NIS 2

La directive NIS 2 exige que les organisations des secteurs critiques mettent en place des mesures de cybersécurité robustes. Cette page explique ce que la directive exige, comment vérifier si elle s’applique à vous, et comment compléter l’évaluation dans Stoïk Protect.

Comprendre NIS 2

Ce qu’est la directive

NIS 2 (Directive (UE) 2022/2555) remplace la première directive NIS de 2016. Elle a été adoptée en décembre 2022, et les États membres devaient la transposer dans leur droit national avant le 17 octobre 2024.

Deux choses ont considérablement changé par rapport à NIS 1 :

• Le champ d’application s’est élargi. Environ 18 secteurs sont désormais couverts — 11 secteurs hautement critiques à l’annexe I, et 7 autres secteurs critiques à l’annexe II. Des milliers d’organisations de taille moyenne et grande entrent pour la première fois dans le champ d’application, ainsi que les administrations publiques.

• La direction est devenue responsable. Sous L’article 20, l’organe de direction doit approuver les mesures de cybersécurité, superviser leur mise en œuvre, et peut voir sa responsabilité engagée à titre personnel. Les dirigeants sont également tenus de suivre une formation en cybersécurité.

NIS 2 est une directive et non un règlement. Elle fixe les objectifs ; chaque État membre rédige sa propre loi. Vos délais exacts, votre procédure d’enregistrement et toute exigence nationale plus stricte relèvent de votre pays, et non du texte européen.

Les trois obligations fondamentales

Obligation	Ce que cela signifie
S’enregistrer auprès de votre autorité nationale	Une fois que vous avez établi que vous entrez dans le champ d’application, vous devez déclarer votre entité auprès de l’autorité compétente de votre pays
Gérer votre risque cyber	Mettre en place les mesures techniques, opérationnelles et organisationnelles de l’article 21
Signaler les incidents significatifs	Notifier votre autorité dans les 24 heures (alerte précoce), 72 heures (notification d’incident) et un mois (rapport final)

Le non-respect vous expose à des amendes administratives pouvant aller jusqu’à 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 M€ ou 1,4 % pour les entités importantes — le montant le plus élevé étant retenu dans chaque cas.

Article 21(2) : les dix mesures

L’article 21 est le cœur de la directive, et la base de l’évaluation dans Stoïk Protect.

L’article 21(1) pose le principe : les mesures doivent être appropriées et proportionnées, suivre une approche tous risques et être adaptées à votre taille, à votre exposition et à la gravité des incidents que vous pourriez subir. Un fabricant de 60 personnes n’est pas censé mettre en place le même programme qu’un opérateur national de l’énergie.

L’article 21(2) énumère ensuite dix mesures minimales. Les dix domaines de l’évaluation :

	Mesure	Ce que la directive exige
(a)	Analyse des risques et politiques de sécurité des systèmes d’information	Une vision documentée de vos risques, et des politiques de sécurité écrites approuvées au bon niveau
(b)	Gestion des incidents	La capacité de détecter, qualifier, répondre aux incidents et les signaler
(c)	Continuité des activités	Gestion des sauvegardes, reprise après sinistre et gestion de crise
(d)	Sécurité de la chaîne d’approvisionnement	Sécurité dans vos relations avec les fournisseurs directs et les prestataires de services
(e)	Sécurité dans l’acquisition, le développement et la maintenance	Y compris la gestion et la divulgation des vulnérabilités
(f)	Évaluation de l’efficacité de vos mesures	Politiques et procédures permettant de vérifier que ce que vous avez mis en place fonctionne réellement
(g)	Pratiques de base en matière d’hygiène cyber et formation à la cybersécurité	Pour l’ensemble du personnel, pas seulement l’équipe IT
(h)	Cryptographie et chiffrement	Une politique précisant où et comment le chiffrement est utilisé
(i)	Sécurité RH, contrôle des accès et gestion des actifs	onboarding et offboarding, moindre privilège, inventaire des actifs
(j)	MFA et communications sécurisées	Authentification multifacteur ou continue, voix, vidéo et texte sécurisés, communications d’urgence

La directive nomme délibérément des thèmes, et non des contrôles. Elle ne vous dit pas quel EDR acheter, à quelle fréquence appliquer les correctifs, ni ce que doit contenir une politique de mots de passe. C’est pourquoi une évaluation comme celle de Stoïk Protect fonctionne au niveau d’actions concrètes — elle traduit chacun des dix thèmes en éléments que vous pouvez réellement vérifier ou mettre en place.

