Qu'est-ce que NIS2 ? La directive européenne sur la cybersécurité en mots simples
NIS2 est la directive (UE) 2022/2555. Elle oblige les entreprises de 18 secteurs, en règle générale à partir de 50 salariés ou avec plus de 10 millions d'euros chacun de chiffre d'affaires et de total de bilan, à s'enregistrer, à prendre des mesures de sécurité dans dix domaines et à notifier les incidents importants. La direction en est responsable. Chaque pays de l'UE transpose la directive dans sa propre loi ; en Allemagne, elle s'applique depuis le 6 décembre 2025 par la loi BSI (BSIG).
Une directive européenne
NIS2 désigne la deuxième directive sur la sécurité des réseaux et des systèmes d'information. Elle a été publiée au Journal officiel de l'UE le 27 décembre 2022 et est entrée en vigueur le 16 janvier 2023.
Son but est un niveau élevé commun de cybersécurité dans toute l'UE. Elle remplace la première directive NIS (UE) 2016/1148, abrogée le 18 octobre 2024.
Une directive ne s'applique pas directement aux entreprises. Chaque pays de l'UE la transpose dans sa propre loi. Le délai pour cela était le 17 octobre 2024. Les obligations de votre entreprise ne naissent qu'avec cette loi nationale.
Art. 1, 41, 44 et 45 NIS 2
Qui est concerné
Une entreprise est concernée si elle exerce dans l'un des 18 secteurs des annexes I et II et si elle est au moins de taille moyenne : à partir de 50 salariés, ou avec un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun.
Certains fournisseurs sont concernés quelle que soit leur taille, comme les fournisseurs de télécommunications, de services de confiance, de domaines de premier niveau et de DNS. Les États membres peuvent identifier d'autres entités.
Art. 2 et 3 NIS 2 · Recommandation 2003/361/CE
Annexe I : secteurs hautement critiques
- 01Énergie
- 02Transports
- 03Secteur bancaire
- 04Infrastructures des marchés financiers
- 05Santé
- 06Eau potable
- 07Eaux usées
- 08Infrastructure numérique, comme le cloud, les centres de données et les télécommunications
- 09Gestion des services TIC pour les entreprises, comme les services gérés
- 10Administration publique
- 11Espace
Annexe II : autres secteurs critiques
- 01Services postaux et d'expédition
- 02Gestion des déchets
- 03Fabrication, production et distribution de produits chimiques
- 04Denrées alimentaires : commerce de gros, production industrielle et transformation
- 05Fabrication, comme les machines, l'électronique, les dispositifs médicaux et les véhicules
- 06Fournisseurs numériques : places de marché en ligne, moteurs de recherche, réseaux sociaux
- 07Recherche
Entités essentielles et importantes
La directive répartit les entreprises concernées en deux groupes. La taille se compte selon la recommandation 2003/361/CE ; les entreprises liées et partenaires peuvent aussi compter.
| Taille | Quand | Résultat |
|---|---|---|
| Petite | Moins de 50 salariés, et chiffre d'affaires ou total de bilan de 10 M€ ou moins | En règle générale non concernée |
| Moyenne | À partir de 50 salariés, ou chiffre d'affaires et total de bilan de plus de 10 M€ chacun | Entité importante |
| Grande | À partir de 250 salariés, ou chiffre d'affaires de plus de 50 M€ et total de bilan de plus de 43 M€ | Annexe I : entité essentielle. Annexe II : entité importante |
Les obligations sont les mêmes pour les deux groupes. La supervision diffère : l'autorité peut contrôler les entités essentielles sans motif particulier, les entités importantes a posteriori, en présence d'indices d'un manquement (art. 32 et 33 NIS 2).
Les quatre obligations
S'enregistrer
Vous déclarez votre entreprise à l'autorité compétente : nom, adresse, coordonnées, plages d'adresses IP, secteur et pays où vous exercez. Vous signalez les changements dans les deux semaines.
Art. 3(4) NIS 2
Prendre des mesures de sécurité
Des mesures dans dix domaines, de la gestion des incidents aux sauvegardes et à la chaîne d'approvisionnement, jusqu'au second facteur à la connexion. Leur degré d'approfondissement dépend du risque, de la taille et du coût.
Art. 21 NIS 2
Notifier les incidents importants
Une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures et un rapport final un mois après la notification.
Art. 23 NIS 2
La direction
La direction approuve les mesures, supervise leur mise en œuvre et suit une formation. Elle peut être tenue responsable des manquements.
Art. 20 NIS 2
Ce qui s'applique en cas de manquement
La directive oblige chaque pays à prévoir des amendes d'un maximum d'au moins 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial (entités essentielles), et de 7 millions d'euros ou 1,4 pour cent pour les entités importantes, le montant le plus élevé étant retenu.
