Aller au contenu

NIS2 et conformité réglementaire

Analyse du périmètre applicable, évaluation des écarts, définition des priorités et préparation d'une feuille de route.

La directive (UE) 2022/2555, dite NIS2, étend les obligations de cybersécurité à un grand nombre d'organisations, classées en entités essentielles ou importantes selon leur secteur d'activité et leur taille. En France, sa transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, par ses textes d'application et par les référentiels de l'ANSSI.

Savoir si une organisation est concernée ne se décrète pas. Cela suppose d'examiner son activité, ses effectifs, son chiffre d'affaires, son appartenance éventuelle à un groupe et les textes en vigueur. Nous commençons toujours par cette analyse avant de parler de mise en conformité.

Sans être directement assujetties, de nombreuses PME reçoivent déjà des questionnaires de sécurité de clients qui, eux, le sont. Nous vous aidons à y répondre de manière structurée et honnête.

Les situations auxquelles nous répondons

  • Vous ne savez pas si votre organisation entre dans le champ de NIS2.
  • Un client vous demande des garanties de sécurité au titre de sa propre conformité.
  • Vous devez présenter à la direction les obligations, les échéances et les moyens à prévoir.
  • Vous devez articuler plusieurs cadres : NIS2, ISO 27001, RGPD, homologation de sécurité.

Les étapes de l'accompagnement

  1. Analyser le périmètre applicable

    Secteur, taille, activités, liens capitalistiques : nous documentons le statut probable de votre organisation et les hypothèses retenues.

  2. Évaluer les écarts

    Comparaison de vos pratiques avec les mesures de gestion des risques attendues : gouvernance, gestion des incidents, continuité d'activité, chaîne d'approvisionnement, contrôle des accès.

  3. Définir les priorités

    Classement des actions selon le risque couvert, l'effort nécessaire et les échéances réglementaires.

  4. Préparer la feuille de route

    Actions, responsables, charges et jalons, dans un format présentable à la direction.

  5. Accompagner la mise en œuvre

    Suivi du plan, rédaction des procédures, préparation à la notification des incidents.

Le calendrier de transposition et le contenu des textes d'application évoluent. Les informations de cette page sont générales et ont été revues en octobre 2026. Pour l'état du droit applicable, référez-vous à Légifrance et au site de l'ANSSI (cyber.gouv.fr).

Livrables possibles

Les livrables sont arrêtés avec vous avant le démarrage, en fonction de votre besoin et de ce qui existe déjà.

  • Note d'analyse d'applicabilité et ses hypothèses
  • Rapport d'évaluation des écarts
  • Feuille de route priorisée
  • Synthèse pour la direction
  • Procédure de gestion et de notification des incidents
  • Trame de réponse aux questionnaires de sécurité des clients

Autres cadres réglementaires

Nous intervenons également sur l'homologation de sécurité des systèmes d'information et sur le volet sécurité du RGPD, en veillant à mutualiser les travaux : une même analyse de risques ou une même politique peut répondre à plusieurs exigences.

Questions fréquentes

Mon entreprise est-elle soumise à NIS2 ?

Il n'est pas possible de répondre sans analyse. Les critères tiennent au secteur d'activité (annexes I et II de la directive), à la taille de l'entité et, pour certaines activités, à leur nature quelle que soit la taille. L'appartenance à un groupe peut aussi modifier le calcul des seuils. C'est l'objet de la première étape de notre accompagnement.

Quelles obligations la directive prévoit-elle ?

Elle prévoit notamment des mesures de gestion des risques (article 21), la notification des incidents importants à l'autorité nationale avec une alerte précoce sous 24 heures puis une notification sous 72 heures (article 23), et l'implication des organes de direction (article 20). Les modalités précises en France dépendent des textes de transposition.

ISO 27001 suffit-elle pour être conforme à NIS2 ?

Un SMSI certifié ISO 27001 constitue une base solide, car il couvre une grande partie des mesures attendues. Il ne vaut pas conformité : le périmètre certifié peut être plus étroit que celui visé par la réglementation, et certaines obligations, comme la notification des incidents, sont propres à NIS2.