4. Nos questions sur : CYBERSÉCURITÉ (questions communes)
1. Que cherche à encadrer ce texte ?
NIS2 établit un cadre commun pour élever le niveau de cybersécurité et de résilience dans l'UE.
Elle impose aux organisations des mesures de gestion des risques et de notification des incidents tout en renforçant la coopération opérationnelle, la supervision et les capacités de réponse aux crises cyber.
2. Qui est concerné par ces règles ?
Les entités moyennes et grandes de 18 secteurs critiques, classées en essentielles ou importantes.
Le périmètre vise le public et le privé selon l'activité et la taille, avec des exceptions intégrant des structures plus petites. En France, la liste définitive dépendra des textes de transposition finale.
3. Quelles sont les principales obligations à connaître ?
Mesures de gestion des risques, notification rapide des incidents et implication directe de la direction.
Les obligations couvrent la sécurité des systèmes, la continuité d'activité, la sécurité des chaînes d'approvisionnement, la gestion des vulnérabilités, l'authentification forte, la formation et la responsabilité formelle des organes de gouvernance.
4. À quelles dates ces obligations s'appliquent-elles ?
En vigueur depuis janvier 2023, mais la transposition française complète est toujours en cours en 2026.
La directive devait être transposée pour le 17 octobre 2024. En France, le projet de loi a été examiné au Sénat et à l'Assemblée sans adoption définitive au 17 août 2026, entraînant une saisine de la CJUE par la Commission européenne.
5. Quels sont les risques ou sanctions en cas de non-conformité ?
Jusqu'à 10 M€ (ou 2 % du CA) pour les entités essentielles, et 7 M€ (ou 1,4 % du CA) pour les importantes.
Ces plafonds correspondent au cadre fixé par la directive aux États membres. Le régime exact et définitif applicable aux entreprises françaises sera fixé à l'achèvement de la transposition nationale.
6. Qu'est-ce que ce texte change concrètement pour une PME/ETI ?
La cybersécurité devient un sujet stratégique de gouvernance globale et de gestion des risques.
Il ne suffit plus d'installer des outils : il faut organiser les responsabilités, anticiper la continuité, maîtriser ses prestataires et auditer ses dépendances critiques dès aujourd'hui.