Face à l’évolution des cybermenaces et à la dépendance croissante des organisations à leurs systèmes d’information, la cybersécurité est devenue un enjeu majeur de continuité d’activité.
La directive européenne NIS2 vise justement à renforcer le niveau global de cybersécurité au sein de l’Union européenne. Elle étend considérablement le périmètre de la première directive NIS et concerne désormais plusieurs milliers d’organisations françaises, réparties dans 18 secteurs d’activité.
En France, sa transposition en droit national est toujours indiquée comme étant en cours par l’ANSSI en octobre 2026. Cela ne signifie pas pour autant qu’il faut attendre : l’ANSSI invite les futures entités essentielles et importantes à engager dès maintenant une démarche de sécurisation cohérente avec NIS2.
Mais comment savoir si votre organisation est concernée ? Et surtout, comment commencer à vous préparer ?
Qu’est-ce que la directive NIS2 ?
NIS2, pour Network and Information Security 2, est une directive européenne qui vise à élever le niveau de cybersécurité des organisations essentielles au fonctionnement de l’économie, de la société et des services publics.
Elle succède à NIS1 mais son périmètre est beaucoup plus large. En France, l’ANSSI évoque plusieurs milliers d’entités concernées, principalement des moyennes et grandes entreprises, des administrations et des collectivités.
L’objectif n’est pas uniquement de demander aux entreprises d’ajouter des outils de cybersécurité. NIS2 introduit une démarche beaucoup plus globale : connaître son système d’information, identifier ses risques, sécuriser ses infrastructures et ses accès, anticiper les incidents et organiser la continuité des activités.
Quelles entreprises sont concernées par NIS2 ?
L’éligibilité à NIS2 dépend notamment du secteur d’activité, de la taille de l’organisation et de la criticité des services qu’elle fournit.
La directive couvre 18 secteurs répartis entre secteurs hautement critiques et autres secteurs critiques. Parmi eux figurent notamment l’énergie, les transports, le secteur bancaire, la santé, les infrastructures numériques, les services numériques, l’industrie manufacturière, l’agroalimentaire, la gestion des déchets, la chimie, la recherche ou encore les services postaux.
Entités essentielles et entités importantes : quelle différence ?
La directive distingue principalement deux catégories :
1. Les Entités Essentielles (EE) correspondent aux organisations présentant le niveau de criticité le plus important. Selon les informations actuellement publiées par l’ANSSI, sont notamment concernées, sous réserve des règles sectorielles et cas particuliers, les entreprises des secteurs concernés employant au moins 250 personnes, ou dépassant 50 millions d’euros de chiffre d’affaires annuel et 43 millions d’euros de bilan annuel.
2. Les Entités Importantes (EI) correspondent notamment aux entreprises des secteurs concernés qui ne relèvent pas de la catégorie précédente et qui emploient au moins 50 personnes, ou dont le chiffre d’affaires et le bilan annuels dépassent chacun 10 millions d’euros.
Ces seuils constituent des repères mais ne suffisent pas, à eux seuls, à déterminer l’assujettissement. Certaines catégories disposent de règles particulières et une entité peut, dans certains cas, être désignée indépendamment de sa taille.
Le premier réflexe est donc de vérifier précisément votre situation, notamment via les ressources officielles mises à disposition par l’ANSSI.
NIS2 : quelles sont les principales exigences à anticiper ?
Être concerné par NIS2 implique de mettre en place une véritable démarche de gestion des risques cyber et d’être en capacité de démontrer les actions entreprises.
Trois dimensions sont particulièrement importantes :
1. Comprendre son exposition aux risques cyber
Une entreprise ne peut pas protéger correctement ce qu’elle ne connaît pas.
La première étape consiste donc à disposer d’une vision précise de son système d’information : équipements, applications, infrastructures, données, utilisateurs, prestataires et flux. Il faut ensuite identifier les actifs critiques et analyser les risques auxquels ils sont exposés.
2. Mettre en place des mesures de cybersécurité adaptées
Une fois les risques identifiés, l’entreprise doit déployer les mesures organisationnelles et techniques adaptées à son niveau d’exposition.
Depuis mars 2026, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF) pour aider les organisations à préparer leur démarche. Dans sa version 2.5 du 17 mars 2026, celui-ci aborde notamment la gouvernance de la sécurité, la maîtrise des systèmes d’information, la sécurisation de l’architecture et des accès distants, la gestion des identités, la protection contre les codes malveillants, la réaction aux incidents ainsi que la continuité et la reprise d’activité.
Pour les Entités Essentielles, des objectifs supplémentaires concernent notamment l’approche par les risques, l’audit du SI, la sécurisation des configurations, l’administration des systèmes et la supervision de la sécurité.
