige explicitement que votre organe de direction approuve les mesures de gestion des risques cyber, supervise leur mise en œuvre, et suive une formation suffisante pour faire les deux de manière éclairée.

Une approbation sans compréhension n’est pas une approbation. Une supervision sans preuve n’est pas une supervision.

En 2026, la preuve est ce que les auditeurs et les autorités de contrôle demandent réellement — procès-verbaux de CA, journaux de formation, registres de risques, plans de réponse aux incidents. Pas des politiques qui existent dans un dossier SharePoint.

Les 8 questions

1. Sommes-nous vraiment concernés, et quelles entités précisément ?

NIS2 s’applique automatiquement aux moyennes et grandes entreprises (50+ salariés ou 10 M€+ de CA) opérant dans l’un des 18 secteurs. Certaines entités sont dans le périmètre quelle que soit leur taille : fournisseurs DNS, registres de TLD, prestataires de services de confiance, opérateurs de communications électroniques. Le simulateur MonEspaceNIS2 de l’ANSSI permet une première évaluation.

Pour les groupes avec plusieurs entités européennes, un organe de direction doit être désigné pour chaque entité concernée séparément. Une fonction cyber centralisée au siège ne libère pas de l’obligation au niveau de chaque entité. Le conseil a besoin d’une évaluation écrite, entité par entité, pays par pays.

2. Notre organe de direction a-t-il formellement approuvé nos mesures de gestion des risques cyber ?

L’article 20 exige que l’organe de direction — pas la DSI, pas le RSSI, pas un prestataire externe — approuve les mesures adoptées au titre de l’article 21. Cette approbation doit être documentée, inscrite au procès-verbal du conseil, avec la substance de ce qui est approuvé (pas juste un titre à l’ordre du jour).

« Approuvé en CA en 2023 dans le cadre de la stratégie SI » ne suffit pas. Le conseil doit avoir approuvé quelque chose qui correspond spécifiquement aux 20 objectifs de sécurité (EE) ou 15 objectifs (EI) du référentiel français — qui s’articulent autour des 10 domaines de gestion des risques que l’article 21 énumère.

3. Tous les membres du conseil ont-ils suivi une formation cybersécurité — et pouvons-nous le prouver ?

C’est l’exigence que la plupart des conseils ont soit ignorée, soit satisfaite par une session symbolique de 30 minutes. L’article 20(2) est explicite : les membres de l’organe de direction doivent suivre une formation suffisante pour identifier les risques cyber et évaluer l’adéquation des pratiques de gestion. L’ANSSI attend des preuves granulaires, horodatées, exportables. Qui a été formé, quand, sur quel contenu, avec quel résultat évalué.

Cette formation doit être de niveau direction — pas le même module que prend l’ensemble du personnel. Elle doit traiter les responsabilités spécifiques de gouvernance, le paysage des risques de l’organisation, les obligations légales NIS2 et le cadre de responsabilité personnelle.

4. Savons-nous, aujourd’hui, ce qui constitue un « incident significatif » — et qui le notifie en 24 heures ?

NIS2 impose une cadence de notification d’incidents en trois étapes : une alerte précoce à l’ANSSI dans les 24 heures suivant la prise de connaissance d’un incident significatif, une notification d’incident dans les 72 heures, et un rapport final dans le mois. Un « incident significatif » comprend tout incident qui cause une perturbation opérationnelle grave, une perte financière matérielle, ou un dommage matériel ou immatériel considérable à des tiers.

Deux questions auxquelles votre conseil doit répondre : d’abord, y a-t-il une personne nommée — avec un suppléant nommé — dont le rôle est de prendre l’appel des 24 heures ? Ensuite, qui autorise cette notification ? Les autorités regardent de près la rapidité de mouvement d’une organisation dans la première journée d’un incident.

5. Connaissons-nous nos fournisseurs critiques et avons-nous évalué leur sécurité ?

L’article 21 exige des mesures explicites de sécurité de la chaîne d’approvisionnement. C’est une obligation nouvelle dans son périmètre et sa précision. Votre conseil doit pouvoir nommer les fournisseurs dont la compromission perturberait matériellement vos opérations — fournisseurs cloud, MSP, éditeurs de logiciels, plateformes SaaS critiques — et démontrer que leur posture de sécurité a été évaluée, pas simplement contractualisée.

C’est aussi là où NIS2 dépasse son champ d’application direct. Même les organisations non directement régulées reçoivent de plus en plus des questionnaires de sécurité de la part de leurs clients régulés. Si vous fournissez une entité soumise à NIS2, la question de conformité vous parvient déjà par les contrats.

6. Notre plan de réponse aux incidents fonctionne-t-il réellement — et quand l’avons-nous testé pour la dernière fois ?

Les plans documentés sont le minimum. Les plans testés sont ce que les autorités cherchent. Un plan de continuité d’activité jamais répété, une procédure de reprise après sinistre jamais exécutée bout en bout, un protocole de communication de crise qui n’existe que dans un document de politique — aucun de ces éléments ne satisfait la préparation opérationnelle qu’attend NIS2.

