Qui est concerné
Le périmètre suit le secteur et la taille : les organisations moyennes et grandes des secteurs des annexes I et II sont concernées, comme entités essentielles ou importantes selon le secteur et la taille, certaines entités l’étant quelle que soit leur taille (prestataires de services de confiance, DNS, administration publique, entités désignées comme critiques). La distinction compte pour la supervision et les sanctions : les entités essentielles relèvent d’une supervision proactive et d’amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial ; les entités importantes d’une supervision réactive et d’un plafond inférieur.
Ce qu’elle exige
L’article 21 liste les mesures minimales : analyse des risques et politiques de sécurité, gestion des incidents, continuité d’activité et gestion de crise, sécurité de la chaîne d’approvisionnement, acquisition et développement sécurisés, évaluation de l’efficacité, hygiène informatique et formation, cryptographie, ressources humaines et contrôle d’accès, authentification multifacteur. L’article 23 fixe les horloges de notification : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. L’article 20 engage les organes de direction et impose leur formation.
Où en est la France
NIS2 devait être transposée dans toute l’UE avant le 17 octobre 2024. En septembre 2026, la loi française de transposition (le projet de loi résilience, qui refond aussi le régime OIV) est encore devant le Parlement, et la Commission européenne a saisi la Cour de justice contre la France en juillet 2026. Les obligations de la directive sont connues, et les entités qui seront essentielles ou importantes déploient déjà les mesures de l’article 21 ; ce qui reste en attente est le régime national de supervision. La question pratique pour un RSSI n’est donc pas de savoir si NIS2 s’applique, mais si les mesures peuvent être démontrées en fonctionnement le jour où un superviseur le demande.