NIS2 en France : où en est la loi et comment se préparer

NIS2 (directive (UE) 2022/2555) succède à la première directive NIS et élargit massivement le champ des entités régulées. La France la transpose via le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui regroupe trois volets : REC (résilience des entités critiques), NIS2 et DORA pour le secteur financier.

Le calendrier parlementaire s’étire : le Sénat a adopté le texte en première lecture le 12 mars 2025, puis la commission spéciale de l’Assemblée nationale a adopté une version amendée le 10 septembre 2025. À ce jour (août 2026), la loi n’est toujours pas définitivement adoptée ni promulguée. Ce retard a un prix : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’UE contre la France pour non-transposition de NIS2, en demandant des sanctions financières.

Le piège serait d’attendre « la date ». Les obligations arriveront quoi qu’il en soit, et leur contenu est déjà fixé au niveau européen : gestion des risques (dont logging et détection), notification des incidents, responsabilité de la direction, sanctions. Chaque mois d’attente est un mois de moins pour construire ce qui prend du temps : la visibilité sur son propre système d’information.

La directive distingue deux catégories, avec un régime de contrôle et des sanctions différents :

• Entités essentielles : grandes organisations dans des secteurs comme l’énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l’eau potable et les eaux usées, l’infrastructure numérique, l’administration publique et le spatial.
• Entités importantes : organisations moyennes et grandes, entre autres dans les services postaux, la gestion des déchets, la chimie, l’agroalimentaire, l’industrie manufacturière (dont dispositifs médicaux et électronique), les fournisseurs numériques et la recherche.

Le seuil de taille se situe en principe autour de 50 salariés ou 10 millions d’euros de chiffre d’affaires annuel. Des structures plus petites peuvent néanmoins entrer dans le champ, par exemple en tant que fournisseur unique d’un service essentiel. Au total, environ 15 000 entités françaises devraient entrer dans le champ, dont beaucoup d’ETI et de PME qui ne se sont jamais vues comme « critiques » : un changement d’échelle par rapport aux quelques centaines d’opérateurs régulés jusqu’ici.

Le cœur de la directive : des mesures techniques et organisationnelles proportionnées pour maîtriser les risques pesant sur les réseaux et systèmes d’information. La directive cite expressément, entre autres :

• l’analyse des risques et les politiques de sécurité ;
• la gestion des incidents : détecter, analyser, contenir, rétablir, et pouvoir le démontrer ;
• la continuité d’activité, les sauvegardes et la gestion de crise ;
• la sécurité de la chaîne d’approvisionnement ;
• la sécurité du développement, de l’acquisition et de la maintenance ;
• des procédures pour mesurer l’efficacité des mesures ;
• l’hygiène informatique et la formation ;
• la cryptographie et, là où c’est pertinent, le chiffrement ;
• le contrôle d’accès, la sécurité des ressources humaines et la gestion des actifs ;
• l’authentification multifacteur et les communications sécurisées.

S’y ajoute la responsabilité des organes de direction : la direction doit approuver les mesures, superviser leur mise en œuvre et se former à la cybersécurité. En cas de manquement grave, sa responsabilité peut être engagée.

Le calendrier annoncé par l’ANSSI

L’ANSSI a annoncé que les entités disposeront d’environ trois ans à compter de la publication des référentiels techniques pour se mettre pleinement en conformité. La trajectoire attendue : au quatrième trimestre 2026, analyse des risques et plans de sécurisation ; en 2027, déploiement de mesures concrètes comme l’authentification multifacteur et les sauvegardes. Trois ans paraissent longs, mais cartographier son SI et bâtir une vraie capacité de détection ne se fait pas en un trimestre.

Les incidents significatifs devront être notifiés en trois étapes, un mécanisme fixé par la directive elle-même :

1. Sous 24 heures : une alerte précoce, avec une première appréciation indiquant si un acte illicite ou malveillant est suspecté et si l’incident peut avoir un impact transfrontalier.
2. Sous 72 heures : une notification complète avec une première évaluation de la gravité et de l’impact, et, lorsqu’ils sont disponibles, les indicateurs de compromission (IOC).
3. Sous un mois : un rapport final décrivant en détail l’incident, sa cause probable, les mesures prises et l’éventuel impact transfrontalier.

