Mise en œuvre du NIS2 : ce qu'il faut savoir pour s'y conformer en 2026

29 avril 2026

5 min de lecture

Résumer avec l'IA

Aujourd'hui, la plupart des personnes qui dirigent une entreprise en Europe ont entendu l'acronyme NIS2. Quant à savoir s'ils ont fait quelque chose à ce sujet, c'est une autre question.

La directive est en train d'être transposée dans le droit national des 27 États membres, certains pays ayant une longueur d'avance, d'autres étant encore en train de rattraper leur retard. Mais la direction ne change pas : ce qui était auparavant des conseils volontaires en matière de cybersécurité s'accompagne désormais de conséquences juridiques, d'échéances définies et, si vous êtes dirigeant, d'une responsabilité personnelle.

Ci-dessous, je présente le chemin critique vers la conformité NIS2, afin que vous puissiez comprendre clairement comment travailler avec cette complexité.

Stanislav Kazanov

Responsable GRC, cybersécurité et développement durable

Stanislav intègre la sécurité et la durabilité dans l'ADN de chaque système. Il navigue à l'intersection de la conformité mondiale et de l'informatique verte, en veillant à ce que les infrastructures soient à la fois à l'épreuve des menaces et respectueuses de l'environnement.

Voir le profil

Qu'est-ce que la directive NIS2 ?

La directive NIS2 est la législation phare de l'UE conçue pour améliorer le niveau de base de la cybersécurité.

En 2016, l'UE a publié la première directive NIS, qui était un bon début, mais qui supposait un paysage de menaces qui semble presque désuet aujourd'hui. La directive NIS2 a tiré les leçons de son prédécesseur et l'a remplacé par un cadre plus large avec des règles uniformes d'un pays à l'autre, des normes plus élevées, davantage de secteurs couverts et des sanctions suffisamment cohérentes pour qu'il ne soit pas possible de rechercher une juridiction plus clémente.

Par conséquent, les entreprises de tous les États membres ne peuvent plus considérer la cybersécurité comme une activité “au mieux”. Elles doivent s'orienter vers un cadre juridiquement contraignant avec des attentes claires en matière de résilience, de signalement des incidents et de responsabilité en cas de problème.

Liste de contrôle pour la mise en œuvre du NIS2 : Exigences fondamentales de l'UE

Obtenez gratuitement votre liste de contrôle de conformité NIS2 et évaluez votre niveau de préparation actuel. C'est un moyen simple de voir ce qui est déjà en place et ce qui nécessite encore de l'attention.

Comment la Pologne a mis en œuvre le NIS2

La Pologne a adopté sa loi actualisée - modification de la loi sur le système national de cybersécurité - au début de l'année 2026. La structure suit la directive de l'UE, mais divise la supervision de manière à refléter les arrangements institutionnels locaux.

Par exemple, le CSIRT MON* supervise les entités liées à la défense ; le CSIRT NASK** couvre les infrastructures numériques critiques et l'administration publique. D'autres organismes sectoriels supervisent des domaines tels que l'énergie, la finance, les soins de santé et les transports. En outre, un registre central répertorie les entités classées comme essentielles ou importantes.

À partir d'avril 2026, il sera obligatoire de se conformer aux exigences de déclaration, aux procédures de surveillance et aux procédures d'exécution prévues par la législation polonaise.

Quelles sont les entreprises concernées ?

Le champ d'application est plus large qu'auparavant. La classification dépend de deux éléments : le secteur et la taille, et s'étend au-delà des infrastructures critiques traditionnelles.

La NIS2 établit une distinction entre les entités essentielles, dont l'interruption aurait un impact sociétal ou économique majeur, et les entités importantes, dont l'impact serait significatif mais moins critique.

Entités essentielles

Grandes entreprises (plus de 250 employés, plus de 50 millions d'euros de chiffre d'affaires) dans des secteurs clés ; ou moyennes entreprises dans des secteurs critiques.

Énergie, transports, banques, infrastructures des marchés financiers, santé, infrastructures numériques.

Entités importantes

Les moyennes entreprises (50-249 employés, 10 à 50 millions d'euros de chiffre d'affaires) dans des secteurs clés ; ou toute entité (quelle que soit sa taille) dans des secteurs spécifiques.

Services postaux, gestion des déchets, produits chimiques, alimentation (grands producteurs et distributeurs), fabrication (appareils médicaux, électronique).

Même si vous n'atteignez pas les seuils fixés, les autorités peuvent toujours vous désigner comme “essentiel” ou “important” en fonction de l'impact potentiel d'une interruption de votre service.

Principales exigences en matière de cybersécurité dans le cadre du NIS2

En vertu de la directive, vous devez adopter une approche fondée sur les risques, ce qui signifie que les mesures que vous prenez doivent être proportionnel à la taille de votre entreprise et aux menaces auxquelles elle peut être confrontée. Elles sont généralement formalisées par un système de gestion de la sécurité de l'information (SGSI). Dans cette optique, vous effectuerez les activités suivantes :

Procéder à des évaluations régulières des risques
Maintenir des politiques de sécurité documentées qui formalisent les rôles, les responsabilités et les contrôles de l'organisation.
Établir une procédure pour traiter les incidents de sécurité, y compris la prévention, la détection, le signalement et l'intervention dans des délais précis pour la notification aux autorités.
Veiller à ce que les plans de sauvegarde, de reprise après sinistre et de gestion de crise soient en place et opérationnels en cas de perturbation.
Procéder à une diligence raisonnable et à un contrôle continu des fournisseurs, notamment en fixant des exigences en matière de sécurité et en recueillant des preuves de l'existence des fournisseurs
Mettre en œuvre les protections de base du système, telles que le contrôle d'accès, le cryptage, le MFA et les correctifs.
Fournir au personnel et à la direction une formation au SGSI et établir des procédures d'intégration et de désintoxication sécurisées.