3. Être capable de réagir en cas d’incident
La prévention ne suffit pas. Une organisation doit également être capable de détecter un incident, d’en mesurer l’impact, de réagir rapidement et, lorsqu’elle y est tenue, de le déclarer.
Cette capacité de réaction passe notamment par des processus clairement établis, une surveillance adaptée et des dispositifs permettant de maintenir ou de rétablir les activités essentielles.
Pourquoi ne faut-il pas attendre pour préparer NIS2 ?
La conformité à NIS2 ne se résume pas à l’installation d’un antivirus, d’un pare-feu ou d’un nouvel outil de cybersécurité.
La démarche nécessite d’abord de connaître précisément son environnement numérique et son exposition aux risques. Dans la pratique, les premières difficultés concernent souvent l’inventaire du système d’information, l’identification des actifs critiques, l’analyse des risques et la priorisation des actions à entreprendre.
Anticiper permet donc de construire progressivement une feuille de route, de répartir les investissements dans le temps et de commencer par les mesures présentant le meilleur rapport entre effort et réduction du risque.
Cette démarche peut par ailleurs être pertinente même pour les entreprises qui ne seraient finalement pas directement assujetties à NIS2. Les exigences de sécurité peuvent également provenir de clients, partenaires ou donneurs d’ordre souhaitant renforcer la cybersécurité de leur chaîne d’approvisionnement.
ReCyF : un référentiel pour préparer sa démarche de cybersécurité
La publication du Référentiel Cyber France (ReCyF) constitue une évolution importante pour les entreprises qui souhaitent anticiper NIS2.
Mis à disposition par l’ANSSI depuis le 17 mars 2026, ce document de travail présente les mesures recommandées pour atteindre les objectifs de sécurité liés à NIS2. L’ANSSI précise qu’à ce stade, le ReCyF est diffusé comme un référentiel par défaut non obligatoire, dans le contexte de la transposition française en cours.
Pour les organisations, il fournit surtout une base structurée permettant de passer d’une interrogation générale, « Sommes-nous prêts pour NIS2 ? », à une analyse beaucoup plus concrète de leur niveau de cybersécurité.
Comment SRA vous accompagne dans votre préparation à NIS2 ?
La première étape d’une démarche NIS2 n’est pas nécessairement de multiplier les investissements technologiques. Elle consiste à comprendre sa situation, identifier les écarts et déterminer les priorités.
SRA accompagne les entreprises dans cette démarche avec une approche progressive.
1. Comprendre votre situation
Nos équipes vous accompagnent pour évaluer votre situation au regard de NIS2, analyser votre environnement et identifier les écarts avec les objectifs du ReCyF.
2. Identifier et prioriser les risques
SRA peut vous accompagner dans l’inventaire des actifs du système d’information, l’analyse des risques et la construction d’un plan d’actions techniques adapté à vos enjeux.
3. Renforcer concrètement la sécurité du système d’information
Une fois les priorités identifiées, nos équipes peuvent intervenir sur la mise en œuvre des mesures techniques nécessaires : sécurisation de Microsoft 365, authentification multifacteur (MFA), EDR, sauvegarde, PRA, gestion des accès et sécurisation des infrastructures.
4. Maintenir la sécurité dans le temps
La cybersécurité ne s’arrête pas une fois les premières mesures déployées. À travers ses services d’infogérance, de supervision et de maintien en condition de sécurité, SRA accompagne les entreprises dans l’amélioration continue de leur posture de cybersécurité.
Pour les sujets nécessitant des compétences complémentaires, notamment en gouvernance, conformité documentaire, audit ou certification, l’accompagnement peut s’appuyer sur un réseau de partenaires spécialisés.
Par où commencer pour préparer NIS2 ?
Si vous vous interrogez sur NIS2, inutile de commencer par une transformation complète de votre système d’information.
Commencez par déterminer si votre entreprise est concernée, puis mesurez votre niveau de préparation.
Cette première analyse permet de répondre à trois questions essentielles : où en êtes-vous aujourd’hui ? Quels sont les écarts les plus importants ? Quelles actions devez-vous traiter en priorité ?
La directive NIS2 doit ainsi être envisagée non seulement comme une contrainte réglementaire, mais aussi comme une occasion de renforcer durablement la résilience du système d’information face aux cybermenaces.
SRA vous accompagne pour évaluer votre situation, identifier vos priorités et construire une feuille de route cybersécurité adaptée à votre organisation.
Vous souhaitez savoir si votre entreprise est concernée par NIS2 ou évaluer votre niveau de préparation ? Contactez les experts cybersécurité SRA pour réaliser un premier diagnostic et identifier les prochaines étapes.