Ces délais sont courts. Commencer à collecter des logs après l’incident, c’est les manquer : dire quelque chose de solide sur un acte malveillant en 24 heures suppose que les logs pertinents existent déjà, qu’ils soient interrogeables, et que la détection ait remarqué l’incident en premier lieu.

L’ANSSI sera l’autorité compétente pour NIS2 en France ; le secteur financier relève de l’ACPR et de l’AMF via DORA. Les entités essentielles feront l’objet d’un contrôle proactif (audits et inspections), les entités importantes d’un contrôle réactif, après signalement ou incident.

Les plafonds de sanction sont fixés par la directive :

• entités essentielles : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial ;
• entités importantes : jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial.

Les modalités exactes seront précisées par la loi française, mais l’ordre de grandeur, comparable au RGPD, est déjà connu.

Le logging et le monitoring traversent presque toutes les obligations : sans les bons logs, impossible de détecter un incident, d’étayer une alerte en 24 heures ou de rédiger un rapport final. Concrètement :

Centraliser les logs

Les logs des serveurs, équipements réseau, fournisseurs d’identité, services cloud et applications doivent converger vers un système interrogeable. Reconstituer un incident à travers dix systèmes isolés ne tient pas en 72 heures.

Les conserver assez longtemps, de manière démontrable

La directive ne fixe pas de durée de rétention : le critère est de pouvoir enquêter sur les incidents et les notifier. En pratique, 6 à 18 mois sont courants, avec une couche interrogeable à chaud et une archive moins coûteuse. Documenter ce choix et sa justification, c’est exactement ce qu’une autorité de contrôle demandera.

Surveiller en temps réel, pas rétrospectivement

Les délais de notification supposent de voir les incidents pendant qu’ils se produisent. Cela exige des règles de détection sur les logs (échecs de connexion, comportements anormaux, connexions réseau suspectes) et une alerte qui atteint un humain à temps, sans le noyer sous les faux positifs.

Tenir une piste d’audit

Qui a fait quoi, et quand, y compris dans la plateforme de logs elle-même ? Une piste d’audit infalsifiable étaye à la fois les notifications d’incident et la redevabilité vis-à-vis de l’autorité de contrôle.

Soyons clairs : aucun produit ne rend une organisation conforme à lui seul, NIS2 exige aussi une gouvernance, des processus et de la formation. Ce que LogPulse couvre, c’est le versant logging, détection et monitoring : gestion centralisée des logs avec rétention configurable, plus de 50 détections intégrées alignées sur MITRE ATT&CK via le SIEM LogPulse, alertes basées sur le risque, et rapports de conformité reliant détections et données aux exigences NIS2. Toutes les données restent dans l’UE (GCP Amsterdam), ce qui simplifie les contrats de traitement et la redevabilité.

1. Déterminer si ton organisation est concernée et dans quelle catégorie, sur la base des secteurs et seuils de la directive.
2. Impliquer la direction : elle portera la responsabilité et doit approuver la démarche.
3. Mener une analyse des risques et cartographier les systèmes et fournisseurs critiques, la première étape attendue par l’ANSSI.
4. Centraliser le logging et mettre en place la détection : le socle commun de la gestion des risques et de la notification des incidents.
5. Répéter la procédure de notification : qui alerte en 24 heures, et avec quelles informations ?
6. Tout documenter : mesures, choix, durées de rétention, exercices. Une conformité indémontrable n’existe pas aux yeux d’une autorité de contrôle.

Pour voir comment LogPulse couvre le versant logging, détection et reporting : la conformité NIS2 avec LogPulse, et les tarifs pour démarrer gratuitement et configurer les premières détections dès aujourd’hui.