Lorsqu’il existe davantage de détails

Deux sources vont plus loin que la directive :

• Règlement d’exécution (UE) 2024/2690 de la Commission définit des exigences techniques et méthodologiques détaillées pour les mesures de l’article 21, ainsi que les critères permettant de qualifier un incident de significatif. Il s’applique à des entités numériques transfrontalières spécifiques : fournisseurs de DNS, registres TLD, fournisseurs de cloud et de centres de données, CDN, prestataires de services managés et de services de sécurité managés, places de marché en ligne et moteurs de recherche, réseaux sociaux et prestataires de services de confiance. Si vous en faites partie, ce règlement constitue votre référence plutôt que votre socle national.

• Référentiels nationaux. Les États membres publient leur propre ensemble de mesures. En France, ANSSI publie le Référentiel Cyber France (ReCyF), qui décline la directive en 20 objectifs de sécurité avec des exigences distinctes pour les entités importantes et essentielles. Ces référentiels sont plus détaillés que les dix domaines, et c’est sur eux qu’un audit s’appuiera.

Étape 1 : vérification de l’éligibilité

Ouvrez le onglet Conformité et allez à la carte NIS 2 . Trois champs déterminent votre résultat :

Champ	Options
Secteur d’activité	Les secteurs listés dans l’annexe I et l’annexe II de la directive, ainsi que Aucune des propositions ci-dessus
Effectif	Moins de 50 · Entre 50 et 250 · Plus de 250
Chiffre d’affaires consolidé	Moins de 10 M€ · Entre 10 M€ et 50 M€ · Plus de 50 M€

Les champs déjà connus de votre contrat d’assurance sont préremplis. Vous pouvez les modifier à tout moment avec Modifier bouton.

Si votre secteur est Infrastructures numériques ou Services TIC gérés, il vous est également demandé votre activité spécifique (fournisseur DNS, registre TLD, bureau d’enregistrement de noms de domaine, prestataire de services de confiance, communications électroniques publiques, informatique en nuage, centre de données, CDN, MSP/MSSP). Certaines de ces activités vous placent dans le champ d’application quelle que soit votre taille.

Seul votre chiffre d’affaires est demandé, pas votre total de bilan. La directive applique les seuils de taille de la Recommandation de la Commission 2003/361/CE, qui prend en compte l’un ou l’autre, donc nous demandons le plus simple des deux.

Comprendre votre résultat

	Entité essentielle	Entité importante	Non concerné
Supervision	Audit proactif par l’autorité	Audit déclenché par un incident	Aucune supervision NIS 2
Direction	Responsabilité personnelle (suspension de fonctions)	Responsabilité personnelle	Aucune responsabilité de direction NIS 2
Sanctions maximales	10 M€ ou 2 % du chiffre d’affaires mondial — le montant le plus élevé étant retenu	7 M€ ou 1,4 % du chiffre d’affaires mondial — le montant le plus élevé étant retenu	Aucune sanction administrative NIS 2
Notification des incidents	24 h / 72 h / 1 mois	24 h / 72 h / 1 mois	Aucune obligation de notification NIS 2
Délais	Fixés par la transposition de votre pays	Fixés par la transposition de votre pays	Aucune date limite d’enregistrement NIS 2

Les entités essentielles et importantes peuvent ensuite ouvrir l’évaluation complète avec Compléter l’évaluation complète.

