> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/onboarding/compliance/nis-2.md).

# NIS 2

La directive NIS 2 exige des organisations des secteurs critiques qu’elles mettent en place des mesures de cybersécurité robustes. Cette page explique ce que la directive demande, comment vérifier si elle s’applique à vous et comment réaliser l’évaluation dans Stoïk Protect.

## Comprendre NIS 2

### Ce qu’est la directive

NIS 2 ([Directive (UE) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)) remplace la première directive NIS de 2016. Elle a été adoptée en décembre 2022, et les États membres devaient la transposer dans leur droit national au plus tard le **17 octobre 2024**.

Deux éléments ont fortement changé par rapport à NIS 1 :

* **Le champ d’application s’est élargi.** Environ **18 secteurs** sont désormais couverts : 11 secteurs hautement critiques à l’annexe I et 7 autres secteurs critiques à l’annexe II. Des milliers d’organisations de taille moyenne et grande sont concernées pour la première fois, ainsi que les administrations publiques.
* **La direction est devenue responsable.** En vertu de [l’article 20](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), l’organe de direction doit approuver les mesures de cybersécurité, superviser leur mise en œuvre et peut être tenu personnellement responsable. Les dirigeants doivent également suivre une formation en cybersécurité.

{% hint style="info" %}
NIS 2 est une **directive**, pas un règlement. Elle fixe les objectifs ; chaque État membre rédige sa propre loi. Vos délais exacts, votre procédure d’enregistrement et toute exigence nationale plus stricte proviennent de votre pays, pas du texte européen.
{% endhint %}

### Les trois obligations fondamentales

<table><thead><tr><th width="242.62109375">Obligation</th><th>Ce que cela signifie</th></tr></thead><tbody><tr><td><strong>S’enregistrer auprès de votre autorité nationale</strong></td><td>Une fois établi que vous êtes concerné, vous devez déclarer votre entité à l’autorité compétente de votre pays</td></tr><tr><td><strong>Gérer votre risque cyber</strong></td><td>Mettez en place les mesures techniques, opérationnelles et organisationnelles de l’article 21</td></tr><tr><td><strong>Signaler les incidents significatifs</strong></td><td>Informer votre autorité dans un délai de <strong>24 heures</strong> (alerte précoce), <strong>72 heures</strong> (notification d’incident) et <strong>un mois</strong> (rapport final)</td></tr></tbody></table>

Le non-respect vous expose à des amendes administratives pouvant atteindre **10 M€ ou 2 % du chiffre d’affaires annuel mondial** pour les entités essentielles, et **7 M€ ou 1,4 %** pour les entités importantes, le montant le plus élevé s’appliquant dans chaque cas.

### Article 21(2) : les dix mesures

L’article 21 est le cœur de la directive et la base de l’évaluation dans Stoïk Protect.

[Article 21(1)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) pose le principe : les mesures doivent être **appropriées et proportionnées**, suivre une **approche tous risques**, et être adaptées à votre taille, à votre exposition et à la gravité des incidents auxquels vous pourriez être confronté. Un fabricant de 60 personnes n’est pas censé mettre en place le même programme qu’un opérateur énergétique national.

[Article 21(2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) énumère ensuite dix mesures minimales. Les dix domaines de l’évaluation :

<table><thead><tr><th width="77.8984375"></th><th width="282.796875">Mesure</th><th>Ce que la directive demande</th></tr></thead><tbody><tr><td><strong>(a)</strong></td><td>Analyse des risques et politiques de sécurité des systèmes d’information</td><td>Une vision documentée de vos risques et des politiques de sécurité écrites approuvées au bon niveau</td></tr><tr><td><strong>(b)</strong></td><td>Gestion des incidents</td><td>La capacité à détecter, qualifier, répondre aux incidents et les signaler</td></tr><tr><td><strong>(c)</strong></td><td>Continuité d’activité</td><td>Gestion des sauvegardes, reprise après sinistre et gestion de crise</td></tr><tr><td><strong>(d)</strong></td><td>Sécurité de la chaîne d’approvisionnement</td><td>Sécurité dans vos relations avec les fournisseurs et prestataires de services directs</td></tr><tr><td><strong>(e)</strong></td><td>Sécurité dans l’acquisition, le développement et la maintenance</td><td>Y compris la gestion et la divulgation des vulnérabilités</td></tr><tr><td><strong>(f)</strong></td><td>Évaluer l’efficacité de vos mesures</td><td>Politiques et procédures pour vérifier que ce que vous avez mis en place fonctionne réellement</td></tr><tr><td><strong>(g)</strong></td><td>Pratiques élémentaires d’hygiène cyber et formation à la cybersécurité</td><td>Pour l’ensemble du personnel, pas seulement l’équipe informatique</td></tr><tr><td><strong>(h)</strong></td><td>Cryptographie et chiffrement</td><td>Une politique sur les cas et la manière dont le chiffrement est utilisé</td></tr><tr><td><strong>(i)</strong></td><td>Sécurité RH, contrôle des accès et gestion des actifs</td><td>onboarding et offboarding, moindre privilège, inventaire des actifs</td></tr><tr><td><strong>(j)</strong></td><td>MFA et communications sécurisées</td><td>Authentification multifacteur ou continue, voix, vidéo et texte sécurisés, communications d’urgence</td></tr></tbody></table>

