NIS 2, la directive européenne sur la cybersécurité, vise des milliers d’entreprises en France, dont de nombreux fournisseurs de services numériques. Nous vérifions si elle vous concerne, puis mettons en place les mesures que l’ANSSI contrôlera.
À jour au
Directement si votre secteur et votre taille vous placent dans son périmètre. Indirectement si vos clients y sont : ils doivent sécuriser leur chaîne d’approvisionnement, donc leurs prestataires.
Informatique en nuage, SaaS compris, centre de données, services gérés, place de marché : dès 50 personnes, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan, NIS 2 vous vise.
Santé, énergie, transport, finance, mais aussi fabrication de dispositifs médicaux ou de produits électroniques, chimie, alimentation : dix-huit secteurs, listés aux annexes de la directive.
Une entité soumise doit sécuriser sa chaîne d’approvisionnement et tenir compte des pratiques de ses fournisseurs. Questionnaires, clauses de sécurité, droits d’audit : ils arrivent chez vous.
Les dirigeants approuvent les mesures, en supervisent la mise en œuvre et se forment. Ils peuvent être tenus responsables des manquements : le sujet ne peut pas rester celui du seul CTO.
Quatre obligations, détaillées ci-dessous. Le Référentiel Cyber France (ReCyF) de l’ANSSI précise les mesures attendues ; pour les fournisseurs de services numériques, le règlement d’exécution (UE) 2024/2690 les fixe.
Les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et suivent une formation. Ils peuvent être tenus responsables des manquements de l’entité.
Analyse des risques, incidents, continuité, chaîne d’approvisionnement, développement sécurisé, cryptographie, contrôle d’accès, authentification multifacteur, formation : au moins dix mesures, proportionnées.
Alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final dans le mois qui suit, auprès de l’ANSSI. Les clients dont le service est touché sont prévenus sans retard injustifié.
Chaque entité se déclare : nom, coordonnées, plages d’adresses IP, secteur, pays où elle opère. L’ANSSI prépare cet enregistrement sur MonEspaceNIS2, où une pré-inscription est déjà possible.
Un workshop chaque semaine avec votre CTO ou votre responsable sécurité : il apporte le contexte et arbitre. Politiques, procédures et preuves avancent de notre côté entre deux workshops.
Entité essentielle, importante, ou concernée par vos seuls clients ? Nous qualifions votre situation, puis confrontons l’existant aux mesures du ReCyF ou du règlement d’exécution 2024/2690.
Livrables
Statut qualifié, écarts priorisés
Chaque écart devient une action datée, avec un responsable. La direction approuve le plan, comme l’article 20 le demande, en sachant ce qu’elle engage.
Livrable
Feuille de route approuvée par la direction
Nous rédigeons les politiques et la procédure de gestion des incidents, encadrons vos fournisseurs et suivons les chantiers techniques : authentification multifacteur, sauvegardes, accès. Nous réalisons nous-mêmes les tests d’intrusion.
Livrables
Politiques et procédures, risques traités
Enregistrement de votre entité, formation de la direction, dossier de preuves tenu à jour : vous abordez un contrôle de l’ANSSI en sachant où trouver chaque pièce.
Livrables
Dossier de preuves, direction formée
Le prix dépend de votre statut, du périmètre concerné et de ce qui existe déjà. Menée avec ISO 27001, la mise en conformité NIS 2 réutilise l’analyse de risques, les politiques et la gestion des incidents.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre RSSI ou votre responsable sécurité pilote. Nous apportons la lecture de la directive et du ReCyF, rédigeons politiques et procédures, et préparons l’enregistrement.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Nous tenons le rôle de RSSI : mesures de sécurité, incidents, fournisseurs et formation de la direction, test d’intrusion inclus. Votre CTO garde la main sur la technique.
Votre besoin est spécifique
Sur devisaprès un premier échange
Une mise en conformité NIS 2 menée avec ISO 27001, pour répondre aussi aux questionnaires de vos clients, ou des tests d’intrusion récurrents pour évaluer vos mesures.
