Transposition de NIS2 en Europe : quels pays ont transposé NIS2
Le délai de transposition était le 17 octobre 2024. Aujourd'hui, une loi nationale s'applique dans 24 des 27 pays de l'UE. Toujours sans loi : France, Espagne et Irlande. Votre entreprise relève de la loi du pays où elle est établie ; c'est là que vous vous enregistrez.
Autorité, portail et délai par pays
Les tableaux sont regroupés selon l'état de l'enregistrement. Chaque pays indique sa loi et son délai.
22
Opérationnel
1
Pré-enregistrement
0
Planifié
4
Pas encore disponible
| Pays | Autorité compétente | Portail d'enregistrement | Échéance d'enregistrement | Loi nationale |
|---|---|---|---|---|
| Allemagne | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| Belgique | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Italie | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Autriche | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| République tchèque | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NÚKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Danemark | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Pays-Bas | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Pologne | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Suède | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Pas encore disponible | À déterminer | Cybersäkerhetslagen (SFS 2025:1506) |
| Croatie | NHCSC-HR (National Cybersecurity Center) | Pas encore disponible | À déterminer | Zakon o kibernetičkoj sigurnosti |
| Lituanie | NKSC (National Cybersecurity Center) | Pas encore disponible | À déterminer | Kibernetinio saugumo įstatymas |
| Lettonie | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Pas encore disponible | 2025-04-01 | Nacionālās kiberdrošības likums |
| Grèce | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Slovaquie | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | À déterminer | Zákon o kybernetickej bezpečnosti |
| Roumanie | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finlande | Traficom + sector authorities (NCSC-FI as national CSIRT) | Pas encore disponible | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estonie | RIA (Riigi Infosüsteemi Amet) | Pas encore disponible | 2026-03-31 | Küberturvalisuse seadus |
| Portugal | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Hongrie | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Pas encore disponible | À déterminer | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Luxembourg | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malte | CIPD (Critical Infrastructure Protection Department) | Pas encore disponible | À déterminer | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Slovénie | URSIV (Information Security Agency) | Pas encore disponible | 2025-12-19 | ZInfV-1 (Information Security Act) |
| Pays | Autorité compétente | Portail d'enregistrement | Échéance d'enregistrement | Loi nationale |
|---|---|---|---|---|
| France | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | À déterminer | Loi Résilience (bundles NIS2 + DORA + CER) |
| Pays | Autorité compétente | Portail d'enregistrement | Échéance d'enregistrement | Loi nationale |
|---|---|---|---|---|
| Espagne | CCN-CERT / INCIBE | Pas encore disponible | À déterminer | Pas encore promulguée |
| Bulgarie | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Pas encore disponible | À déterminer | Cybersecurity Act (amended) |
| Chypre | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | À déterminer | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Irlande | NCSC (National Cyber Security Centre) | Pas encore disponible | À déterminer | National Cyber Security Bill (draft) |
Quel pays est compétent pour votre entreprise
Le pays compétent est l'État membre de l'UE où votre entreprise est établie. C'est là que vous vous enregistrez et que vous notifiez les incidents.
Livrer dans un pays ne le rend pas compétent. Une filiale dans un autre pays de l'UE y est établie ; la loi de ce pays s'applique à elle.
Des exceptions s'appliquent aux télécommunications, qui relèvent du pays où elles fournissent leurs services, et à certains fournisseurs numériques comme le cloud, les centres de données et les services gérés. Pour eux, c'est l'établissement principal dans l'UE qui compte : le pays où les décisions de cybersécurité sont principalement prises.
Art. 26(1) et (2) NIS 2
Ce qui est identique partout, et ce qui ne l'est pas
La liste minimale des mesures de sécurité et les délais de notification, 24 heures, 72 heures et un mois, figurent dans la directive elle-même. Chaque pays doit les reprendre.
Ce qui diffère, c'est l'autorité, le portail, le délai d'enregistrement et certains détails. Un pays peut adopter des règles plus strictes.
Art. 5, 21 et 23 NIS 2
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Si votre entreprise est établie uniquement en Allemagne, c'est la loi BSI qui s'applique à vous, même si vous livrez dans d'autres pays.
Si elle a des filiales dans d'autres pays de l'UE, vérifiez pour chacune si elle est concernée selon la loi de ce pays. Pour la taille, les entreprises liées et partenaires comptent selon la recommandation 2003/361/CE.
Vous pouvez mettre en place les mesures en commun. Chaque société doit s'enregistrer et notifier dans son propre pays.
Un exemple
Une entreprise fictive : un fabricant d'instruments de mesure de 130 salariés en Allemagne, avec une filiale commerciale de 12 salariés en Autriche.
La fabrication de produits électroniques et optiques figure à l'annexe 2 du BSIG. La GmbH allemande est une entité importante et s'enregistre auprès du BSI.
La société autrichienne est une société à part entière. Qu'elle soit concernée selon la loi autrichienne dépend de son secteur et de sa taille, la société mère étant prise en compte.
L'entreprise livre des clients en France et en Italie depuis l'Allemagne. Elle n'a pas à s'y enregistrer pour cela.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu demande où votre entreprise est établie et s'y conforme.
L'étape de l'enregistrement indique l'autorité compétente pour votre pays et son portail.
Elle explique dans quel pays de l'UE vous vous enregistrez, avec les exceptions pour les télécommunications et les fournisseurs numériques.
Les mesures de sécurité suivent la liste minimale de la directive, qui s'applique dans chaque pays de l'UE.
Les explications du parcours guidé sont disponibles en allemand et en anglais.
Questions fréquentes
Quels pays ont transposé NIS2 ?
Une loi nationale s'applique dans 24 des 27 pays de l'UE. Toujours sans loi : France, Espagne et Irlande. Les tableaux ci-dessus indiquent pour chaque pays la loi, l'autorité, le portail et le délai.
Dois-je m'enregistrer dans chaque pays où je livre ?
Non. Le pays compétent est celui où votre entreprise est établie (art. 26(1) NIS 2). Une filiale dans un autre pays s'y enregistre si elle y est concernée.
Existe-t-il un registre pour toute l'UE ?
Non. Chaque pays tient le sien. Pour certains fournisseurs numériques comme le cloud et les centres de données, l'ENISA tient en plus un registre (art. 27 NIS 2).
Qu'est-ce qui s'applique dans un pays qui n'a pas encore transposé NIS2 ?
La directive s'adresse aux États membres. Les obligations des entreprises ne naissent qu'avec la loi nationale. D'ici là, des règles plus anciennes issues de la première directive NIS peuvent encore s'y appliquer.
Sources
- Directive (UE) 2022/2555 (NIS 2), art. 5, 21, 23, 26, 27 et 41, EUR-Lex
- Recommandation 2003/361/CE de la Commission, EUR-Lex
- Lois, autorités et portails par pays : les informations propres des autorités nationales, liées dans les tableaux
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