{% hint style="warning" %}
La directive nomme volontairement **des thèmes, pas des contrôles**. Elle ne vous dit pas quel EDR acheter, à quelle fréquence corriger les vulnérabilités, ni ce qu’une politique de mots de passe doit contenir. C’est pourquoi une évaluation comme celle de Stoïk Protect fonctionne au niveau des actions concrètes : elle traduit chacun des dix thèmes en éléments que vous pouvez réellement vérifier ou mettre en place.
{% endhint %}

### Lorsqu’il existe davantage de détails

Deux sources vont plus loin que la directive :

* [**Règlement d’exécution (UE) 2024/2690 de la Commission**](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) fixe les exigences techniques et méthodologiques détaillées pour les mesures de l’article 21, ainsi que les critères définissant un incident significatif. Il s’applique à certains opérateurs numériques transfrontaliers : fournisseurs de DNS, registres TLD, fournisseurs de services cloud et de centres de données, CDN, fournisseurs de services managés et de services de sécurité managés, places de marché en ligne et moteurs de recherche, réseaux sociaux et prestataires de services de confiance. Si vous en faites partie, ce règlement constitue votre référence plutôt que votre base nationale.
* **Référentiels nationaux.** Les États membres publient leur propre ensemble de mesures. En France, [ANSSI](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/) publie le *Référentiel Cyber France* (ReCyF), qui décline la directive en 20 objectifs de sécurité avec des exigences distinctes pour les entités importantes et essentielles. Ces référentiels sont plus granulaires que les dix domaines, et ils servent de base à l’audit.

## Étape 1 : vérification d’éligibilité

Ouvrez le **Compliance** onglet et accédez à la **carte NIS 2** Trois champs déterminent le résultat :

<table><thead><tr><th width="198.828125">Champ</th><th>Options</th></tr></thead><tbody><tr><td><strong>Secteur d’activité</strong></td><td>Les secteurs listés aux annexes I et II de <a href="https://eur-lex.europa.eu/eli/dir/2022/2555/oj">la directive</a>, plus <em>Aucun des éléments ci-dessus</em></td></tr><tr><td><strong>Effectif</strong></td><td>Moins de 50 · Entre 50 et 250 · Plus de 250</td></tr><tr><td><strong>Chiffre d’affaires agrégé</strong></td><td>Moins de 10 M€ · Entre 10 M€ et 50 M€ · Plus de 50 M€</td></tr></tbody></table>

Les champs déjà connus de votre contrat d’assurance sont préremplis. Vous pouvez les modifier à tout moment avec le bouton **Modifier** .

Si votre secteur est **Infrastructures numériques** ou **Services TIC gérés**, il vous est également demandé de préciser votre activité spécifique (fournisseur DNS, registre TLD, bureau d’enregistrement de noms de domaine, prestataire de services de confiance, communications électroniques publiques, cloud computing, centre de données, CDN, MSP/MSSP). Certaines de ces activités vous font entrer dans le champ d’application quelle que soit votre taille.

{% hint style="info" %}
Seul votre chiffre d’affaires est demandé, pas le total de votre bilan. La directive applique les seuils de taille de la [recommandation 2003/361/CE de la Commission](https://eur-lex.europa.eu/eli/reco/2003/361/oj), qui retient l’un ou l’autre, c’est pourquoi nous demandons le plus simple des deux.
{% endhint %}

### Comprendre votre résultat

|                                | Entité essentielle                                                                | Entité importante                                                                  | Non concerné                                         |
| ------------------------------ | --------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------- | ---------------------------------------------------- |
| **Surveillance**               | Audit proactif par l’autorité                                                     | Audit déclenché à la suite d’un incident                                           | Aucune surveillance NIS 2                            |
| **Direction**                  | Responsabilité personnelle (suspension de fonction)                               | Responsabilité personnelle                                                         | Aucune responsabilité de direction au titre de NIS 2 |
| **Sanctions maximales**        | 10 M€ ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu | 7 M€ ou 1,4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu | Aucune sanction administrative NIS 2                 |
| **Notification des incidents** | 24 h / 72 h / 1 mois                                                              | 24 h / 72 h / 1 mois                                                               | Aucune obligation de notification NIS 2              |
| **Délais**                     | Fixés par la transposition de votre pays                                          | Fixés par la transposition de votre pays                                           | Aucune date limite d’enregistrement NIS 2            |

Les entités essentielles et importantes peuvent ensuite ouvrir l’évaluation complète avec **Compléter l’évaluation complète**.

