Directive NIS 2
Protégez votre activité des cyberattaques
La deuxième directive NIS vise à renforcer la cybersécurité au sein des entités essentielles et des entités importantes pour l’économie européenne. La Robe Numérique vous accompagne dans le respect des exigences de sécurité et de résilience des réseaux et systèmes d’information, pour répondre aux nouvelles obligations réglementaires de la directive NIS2 et se prémunir contre les risques cyber.
-
Nous débutons par un audit de vos systèmes d’information, en identifiant les menaces, les vulnérabilités, et les risques spécifiques à votre secteur et à votre infrastructure. Cette évaluation permet d’établir une cartographie de vos risques cyber.
-
En fonction des résultats de l’analyse, nous élaborons une feuille de route personnalisée pour la mise en place des contrôles techniques et organisationnels conformes aux standards NIS2. Ce plan comprend des mesures de détection et de réponse aux incidents, des protocoles de sécurité renforcés, et des plans de continuité d’activité.
-
Nous vous accompagnons dans le déploiement concret des mesures de sécurité à travers des actions de sensibilisation, des formations spécifiques pour vos équipes, et l’installation de solutions de cybersécurité adaptées, incluant les mises à jour et les correctifs nécessaires.
-
En plus des contrôles techniques, nous assurons la création et la mise à jour des documents nécessaires pour justifier votre conformité. Cela inclut les politiques de sécurité, les procédures internes, et les rapports destinés aux autorités compétentes.
-
Nous proposons un suivi régulier pour évaluer l’efficacité des mesures et adapter la stratégie en fonction des nouvelles menaces ou des mises à jour réglementaires. Nous organisons également des audits périodiques pour garantir une conformité pérenne.
Au quotidien, le DPO externalisé intervient pour :
L’accompagnement à la conformité NIS2 proposé par La Robe Numérique suit une méthodologie structurée pour assurer que votre organisation atteigne et maintienne un haut niveau de cybersécurité conformément aux exigences de la directive.
Besoin d’aide dans votre conformité NIS 2 ?
Faites confiance aux consultants experts de La Robe Numérique pour sécuriser vos données et pratiques conformément aux exigences de la directive.
Suis-je concerné par la directive NIS 2 ?
La directive NIS2 s’applique aux opérateurs de services essentiels et aux fournisseurs de services numériques dans l’Union Européenne, couvrant divers secteurs critiques (voir la liste ci-dessous) ainsi que les plateformes numériques. Les entreprises concernées doivent renforcer la protection de leurs infrastructures critiques contre les cyberattaques.
Énergie (électricité, pétrole et gaz, couvrant les activités de production, de stockage et de transmission, hydrogène),
Eau potable et Eaux usées (collecte, élimination ou traitement des eaux usées municipales, des eaux usées domestiques ou des eaux usées industrielles),
Transport (aérien, ferroviaire, fluvial, routier),
Banques,
Marchés financiers,
Infrastructure numérique,
Gestion des services TIC,
Soins de santé,
Espace.
Secteur de haute criticité
Services postaux et de messagerie,
Gestion des déchets,
Fournisseurs numériques (marchés en ligne, moteurs de recherche en ligne et plateformes de réseaux sociaux),
Organismes de recherche,
Services postaux et de messagerie,
Production et distribution de produits chimiques,
Agro-alimentaire,
Fabrication de Dispositifs médicaux,
Matériel électrique, Véhicules à moteur, remorques et semi-remorques.
Autres secteurs critiques
Les principaux objectifs de la directive sont la mise en place de mesures de sécurité renforcées et la capacité à répondre et à se remettre rapidement des incidents de cybersécurité. Elle impose également des obligations de notification aux autorités compétentes en cas de cyber-incident. Ne pas se conformer à NIS2 expose les entreprises à des sanctions financières et à un risque accru de cybermenaces. La mise en conformité est donc essentielle pour sécuriser les opérations, préserver la confiance des partenaires, et assurer la continuité de l’activité.
Pourquoi choisir un DPO La Robe Numérique ?
La Robe Numérique se distingue par son expertise approfondie en cybersécurité et en conformité réglementaire.
Nos consultants, spécialistes de la directive NIS2, vous apportent une méthodologie rigoureuse et une approche sur-mesure. Forts de notre expérience dans l’accompagnement des infrastructures critiques, nous garantissons une conformité optimale, un déploiement rapide et une sécurisation renforcée de vos systèmes. En choisissant La Robe Numérique, vous optez pour un partenaire fiable, à la fois expert et engagé dans la protection de vos informations et la conformité de vos opérations.
Question fréquentes sur la Directive NIS 2
-
La classification repose sur deux critères croisés : votre secteur d'activité (annexes I et II de la directive) et la taille de votre entreprise. L'article 3 de la directive 2022/2555 définit les deux catégories.