Durée habituelle
6 à 12 mois selon votre périmètre
Frais en sus
Pas de frais de certification : NIS 2 n’en prévoit pas.
Directement, dès que vous atteignez la taille d’une entreprise moyenne : 50 personnes, ou plus de 10 millions d’euros de chiffre d’affaires et de total de bilan. La directive range le SaaS parmi les services d’informatique en nuage (considérant 33), un secteur de son annexe I : vous êtes alors entité importante, ou essentielle au-delà de 250 personnes, ou de 50 millions d’euros de chiffre d’affaires et 43 millions de bilan. La loi française pourrait aller plus loin : le texte adopté en commission à l’Assemblée nationale range « les éditeurs de logiciels » parmi les entités essentielles, quelle que soit leur taille. Sinon, sous les seuils, NIS 2 vous atteint par vos clients.
Elle n’est pas encore adoptée, alors que la directive devait être transposée au plus tard le 17 octobre 2024. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025 ; l’Assemblée nationale l’examine en séance à partir du 7 octobre 2026. En juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne de ce retard. L’ANSSI invite les entités concernées à se préparer dès maintenant, et a annoncé qu’elle laisserait au moins trois ans avant d’exiger une conformité complète.
Non. NIS 2 ne prévoit ni certificat ni label. La conformité se démontre sur pièces : politiques, analyse de risques, traitement des incidents, preuves de mise en œuvre. L’ANSSI les examine lors de ses contrôles, vos clients lors de leurs revues. Une « certification NIS 2 » vendue comme telle n’a aucune valeur réglementaire.
La catégorie dépend du secteur et de la taille. Une grande entreprise d’un secteur de l’annexe I, comme l’informatique en nuage ou la santé, est essentielle ; une entreprise moyenne de ces secteurs, ou une entreprise d’un secteur de l’annexe II, est importante. Certaines sont essentielles quelle que soit leur taille, comme les fournisseurs de services DNS. Les essentielles appliquent davantage de mesures du ReCyF et peuvent être contrôlées à tout moment ; les importantes, a posteriori. Amendes maximales du projet de loi : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.
Non, mais c’est une base que l’ANSSI reconnaît : dans le ReCyF, un système de management de la sécurité de l’information (SMSI) certifié ISO 27001 démontre, sur son périmètre, le cadre de gouvernance attendu et, pour une entité essentielle, l’approche par les risques. NIS 2 ajoute des obligations propres : l’approbation et la formation de la direction, la déclaration des incidents importants dans des délais fixés, l’enregistrement auprès de l’ANSSI. Et un certificat porte sur le périmètre que vous choisissez, alors que NIS 2 vise tous les systèmes qui servent à vos activités.
Si vous êtes une entité financière au sens de DORA, c’est DORA qui s’applique pour la gestion des risques informatiques et la notification des incidents : la directive NIS 2 le désigne comme acte sectoriel et écarte ses propres obligations sur ces points (considérant 28). Si vous êtes le prestataire technologique d’entités financières, par exemple un éditeur SaaS, vous pouvez relever de NIS 2 en propre, et recevoir en plus de vos clients les exigences contractuelles de DORA.
Selon le ReCyF de l’ANSSI, un SMSI certifié démontre le cadre de gouvernance attendu par NIS 2, sur son périmètre.
Pour les entités financières, DORA remplace les mesures de sécurité et la notification des incidents de NIS 2.
NIS 2 porte sur votre organisation, le CRA sur les logiciels et objets connectés que vous commercialisez.
Qui est concerné, SaaS compris, ce que la directive exige et ce qu’une entreprise tech peut préparer avant la loi.
Un premier échange gratuit de 30 minutes pour qualifier votre statut et repérer les chantiers prioritaires. Si NIS 2 ne vous atteint que par vos clients, nous vous le dirons.