NIS2 arrive ! 15 000 entreprises Françaises ne sont pas prêtes.

Et pourtant, les amendes sont déjà écrites : 10 millions d'euros ou 2 % du CA mondial pour les entités essentielles. 7 millions ou 1,4 % pour les importantes. Avec une nouveauté qui change tout : les dirigeants sont personnellement responsables.

Ce n'est plus un sujet IT. C'est un sujet de comité de direction.

Ce qui a changé avec NIS2

NIS1 concernait quelques centaines d'opérateurs critiques. NIS2 fait exploser le périmètre : énergie, santé, transports, cloud, industrie, agroalimentaire, recherche, administrations… 18 secteurs. En France, entre 15 000 et 18 000 entités sont concernées.

Le Sénat a adopté le projet de loi de transposition en mars 2025. Le passage à l'Assemblée nationale est prévu début 2026. Les entités auront ensuite trois ans pour se conformer.

Trois ans, ça paraît confortable. Ça ne l'est pas.

Ce que NIS2 exige concrètement

→ Une gouvernance cyber portée par la direction, pas déléguée à un stagiaire → Une analyse de risques documentée et proportionnée → Des mesures techniques et organisationnelles vérifiables → Une notification des incidents à l'ANSSI sous 24 à 72 heures → Une maîtrise des risques fournisseurs : cartographie, clauses, audits

L'ANSSI a défini 20 objectifs de sécurité pour les entités essentielles, 15 pour les importantes. Le directeur général de l'ANSSI, Vincent Strubel, a été clair : les analyses de risques doivent commencer maintenant. Le paysage de menaces n'attend pas la loi.

ISO 27001 aide. Mais ne suffit pas.

Beaucoup pensent que leur certification ISO 27001 les protège. L'ANSSI a tranché : ISO 27001 seule ne couvre que 2 des 20 objectifs NIS2 pour les entités essentielles. C'est un socle. Pas une ligne d'arrivée.

Un SMSI structuré reste un atout majeur — analyse de risques, gestion des incidents, amélioration continue. Mais il faut l'inscrire dans une démarche de conformité globale, pas cocher une case.

Le vrai risque, ce n'est pas l'amende

C'est de découvrir votre niveau de maturité le jour d'un incident. Ou pire : le jour d'un contrôle.

NIS2 ne punit pas les entreprises attaquées. Elle punit celles qui n'ont rien anticipé.

La différence entre une organisation résiliente et une organisation vulnérable ne se voit pas sur une plaquette. Elle se voit dans la réalité d'un processus, testé, documenté, activable.