Les entités essentielles (EE) sont les grandes entreprises (≥250 salariés ou CA >50 M€) opérant dans les 11 secteurs hautement critiques de l'annexe I : énergie, transports, banque, infrastructure numérique, santé, eau potable, espace, etc. Les entités importantes (EI) regroupent les entreprises de taille intermédiaire (≥50 salariés ou CA >10 M€) des 18 secteurs couverts par les annexes I et II. Certaines entités sont classées EE quelle que soit leur taille : fournisseurs DNS, registres de noms de domaine, prestataires de services de confiance.
Entité essentielle (EE)
Taille : 250 salariés ou plus, ou CA supérieur à 50 M€
Secteurs : 11 secteurs hautement critiques (Annexe I)
Entité importante (EI)
Taille : 50 salariés ou plus, ou CA supérieur à 10 M€
Secteurs : 18 secteurs (Annexes I et II)
L'oeil du consultant : Utilisez le simulateur MonEspaceNIS2 de l'ANSSI pour une première estimation. Mais attention : la transposition française, attendue courant 2026, pourra ajuster certains seuils ou ajouter des entités spécifiques (collectivités, recherche). Ne reportez pas votre analyse à la promulgation de la loi, les critères de la directive sont suffisamment clairs pour lancer votre mise en conformité dès maintenant.
-
L'article 21 de NIS 2 impose dix catégories de mesures couvrant l'analyse de risques, la gestion des incidents, la continuité, la supply chain et la formation.
Ces mesures sont traduites en 20 objectifs opérationnels par le ReCyF de l'ANSSI (version de travail de mars 2026). Elles s'appliquent selon le principe de proportionnalité : les EE doivent atteindre un niveau supérieur. L'approche exigée est dite « tous risques » et elle couvre les menaces techniques, organisationnelles et humaines.
Les 10 mesures cyber obligatoires de l'article 21 de NIS 2
Politiques d'analyse des risques et de sécurité des SI,
Gestion des incidents (détection, réponse, signalement),
Continuité d'activité : PCA, PRA, gestion de crise, sauvegardes,
Sécurité de la chaîne d'approvisionnement (fournisseurs, prestataires),
Sécurité de l'acquisition, du développement et de la maintenance des SI,
Évaluation de l'efficacité des mesures (audits, tests),
Pratiques de cyber-hygiène et formation du personnel,
Politiques de chiffrement et, le cas échéant, de cryptographie,
Sécurité des ressources humaines, contrôle d'accès, gestion des actifs,
Authentification multifacteur et communications sécurisées d'urgence.
L'oeil du consultant : Ne traitez pas ces 10 mesures comme une check-list linéaire. Commencez par l'analyse de risques : elle conditionne le calibrage de toutes les autres. Puis priorisez la continuité et la supply chain, ce sont les points faibles les plus fréquents chez nos clients.
-
Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions ou 1,4 % pour les entités importantes.
Au-delà des amendes, l'autorité compétente (ANSSI) peut imposer des injonctions de mise en conformité, suspendre temporairement une certification ou une autorisation, et requérir une interdiction temporaire d'exercice pour les dirigeants (niveau DG ou représentant légal). Les manquements peuvent être rendus publics. Ces sanctions s'appliquent uniquement aux entités essentielles pour les mesures les plus sévères.
L'oeil du consultant : La publication des manquements est souvent plus redoutée que l'amende elle-même. Un défaut de conformité rendu public peut entraîner la perte de contrats majeurs. Intégrez le risque réputationnel dans votre analyse coûts-bénéfices de la mise en conformité.
-
Sous NIS 2 : alerte précoce dans les 24 heures, notification détaillée sous 72 heures, rapport final sous un mois après résolution de l'incident.
Le régime de notification NIS 2 (Art. 23) est plus strict que celui du RGPD. Il prévoit un rapport intermédiaire si l'incident dure plus d'un mois. La notification se fait auprès de l'ANSSI via la plateforme MonEspaceNIS2. Attention à ne pas confondre avec le portail de la CNIL (RGPD) ni avec le reporting DORA (T+4h) pour les entités financières.
Chronologie de notification — NIS 2 (Art. 23)
T + 24h : Alerte précoce, avertissement à l'ANSSI (nature de l'incident, soupçon d'acte malveillant, impact transfrontière potentiel).
T + 72h : Notification d'incident, évaluation détaillée (gravité, impact, indicateurs de compromission).
T + 1 mois : Rapport intermédiaire, si l'incident est toujours en cours, mise à jour de la situation.
Après résolution : Rapport final, analyse des causes, mesures d'atténuation, enseignements tirés.
L'œil du consultant : Le délai de 24 heures court à partir de la « connaissance » de l'incident, pas de sa survenance. Formalisez dès maintenant votre procédure interne de remontée : qui détecte, qui qualifie, qui notifie. Un week-end sans astreinte peut suffire à dépasser le délai légal.
Le rôle et les missions du DPO sont multiples et modulables selon vos besoins.
Consultez notre infographie pour en savoir plus !
Tout comprendre de la directive NIS 2
