NIS2 et sécurité réseau : ce qu'impose la directive

La directive NIS2 (Network and Information Systems 2) européenne est entrée en vigueur le 17 octobre 2024, transposée en France avril 2025. Elle impose à 10 000+ entités françaises des obligations strictes de cybersécurité, avec amendes jusqu'à 10M€ ou 2% CA. Impact réseau majeur. Guide NIS2 2026.

Entités concernées

Entités essentielles (EE)

• Énergie (électricité, gaz, pétrole, hydrogène)
• Transport (aérien, ferroviaire, routier, maritime)
• Banques et marchés financiers
• Santé (hôpitaux, laboratoires, médicaments)
• Eau potable et eaux usées
• Infrastructure numérique (DNS, TLD, cloud, CDN, data centers)
• Administration publique
• Taille : >250 employés ou >50M€ CA

Entités importantes (EI)

• Services postaux, déchets, chimie, production alimentaire
• Manufacturing médical/automobile
• Fournisseurs de services numériques
• Recherche
• Taille : >50 employés ou >10M€ CA

Obligations

• Analyse de risques formalisée (annuelle)
• Mesures techniques + organisationnelles appropriées
• Continuité activité + reprise sinistre
• Supply chain security (fournisseurs)
• Cryptographie appropriée + MFA
• Gestion vulnérabilités + patch management
• Formation cybersécurité employés
• Notification incidents : alerte dans les 24h, rapport 72h, final sous 1 mois

Mesures techniques réseau

• Segmentation + micro-segmentation
• Zero-Trust Network Access (ZTNA)
• NGFW avec inspection SSL
• SIEM + SOC 24×7
• EDR sur endpoints
• Backup hors ligne + tests restauration mensuels
• Chiffrement données repos + transit
• Logs conservation 1 an minimum

Sanctions

• EE : jusqu'à 10M€ ou 2% CA mondial (le plus élevé)
• EI : jusqu'à 7M€ ou 1.4% CA mondial
• Responsabilité personnelle dirigeants
• Suspension d'activité possible
• France : ANSSI supervise, fait audits

Impact budget IT

• PME EI (50-250 employés) : +80-200 k€ HT conformité
• ETI EE (250-2000) : +500 k€ à 2M€
• Grand compte : +5-20M€ selon maturité existante
• ROI : réduction incidents + évitement amendes

Étapes conformité

• 1. Évaluation gap analysis
• 2. Plan d'action prioritisé (quick wins + strategic)
• 3. Déploiement outils : SIEM, EDR, ZTNA, SOC
• 4. Formation + awareness
• 5. Tests (pentests, red team)
• 6. Documentation + audit annuel

Lien avec DORA et autres

• DORA (Digital Operational Resilience Act) : secteur financier, 2025
• CRA (Cyber Resilience Act) : produits numériques, 2027
• RGPD : protection données personnelles (depuis 2018)
• Interaction : NIS2 complète, ne remplace pas

Commander chez OPTINOC

Accompagnement NIS2 : audit gap, déploiement NGFW+SIEM+SOC, formation. Expertise ANSSI, Stormshield, FortiGate. Devis EE/EI sous 1 semaine.