La question pour le conseil est simple : quand a eu lieu le dernier exercice de cellule de crise ? Quel en a été le résultat ? Qu’est-ce qui a été modifié en conséquence ? Si les réponses sont « jamais », « nous n’en avons pas fait » et « rien », c’est l’investissement à 30 jours avec le plus fort retour que le conseil puisse autoriser.

7. Nous sommes-nous enregistrés auprès de l’ANSSI ?

La plupart des transpositions nationales exigent que les entités concernées s’enregistrent auprès de l’autorité compétente désignée. En France, via le portail MonEspaceNIS2 de l’ANSSI. Les délais d’enregistrement, les autorités et les informations requises varient selon les États membres. Un groupe avec des entités en Belgique, Allemagne, Italie et France peut faire face à quatre processus d’enregistrement distincts auprès de quatre autorités distinctes.

Le conseil a besoin d’un registre — un document unique — des entités enregistrées, où, quand et auprès de quelle autorité. C’est une hygiène de conformité de routine fréquemment oubliée dans les groupes transfrontaliers, et c’est l’une des premières choses qu’une autorité de contrôle vérifie.

8. Quel est notre budget cybersécurité — et est-il proportionné à notre risque ?

L’article 21 exige des mesures « appropriées et proportionnées » à l’exposition au risque, à la taille et à la probabilité et la sévérité des incidents. Une interprétation pratique de la proportionnalité est financière : une ligne budgétaire pour la conformité NIS2 et la cybersécurité reflétant l’ampleur des obligations.

Les estimations de l’ANSSI donnent un ordre de grandeur : entre 100 000 et 200 000 euros initiaux pour les entités importantes et 450 000 à 880 000 euros initiaux pour les entités essentielles, avec environ 10 % par an en maintien. Ces chiffres ne sont pas des objectifs mais des références. L’absence de ressources cyber dédiées est de plus en plus interprétée comme une preuve de supervision insuffisante du conseil. Cela ne veut pas dire dépenser plus pour le principe — cela veut dire que le conseil doit pouvoir expliquer, avec des chiffres, pourquoi l’investissement actuel est proportionné au risque.

Que se passe-t-il si vous ne pouvez pas répondre

Les sanctions financières sont bien publicisées : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes. Ce sont les seuils minimum harmonisés — les lois nationales peuvent fixer des maximums plus élevés.

Mais la sanction financière est rarement la conséquence la plus douloureuse. Les autorités peuvent émettre des injonctions contraignantes, ordonner des audits de sécurité aux frais de l’entité, et — en cas d’infractions graves ou répétées — imposer des interdictions temporaires d’exercer des fonctions de direction. La responsabilité personnelle sous NIS2 ne se limite pas à la negligence grave ou à la faute intentionnelle. La directive permet la responsabilité pour les infractions — c’est-à-dire le défaut de conformité, même sans faute délibérée.

Une assurance D&O n’est pas nécessairement une protection. De nombreuses polices excluent les violations conscientes de la réglementation. Un administrateur informé de déficiences cybersécurité et qui n’a pas agi peut voir son assureur refuser de couvrir la réclamation qui en résulte.

Le programme à 30 jours du conseil

Les questions ci-dessus ne sont pas une checklist de conformité. C’est un test de gouvernance. Si votre conseil ne peut pas y répondre dans les 30 prochains jours, l’écart n’est pas technique — c’est un écart dans la manière dont l’organisation est dirigée. C’est le point que nous avons fait dans La conformité n’est pas la sécurité : des politiques documentées ne sont pas la même chose qu’une préparation opérationnelle. NIS2 rend désormais cette distinction juridiquement contraignante.

Un plan réaliste à 30 jours ressemble à ceci. Semaine 1 : commander une évaluation écrite du périmètre et confirmer le statut d’enregistrement auprès de l’ANSSI. Semaine 2 : revoir et approuver formellement les mesures de gestion des risques cyber au titre de l’article 21 — avec documentation appropriée. Semaine 3 : programmer et compléter la formation au niveau du conseil, avec archivage des preuves. Semaine 4 : valider la capacité de réponse aux incidents par un exercice de cellule de crise et finaliser le registre des risques fournisseurs.

Aucune de ces étapes n’achève la conformité. Elles établissent, sur le papier, que l’organe de direction comprend ses obligations et les exerce activement.

Comment nous aidons

Cyber-Management accompagne des PME et ETI en France, Belgique, Luxembourg et Suisse précisément sur ce périmètre. Notre service de RSSI Virtuel intègre un dirigeant sécurité certifié dans votre entreprise sur une base fractionnée — incluant le reporting au conseil, la délivrance de la formation, et les preuves de gouvernance documentées que NIS2 exige désormais. Si votre conseil n’a pas encore répondu aux 8 questions ci-dessus, une consultation gratuite de 25 minutes est le moyen le plus rapide de savoir où vous en êtes.