{% hint style="warning" %}
Le résultat est indicatif. Il se base sur votre secteur, votre taille et votre activité numérique. Il ne tient pas compte des spécificités nationales, comme une désignation au titre de la directive CER, un ancien statut d’opérateur de services essentiels, ou des secteurs supplémentaires ajoutés par votre État membre. Confirmez votre statut final auprès de votre autorité nationale ou de votre conseil juridique.
{% endhint %}

## Étape 2 : l’évaluation

L’évaluation transforme les dix mesures de l’article 21(2) en **40 actions concrètes**, quatre par domaine. Cochez ce que vous avez déjà mis en place.

| Domaine                                                | Article  |
| ------------------------------------------------------ | -------- |
| Analyse des risques et politiques de sécurité          | 21(2)(a) |
| Gestion et notification des incidents                  | 21(2)(b) |
| Continuité d’activité et gestion de crise              | 21(2)(c) |
| Sécurité de la chaîne d’approvisionnement              | 21(2)(d) |
| Sécurité du cycle de vie et gestion des vulnérabilités | 21(2)(e) |
| Évaluation de l’efficacité                             | 21(2)(f) |
| Hygiène cyber et formation                             | 21(2)(g) |
| Cryptographie et chiffrement                           | 21(2)(h) |
| Sécurité RH, contrôle des accès et actifs              | 21(2)(i) |
| MFA et communications sécurisées                       | 21(2)(j) |

### Actions couvertes par vos outils Stoïk

Ces cinq actions sont cochées automatiquement lorsque l’outil correspondant est actif :

| Action                                                                                                   | Couvert par                            |
| -------------------------------------------------------------------------------------------------------- | -------------------------------------- |
| Lancer régulièrement des analyses de vulnérabilités sur les systèmes internes et externes                | Scan Externe · Analyse AD · Scan Cloud |
| Surveiller les identifiants divulgués liés aux comptes de l’entreprise                                   | Identifiants                           |
| Mener des campagnes de simulation de phishing                                                            | Simulation                             |
| Déployer régulièrement des formations de sensibilisation à la cybersécurité pour l’ensemble du personnel | Apprentissage                          |
| Mettre en place des outils de détection pour repérer les incidents tôt                                   | Stoïk MDR                              |

{% hint style="info" icon="eye" %}
**Avertissement**<br>

Cet outil NIS 2 est fourni uniquement à des fins d’information générale et d’orientation. Il est destiné à donner aux courtiers et aux clients une indication préliminaire de savoir si une entreprise peut relever du champ d’application de la directive NIS2 et des obligations qui y sont liées.<br>

Les résultats générés par cet outil sont fondés sur les informations fournies par l’utilisateur et sur la compréhension actuelle de Stoïk de la législation applicable, laquelle peut évoluer ou faire l’objet d’interprétations différentes au niveau national. L’outil ne constitue pas un conseil juridique et ne doit pas être utilisé comme substitut à une analyse juridique réalisée par un professionnel qualifié.<br>

Stoïk ne fait aucune déclaration ni garantie, expresse ou implicite, quant à l’exactitude, l’exhaustivité ou l’actualité des informations ou des résultats fournis, et n’assume aucune responsabilité pour les décisions prises ou les actions entreprises sur la base de l’utilisation de cet outil.
{% endhint %}

## Ressources officielles

### Textes européens

| Source                                                                                                       | Ce que cela couvre                                                                                                                                                                                                                                           |
| ------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| [Directive (UE) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)                                   | La directive elle-même : critères de champ d’application (art. 2, 3), responsabilité de la direction (art. 20), mesures de gestion des risques (art. 21), obligations de notification (art. 23), sanctions (art. 34) et listes de secteurs (annexes I et II) |
| [Règlement d’exécution (UE) 2024/2690 de la Commission](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) | Exigences techniques détaillées pour l’article 21, et critères d’un incident significatif, pour les entités numériques transfrontalières                                                                                                                     |
| [recommandation 2003/361/CE de la Commission](https://eur-lex.europa.eu/eli/reco/2003/361/oj)                | La définition des micro, petites et moyennes entreprises utilisée pour déterminer votre catégorie de taille                                                                                                                                                  |
| [Directive NIS 2 : Commission européenne](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive)  | Vue d’ensemble, FAQ et état des transpositions nationales                                                                                                                                                                                                    |
| [ENISA : directive NIS](https://www.enisa.europa.eu/topics/nis-directive)                                    | Orientations et documents techniques de mise en œuvre de l’agence de l’UE pour la cybersécurité                                                                                                                                                              |

### Autorités nationales

<table><thead><tr><th width="163.39453125">Pays</th><th>Autorité</th></tr></thead><tbody><tr><td>France</td><td><a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/">ANSSI</a></td></tr><tr><td>Allemagne</td><td><a href="https://www.bsi.bund.de/">BSI</a></td></tr><tr><td>Belgique</td><td><a href="https://ccb.belgium.be/">Centre pour la cybersécurité Belgique</a></td></tr><tr><td>Pays-Bas</td><td><a href="https://www.digitaltrustcenter.nl/">Digital Trust Center</a></td></tr><tr><td>Espagne</td><td><a href="https://www.incibe.es/">INCIBE</a></td></tr></tbody></table>

{% hint style="info" %}
L’enregistrement auprès de votre autorité nationale, ainsi que les délais qui s’appliquent à vous, sont fixés par la transposition de votre pays. Consultez la page de votre autorité nationale pour connaître l’état actuel.
{% endhint %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-center-fr/onboarding/compliance/nis-2.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.