La directive NIS2 élargit le cadre européen de cybersécurité. En France, les entreprises concernées doivent suivre la transposition nationale et préparer leur gouvernance, leurs risques et leurs preuves.
Rédaction : Cybersécurité Solution.
Synthèse documentaire préparée à partir des sources institutionnelles et des documentations officielles citées dans l’article. Consulter notre méthodologie éditoriale.
Vérification éditoriale : 12 août 2026. Ce contenu a une vocation informative et ne constitue pas un conseil technique personnalisé.
Cette page présente des informations générales issues de publications officielles. Cybersécurité Solution ne réalise aucune intervention technique et ne fournit pas de conseil personnalisé. Chaque environnement doit être examiné selon son contexte par un professionnel compétent.
NIS2 élargit le nombre d’organisations soumises à des exigences renforcées de gouvernance, de gestion des risques et de déclaration des incidents cyber. En France, l’ANSSI indique au 12 août 2026 que la transposition nationale est toujours en cours et invite les futures entités essentielles et importantes à anticiper leur mise en conformité. L’ANSSI met également à disposition le Référentiel Cyber France (ReCyF) depuis le 17 mars 2026.
Une PME ne peut pas conclure qu’elle est hors périmètre uniquement à partir de son effectif. Le secteur, la nature du service, les liens avec un groupe, certaines exceptions et la réglementation nationale peuvent modifier l’analyse.
En France, l’ANSSI publie les informations de transposition et met à disposition des outils de préparation. Depuis mars 2026, elle présente notamment le Référentiel Cyber France, ou ReCyF, comme document de travail permettant d’anticiper les objectifs de sécurité.
Cette page fournit une lecture générale et ne constitue pas une qualification juridique. Une entreprise qui pourrait être concernée doit vérifier les textes, les outils officiels et, si nécessaire, solliciter les professionnels compétents.
L’ANSSI indique que la transposition de NIS2 en France est toujours en cours. Elle invite les futures entités essentielles et importantes à renforcer dès maintenant leur niveau de sécurité. Depuis le 17 mars 2026, le Référentiel Cyber France (ReCyF) est mis à disposition comme document de travail pour préparer les objectifs de sécurité.
La directive européenne est entrée en vigueur en octobre 2024, mais l’ANSSI précise que la publication de l’ensemble des textes de transposition français n’est pas encore achevée. Une entreprise ne doit donc pas présenter comme définitivement applicables des détails nationaux qui restent liés aux textes à venir.
En pratique, l’ANSSI propose déjà des ressources de préparation, un pré-enregistrement et le ReCyF. Pour une PME susceptible d’entrer dans le périmètre, l’approche la plus prudente consiste à documenter son secteur, sa taille, ses services, ses dépendances et les mesures déjà en place.
La directive distingue notamment les entités essentielles et importantes. Cette classification influence le régime de supervision et de sanctions, mais ne réduit pas la cybersécurité à une formalité d’enregistrement.
Les catégories reposent sur les secteurs, la taille et certaines situations spécifiques. Les fournisseurs de services numériques, l’énergie, la santé, les transports, l’industrie ou la gestion de services critiques peuvent être concernés selon leur activité exacte.
Le code NAF ou la description commerciale ne suffit pas toujours. Il faut examiner le service réellement fourni, les clients, la dépendance de la société à un groupe et les fonctions qui pourraient entrer dans le champ national.
Une entreprise non directement assujettie peut aussi recevoir des exigences de clients concernés. Les questionnaires fournisseurs et clauses contractuelles deviennent alors un levier de diffusion des attentes NIS2.
NIS2 insiste sur la responsabilité des organes de direction. La préparation implique de connaître les risques, d’approuver les mesures, de suivre les incidents et de disposer d’informations compréhensibles pour décider.
Un tableau de bord limité au nombre d’alertes ne suffit pas. La direction doit pouvoir relier les risques aux activités critiques, aux dépendances, aux coûts et aux plans de traitement.
Les thèmes couvrent notamment l’analyse des risques, la gestion des incidents, la continuité, la sécurité de la chaîne d’approvisionnement, les vulnérabilités, les accès, la cryptographie et la sensibilisation.