La loi allemande fixe les plafonds à 10 et 7 millions d'euros. Un pourcentage du chiffre d'affaires n'y entre en jeu qu'au-delà de 500 millions d'euros de chiffre d'affaires (§ 65 BSIG).
Pour les entités essentielles, une personne de la direction peut, en dernier recours, se voir interdire temporairement d'exercer des fonctions de direction. La directive ne le prévoit pas pour les entités importantes.
Lors de notre dernière vérification en août 2026, le BSI n'avait publié aucune amende au titre du nouveau BSIG.
Art. 32(5) et art. 34 NIS 2 · § 65 BSIG
Les amendes en Allemagne en détailCe qui a changé par rapport à NIS 1
Sous la première directive NIS, les États membres décidaient en grande partie eux-mêmes quels opérateurs étaient couverts. Avec NIS2, ce sont le secteur et la taille qui décident, et les entreprises vérifient elles-mêmes si elles sont concernées.
Sont nouveaux, entre autres, des secteurs supplémentaires, des délais de notification fixes en trois étapes, les obligations de la direction et une liste minimale de dix domaines qui inclut la chaîne d'approvisionnement.
Art. 2, 20, 21, 23 et 44 NIS 2
En Allemagne et dans les autres pays de l'UE
En Allemagne, NIS2 s'applique par le NIS2UmsuCG, qui a réécrit la loi BSI. Il est entré en vigueur le 6 décembre 2025. L'autorité compétente est le BSI. L'entité essentielle y est appelée « besonders wichtige Einrichtung » (entité particulièrement importante).
Dans les autres pays de l'UE, c'est la loi nationale qui s'applique, aux Pays-Bas par exemple la Cyberbeveiligingswet. Le pays compétent est celui où votre entreprise est établie.
Art. 26 NIS 2 · BGBl. 2025 I n° 301
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Dans l'un des 18 secteurs, une telle entreprise est en général une entité importante. À cette taille, elle n'est essentielle que par exception : dans un secteur de l'annexe I avec plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan, comme fournisseur de télécommunications, ou si le pays l'identifie comme telle.
Elle a les mêmes quatre obligations qu'une grande entreprise. Mais les mesures ne doivent être qu'aussi approfondies que l'exigent le risque, la taille et le coût.
L'autorité ne contrôle une entité importante qu'en présence d'indices d'un manquement.
Art. 3, 21(1) et 33 NIS 2
Un exemple
Une entreprise fictive : un fabricant de machines d'emballage de 110 salariés en Allemagne.
La construction de machines fait partie de la fabrication à l'annexe II. Avec 110 salariés, l'entreprise est une entité importante.
Elle s'enregistre auprès du BSI, l'autorité compétente en Allemagne.
Elle note avec quoi elle travaille, décide des mesures dans les dix domaines et consigne dans un plan de réponse aux incidents qui notifie un incident.
Le gérant suit une formation, lit les documents et les approuve.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu vous fait passer étape par étape par les obligations.
20 étapes. Les exploitants d'installations critiques ont une étape de plus.
À côté de chaque étape figure le texte de loi, expliqué avec des mots simples.
L'enregistrement, les mesures, la notification et la formation de la direction sont des étapes à part entière.
L'étape de l'enregistrement indique l'autorité compétente pour votre pays et son portail.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte. Le nom et la date figurent ensuite sur chaque document.
Questions fréquentes
Qu'est-ce que NIS2 en termes simples ?
Une directive européenne sur la cybersécurité. Elle oblige les entreprises de secteurs importants à s'enregistrer, à protéger leur informatique de manière appropriée et à notifier rapidement les incidents importants. La direction en est responsable.
NIS2 est-elle une loi ?
NIS2 est une directive. Elle s'adresse aux pays de l'UE, qui la transposent dans leur propre loi. En Allemagne, c'est la loi BSI (BSIG) telle que modifiée par le NIS2UmsuCG.
À qui s'applique NIS2 ?
Aux entreprises des 18 secteurs des annexes I et II qui sont au moins de taille moyenne : à partir de 50 salariés ou avec plus de 10 millions d'euros chacun de chiffre d'affaires et de total de bilan. Certains fournisseurs, comme les fournisseurs de DNS ou de services de confiance, sont concernés quelle que soit leur taille.
Depuis quand NIS2 s'applique-t-elle ?
La directive est en vigueur depuis le 16 janvier 2023. Pour les entreprises, elle s'applique par la loi de leur pays, en Allemagne depuis le 6 décembre 2025.
Que signifie NIS ?
Network and information systems, c'est-à-dire réseaux et systèmes d'information. NIS2 est la deuxième directive sur leur sécurité.
Sources
- Directive (UE) 2022/2555 (NIS 2), art. 1 à 3, 20, 21, 23, 26, 32 à 34, 41, 44, 45 et annexes I et II, EUR-Lex
- Recommandation 2003/361/CE de la Commission, EUR-Lex
- Loi BSI (BSIG) § 65, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n° 301
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