Le résultat est indicatif. Il est fondé sur votre secteur, votre taille et votre activité numérique. Il ne tient pas compte des spécificités nationales telles qu’une désignation au titre de la directive CER, un ancien statut d’Operator of Essential Services, ou des secteurs supplémentaires ajoutés par votre État membre. Confirmez votre statut final auprès de votre autorité nationale ou de votre conseil juridique.

Étape 2 : l’évaluation

L’évaluation transforme les dix mesures de l’article 21(2) en 40 actions concrètes, soit quatre par domaine. Cochez ce que vous avez déjà mis en place.

Domaine	Article
Analyse des risques et politiques de sécurité	21(2)(a)
Gestion des incidents et notification	21(2)(b)
Continuité des activités et gestion de crise	21(2)(c)
Sécurité de la chaîne d’approvisionnement	21(2)(d)
Sécurité du cycle de vie et gestion des vulnérabilités	21(2)(e)
Évaluation de l’efficacité	21(2)(f)
Hygiène cyber et formation	21(2)(g)
Cryptographie et chiffrement	21(2)(h)
Sécurité RH, contrôle des accès et actifs	21(2)(i)
MFA et communications sécurisées	21(2)(j)

Actions couvertes par vos outils Stoïk

Ces cinq actions sont cochées automatiquement lorsque l’outil correspondant est actif :

Action	Couvert par
Lancez régulièrement des analyses de vulnérabilités sur les systèmes internes et externes	Scan Externe · AD Scan · Scan Cloud
Surveillez les identifiants divulgués liés aux comptes de l’entreprise	Identifiants
Menez des campagnes de simulation de phishing	Simulation
Déployez régulièrement des formations de sensibilisation à la cybersécurité pour l’ensemble du personnel	Apprentissage
Mettez en place des outils de détection pour repérer les incidents tôt	Stoïk MDR

Avertissement

Cet outil NIS2 est fourni uniquement à des fins d’information générale et d’orientation. Il est destiné à donner aux courtiers et aux clients une indication préliminaire quant à savoir si une entreprise peut relever du champ d’application de la directive NIS2 et des obligations qui y sont liées.

Les résultats générés par cet outil sont fondés sur les informations fournies par l’utilisateur et sur la compréhension actuelle qu’a Stoïk de la législation applicable, laquelle peut faire l’objet de modifications ou d’interprétations différentes au niveau national. Cet outil ne constitue pas un conseil juridique et ne doit pas être utilisé comme substitut à une analyse juridique réalisée par un professionnel qualifié.

Stoïk ne fait aucune déclaration ni garantie, expresse ou implicite, quant à l’exactitude, l’exhaustivité ou l’actualité des informations ou des résultats fournis, et n’assume aucune responsabilité pour les décisions prises ou les actions engagées sur la base de l’utilisation de cet outil.

Ressources officielles

Textes européens

Source	Ce que cela couvre
Directive (UE) 2022/2555	La directive elle-même : critères de champ d’application (art. 2, 3), responsabilité de la direction (art. 20), mesures de gestion des risques (art. 21), obligations de signalement (art. 23), sanctions (art. 34) et listes sectorielles (annexe I et II)
Règlement d’exécution (UE) 2024/2690 de la Commission	Exigences techniques détaillées pour l’article 21, et critères d’un incident significatif, pour les entités numériques transfrontalières
Recommandation de la Commission 2003/361/CE	La définition des micro, petites et moyennes entreprises utilisée pour déterminer votre catégorie de taille
Directive NIS 2 — Commission européenne	Vue d’ensemble, FAQ et état des transpositions nationales
ENISA — directive NIS	Orientations et documentation technique de mise en œuvre de l’agence de cybersécurité de l’UE

Autorités nationales

Pays	Autorité
France	ANSSI
Allemagne	BSI
Belgique	Centre pour la cybersécurité Belgique
Pays-Bas	Centre de confiance numérique
Espagne	INCIBE

L’enregistrement auprès de votre autorité nationale, ainsi que les délais qui s’appliquent à vous, sont fixés par la transposition de votre pays. Consultez la page de votre autorité nationale pour connaître l’état actuel.