Le ReCyF publié par l’ANSSI constitue une ressource de préparation. Son statut et son application doivent être suivis sur le site officiel au fil de la transposition.
Une organisation doit être capable d’identifier un événement significatif, d’en mesurer les conséquences et de mobiliser les personnes responsables. Cela suppose des contacts, des journaux, des critères et des procédures testées.
Les délais et modalités exacts doivent être vérifiés dans le cadre national applicable. Il est prudent de préparer dès maintenant les informations nécessaires : chronologie, services touchés, impact, mesures et interlocuteurs.
Les politiques, comptes rendus de comité, inventaires, analyses, tests, contrats et actions correctives permettent de démontrer que la démarche est pilotée. Ils doivent refléter la réalité plutôt qu’une documentation créée uniquement pour un contrôle.
Une feuille de route peut commencer par les activités critiques, les accès privilégiés, les sauvegardes, les prestataires et la gestion d’incident. Ces fondations sont utiles même si l’entreprise n’est finalement pas assujettie.
Une entreprise qui pourrait entrer dans le périmètre peut commencer par réunir des éléments utiles quelle que soit l’issue juridique : liste des activités critiques, cartographie des prestataires, responsabilités de direction, incidents significatifs et décisions de traitement. Cette préparation réduit le temps nécessaire si un enregistrement ou un contrôle devient applicable.
Le dossier doit être lisible par la direction. Il relie chaque mesure à un risque, un responsable, une échéance et une preuve. Une collection de politiques copiées ne démontre pas que les sauvegardes sont restaurables ou que les accès d’un fournisseur sont revus.
Les publications de l’ANSSI doivent être suivies dans le temps. Les critères, outils et référentiels peuvent évoluer avec le cadre français ; la date de vérification des sources est donc indiquée dans les analyses internes.
Chaque entreprise possède un environnement, des contrats et des contraintes différents. Vous pouvez décrire votre besoin de manière factuelle, sans transmettre de mot de passe ni de donnée sensible. Avec votre accord, vos coordonnées pourront être transmises à un partenaire indépendant, qui reste seul responsable de son analyse, de ses tarifs et des suites proposées.
Accéder au formulaireMonEspaceNIS2 centralise les informations officielles d’accompagnement et permet de commencer l’évaluation du périmètre. Il ne remplace pas une analyse juridique lorsque la situation d’une entreprise est complexe, mais il constitue le point de départ officiel pour vérifier les critères, suivre la transposition et préparer l’enregistrement.
Cette checklist est une préparation documentaire, pas une attestation de conformité. Les obligations définitives doivent être vérifiées sur les textes français applicables et les ressources officielles de l’ANSSI.
La première étape NIS2 n’est pas l’achat d’un outil, mais la vérification du périmètre et la mise en ordre de la gouvernance. Les mesures techniques prennent leur sens lorsqu’elles répondent à des risques, à des responsabilités et à des preuves attendues.
Les informations françaises continuant d’évoluer, la page officielle de l’ANSSI et MonEspaceNIS2 doivent rester les références. Une PME peut néanmoins anticiper sans attendre en améliorant son inventaire, sa continuité, ses accès et sa chaîne de sous-traitance.
Non. Le champ dépend notamment du secteur, de la taille et de certaines exceptions. Une analyse précise de l’activité reste nécessaire.
Le Référentiel Cyber France est présenté par l’ANSSI comme un document de travail regroupant des mesures pour atteindre les objectifs de sécurité associés à NIS2.
Non. Ses clients ou partenaires peuvent lui imposer des exigences de sécurité, et les mesures de base restent utiles pour sa propre résilience.
Non. Les deux cadres ont des objectifs et obligations distincts, même si un incident peut déclencher des démarches relevant des deux.
Non. Au 12 août 2026, l’ANSSI indique que la transposition de NIS2 en France est en cours et invite les futures entités concernées à se préparer dès maintenant.
Ces ressources publiques ont servi à vérifier et à contextualiser les informations présentées.
Liens vérifiés le 12 août 2026.