Classez votre entité et suivez les mesures de gestion des risques de cybersécurité de l'article 21. Respectez les délais de notification des incidents NIS2 de 24 heures, 72 heures et un mois — dans un espace de travail unique.
Qui doit se conformer
Entités moyennes et grandes des secteurs des annexes I/II (plus de 50 employés ou plus de 10 M€ de chiffre d'affaires)
En vigueur depuis
S'applique à partir du 18 octobre 2024 (art. 41, par. 1)
Amendes maximales
Plafond d'au moins 10 M€ ou 2% du chiffre d'affaires (essentielles), 7 M€ ou 1,4% (importantes)
Le champ d'application suit l'article 2 lu conjointement avec les annexes I et II. Certaines entités — telles que les fournisseurs de services DNS, les registres de noms de domaine de premier niveau (TLD) et les prestataires de services de confiance qualifiés — sont couvertes quelle que soit leur taille. Il s'agit d'une orientation et non d'un conseil juridique ; vérifiez votre situation auprès d'un conseil.
NIS2 relève le niveau d'exigence en matière de gestion des cyber-risques et de notification des incidents pour les organisations concernées dans toute l'UE. Les principales obligations :
Mettre en place des mesures techniques, opérationnelles et organisationnelles appropriées, proportionnées aux risques encourus. Cela inclut l'analyse des risques, le traitement des incidents, la continuité des activités, le chiffrement, le contrôle d'accès et plus encore.
Notifier un incident important à votre CSIRT ou à l'autorité compétente dans des délais stricts. Envoyer une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final sous un mois.
Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation — et peuvent être tenus responsables en cas de non-conformité.
Évaluer et traiter les risques de cybersécurité tout au long de votre chaîne d'approvisionnement et de vos relations avec les fournisseurs, y compris les pratiques de sécurité de vos fournisseurs directs de services TIC.
Transformez la directive en un programme suivi et étayé par des preuves — sans tableurs.
Suivez chaque mesure de gestion des risques de référence par rapport à votre situation actuelle, avec des preuves et une visibilité claire des écarts.
Enregistrez les incidents importants et laissez calculer automatiquement les délais de 24 h / 72 h / un mois. Les notifications aux autorités arrivent préremplies et sont acheminées vers votre contact CSIRT.
Définissez le niveau de votre entité afin que les rappels, l'acheminement des notifications et les obligations appropriés s'appliquent à votre organisation.
Réutilisez les contrôles NIS2 sur le RGPD, DORA et le règlement IA de l'UE grâce au moteur de correspondance des référentiels — documentez une fois, répondez à plusieurs cadres.
NIS2 s'applique aux entités moyennes et grandes (en gros, plus de 50 employés ou plus de 10 M€ de chiffre d'affaires). Elles relèvent du champ d'application lorsqu'elles opèrent dans les secteurs hautement critiques de l'annexe I ou les autres secteurs critiques de l'annexe II. Certains types d'entités relèvent du champ d'application quelle que soit leur taille. Exemples : fournisseurs de services DNS, registres des noms de domaine de premier niveau (TLD) et prestataires de services de confiance qualifiés.
Les États membres devaient transposer la directive (UE) 2022/2555 dans leur droit national au plus tard le 17 octobre 2024, en remplacement de la directive NIS initiale. Les obligations s'appliquent via la législation de transposition de chaque pays.
Les entités essentielles sont surtout les grandes entreprises des secteurs de l'annexe I, qui dépassent les plafonds applicables aux moyennes entreprises. Certaines entités sont essentielles quelle que soit leur taille. Ce sont les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS. Sont aussi des entités essentielles les fournisseurs publics de communications électroniques de taille moyenne, l'administration publique centrale et les entités critiques. Il en va de même pour toute entité qu'un État membre identifie comme essentielle. Toutes les autres entités de l'annexe I ou II qui relèvent du champ d'application sont des entités importantes. Une moyenne entreprise d'un secteur de l'annexe I est donc en général une entité importante, et non essentielle. Les entités essentielles font l'objet d'une surveillance proactive ; les entités importantes sont surveillées de manière réactive. Les deux doivent respecter les obligations de gestion des risques et de notification ; les amendes maximales diffèrent.
Notifiez tout incident important au CSIRT national ou à l'autorité compétente, selon trois échéances. Envoyez une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final sous un mois.
Chaque État membre fixe l'amende maximale. Pour les entités essentielles, elle doit être d'au moins 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial total. Le montant le plus élevé est retenu. Pour les entités importantes : au moins 7 millions d'euros ou 1,4%. Les organes de direction peuvent également être tenus personnellement responsables.
Faites l'auto-évaluation gratuite pour estimer votre périmètre et vos obligations NIS2 en quelques minutes — sans créer de compte.