Obligations NIS2 : mesures de sécurité (article 21), notification d'incident 24 h / 72 h / 1 mois (article 23), gouvernance
Les obligations NIS2 tiennent en quatre blocs : s'enregistrer auprès de l'ANSSI sur MonEspaceNIS2 ; mettre en œuvre les mesures de gestion des risques de l'article 21 (déclinées en France par le référentiel ReCyF publié en mars 2026) ; notifier les incidents importants selon l'article 23 (alerte sous 24 h, notification sous 72 h, rapport final sous un mois) ; engager la direction (article 20). Elles sont identiques pour les entités essentielles et importantes. Le test NIS2 vous dit si elles s'appliquent.
Bloc 1 : l'enregistrement
L'article 3 §4 impose aux États membres d'établir la liste des entités essentielles et importantes ; les entités fournissent leurs informations (nom, adresse, secteur, coordonnées, États membres où elles fournissent leurs services, plages d'adresses IP). En France, l'enregistrement se fait sur MonEspaceNIS2, qui propose aussi un simulateur de périmètre. Les fournisseurs DNS, registres, services en nuage, centres de données, réseaux de diffusion de contenu, services gérés et fournisseurs numériques ont un régime d'enregistrement spécifique (article 27).
Bloc 2 : les mesures de gestion des risques (article 21)
L'article 21 §2 liste dix familles de mesures, fondées sur une approche « tous risques » et proportionnées à l'exposition de l'entité.
| # | Mesure | Ce que cela implique |
|---|---|---|
| a | Politiques d'analyse des risques et de sécurité des systèmes d'information | Cartographie des actifs, analyse de risques documentée, politique de sécurité approuvée |
| b | Gestion des incidents | Procédure de détection, de qualification, de réponse et de notification |
| c | Continuité des activités | Sauvegardes, reprise après sinistre, gestion de crise |
| d | Sécurité de la chaîne d'approvisionnement | Exigences envers fournisseurs et prestataires, notamment informatiques |
| e | Sécurité de l'acquisition, du développement et de la maintenance | Gestion des vulnérabilités, correctifs, développement sécurisé |
| f | Évaluation de l'efficacité des mesures | Audits, tests, indicateurs |
| g | Hygiène informatique et formation | Pratiques de base, sensibilisation de tout le personnel |
| h | Cryptographie et chiffrement | Politiques d'usage, protection des données en transit et au repos |
| i | Sécurité des ressources humaines, contrôle d'accès, gestion des actifs | Habilitations, départs, inventaire |
| j | Authentification multifacteur, communications sécurisées | MFA, communications d'urgence sécurisées |
Le référentiel ReCyF de l'ANSSI décline ces familles en exigences concrètes pour la France ; c'est lui que les contrôles prendront pour référence.
Bloc 3 : la notification des incidents importants (article 23)
| Étape | Délai | Contenu |
|---|---|---|
| Alerte précoce | Sans retard injustifié, au plus tard 24 h après connaissance | Indique si l'incident est suspecté d'être malveillant et s'il peut avoir un impact transfrontière |
| Notification d'incident | Au plus tard 72 h | Met à jour l'alerte, évaluation initiale de la gravité et de l'impact, indicateurs de compromission |
| Rapport intermédiaire | Sur demande du CSIRT ou de l'autorité | Mises à jour pertinentes |
| Rapport final | Au plus tard un mois après la notification | Description détaillée, type de menace, cause profonde, mesures d'atténuation, impact transfrontière |
| Incident en cours à un mois | Rapport d'avancement, puis rapport final sous un mois après le traitement |
Le destinataire est le CSIRT national ou l'autorité compétente ; en France, l'ANSSI. Les prestataires de services de confiance ont un délai spécifique pour les incidents affectant leurs services. Les entités informent aussi, le cas échéant, les destinataires de leurs services susceptibles d'être affectés.
Bloc 4 : la gouvernance (article 20)
Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des violations. Ils suivent une formation, et l'entité encourage la formation régulière de ses employés. En pratique : un point cybersécurité au comité de direction, un responsable identifié, un budget, et la trace écrite des décisions.
Comment s'organiser en six mois
Qualifier un incident : le point critique
Le délai de 24 heures court à partir de la connaissance de l'incident important, et non de sa détection technique : il faut donc une règle interne de qualification rapide. Une méthode simple consiste à définir à l'avance des critères mesurables (indisponibilité d'un service au-delà d'une durée, nombre d'utilisateurs affectés, compromission de données, impact sur des tiers) et à désigner qui décide, y compris la nuit et le week-end. L'alerte précoce peut être envoyée sur la base d'une suspicion ; elle est mise à jour à 72 heures. Attendre d'avoir tout compris pour notifier est l'erreur la plus fréquente.
Ce que l'ANSSI attend d'une notification
Les informations nécessaires à la compréhension et à la coordination : nature de l'incident, services affectés, indicateurs de compromission, mesures prises, impact transfrontière éventuel. L'ANSSI peut, en retour, fournir des conseils et une assistance. La notification n'est pas une auto-incrimination : elle est conçue comme un mécanisme d'alerte collective.
Mois 1 : enregistrement, désignation d'un responsable, cartographie des actifs et des fournisseurs. Mois 2 et 3 : analyse de risques, comparaison avec le ReCyF, plan d'action priorisé. Mois 4 et 5 : mesures rapides à fort effet (MFA, sauvegardes testées, gestion des correctifs, procédure de notification testée sur un exercice). Mois 6 : audit interne, présentation à la direction, formation des dirigeants. Les sanctions décrivent ce que coûte l'absence de ces mesures ; le test rappelle votre catégorie.
Questions fréquentes
Quels sont les délais de notification d'un incident sous NIS2 ?
Alerte précoce sans retard injustifié et au plus tard 24 heures après avoir eu connaissance de l'incident important ; notification d'incident au plus tard 72 heures ; rapport final au plus tard un mois après la notification (article 23).
Qu'est-ce qu'un incident important ?
Un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou qui a affecté ou est susceptible d'affecter d'autres personnes en causant des dommages considérables (article 23 §3).
Qu'est-ce que le ReCyF ?
Le référentiel publié par l'ANSSI en mars 2026 qui décrit les mesures de sécurité attendues des entités concernées en France, en déclinaison de l'article 21 de la directive.
Sources officielles
Faits vérifiés le 10 septembre 2026. Voir la méthodologie.