Soutien d'experts pour gérer les exigences du NIS2

Évaluez les lacunes en matière de conformité, mettez en œuvre des contrôles et restez prêt pour l'audit avec Innowise.

Nouveaux délais de mise en conformité avec le NIS2

L'UE a demandé aux États membres de transposer la directive avant le 17 octobre 2024. Certains l'ont fait, d'autres non. Les délais dépendent donc désormais de l'endroit où vous êtes enregistré, car ils sont fixés au niveau national et varient selon les juridictions.

Enregistrement de l'entité

Cela se produit généralement dans les quelques mois qui suivent l'entrée en vigueur de la législation nationale ou lorsque vous êtes considéré comme essentiel ou important.

Mesures de cybersécurité

Attendue à partir du moment où la loi s'applique à vous. En pratique, dès le premier jour, bien que l'application des règles de surveillance puisse être progressive.

Premier audit de conformité

Si vous êtes sélectionné, la décision est généralement prise dans un délai de 18 à 24 mois, mais les autorités peuvent agir plus rapidement en fonction de votre profil de risque.

Ces délais sont indicatifs et peuvent varier en fonction de la manière dont chaque État membre met en œuvre et applique le NIS2 au niveau national, veillez donc à vérifier ce qui s'applique dans votre pays.

Sanctions en cas de non-respect

C'est là que les choses commencent à se nuancer. La directive fixe un plancher et non un plafond : Les États membres doivent fixer un niveau minimum pour les amendes maximales, mais ils peuvent toujours aller plus loin s'ils le souhaitent. En vertu de l'article 34, ils doivent veiller à ce que les amendes soient efficace, proportionnée et dissuasive. En termes clairs, suffisamment important pour faire mal, juste par rapport à ce que vous avez fait de mal, et suffisamment grave pour que personne ne se dise que le risque en vaut la chandelle.“

La directive distingue deux niveaux d'amendes maximales :

Pour les entités essentielles

≥ 10 millions d'euros

ou 2 % de votre chiffre d'affaires annuel global, le montant le plus élevé étant retenu

Pour les entités importantes

≥ 7 millions d'euros

ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu

Pour voir comment cela fonctionne en pratique, prenons l'exemple de la Pologne. Sa législation reflète les seuils du NIS2. Pour les grandes organisations, c'est le calcul basé sur le chiffre d'affaires qui s'applique. Ainsi, si vous réalisez un chiffre d'affaires global d'un milliard d'euros, 2 % représentent 20 millions d'euros. Pour les violations graves qui menacent la défense nationale, la sécurité de l'État ou la sécurité publique, la loi polonaise va plus loin : les amendes peuvent atteindre 100 millions de zlotys (environ 23 millions d'euros).

L'échelle est complètement différente, n'est-ce pas ? Ce ne sont donc pas seulement les grands acteurs qui doivent se préoccuper du pourcentage, mais toute personne qui se trouve dans le mauvais secteur.

Pourquoi le NIS2 représente-t-il un changement majeur pour les entreprises polonaises ?

Deux choses ont changé.

Tout d'abord, la responsabilité. Auparavant, si une entreprise présentait des faiblesses en matière de sécurité, la responsabilité était souvent suffisamment répartie pour qu'aucune personne ne se sente exposée. Désormais, les conseils d'administration sont explicitement responsables. Cela change la façon dont ces conversations se déroulent en interne.

Deuxièmement, l'ampleur. Des milliers d'entreprises polonaises qui n'avaient jamais été soumises à des audits obligatoires de cybersécurité le sont désormais. Et les fenêtres strictes de 24 heures pour l'alerte précoce et de 72 heures pour le rapport formel signifient que vous devez mettre en place une surveillance et des processus avant que quelque chose ne se produise.

Études montrer Environ la moitié des petites et moyennes entreprises ont mis en place des contrôles de sécurité de base, et près de la moitié ont subi un incident au cours des deux dernières années. Ces chiffres suggèrent que beaucoup d'organisations partent de loin.

* Computer Security Incident Response Team du ministère de la défense nationale

** Computer Security Incident Response Team (équipe de réponse aux incidents de sécurité informatique) gérée par le Research and Academic Computer Network (réseau informatique universitaire et de recherche), l'institut national de recherche polonais.

Plus d'informations sur ce sujet

Blog

Naviguer dans DORA : le règlement de l'UE pour la résilience numérique

Blog

Cybersécurité dans le secteur bancaire: importance, menaces, défis

Blog

Comment prévenir les violations de données dans le secteur de la santé : meilleures pratiques de sécurité

Contactez-nous

Réserver un appel ou remplissez le formulaire ci-dessous et nous vous contacterons dès que nous aurons traité votre demande.

Nom

Entreprise

Courriel :

Téléphone

Message

Envoyez-nous un message vocal

Joindre des documents

Charger fichier

Vous pouvez joindre un fichier d'une taille maximale de 2 Mo. Formats de fichiers valables : pdf, jpg, jpeg, png.

En cliquant sur Envoyer, vous consentez à ce qu'Innowise traite vos données personnelles conformément à notre politique de confidentialité. Politique de confidentialité pour vous fournir des informations pertinentes. En communiquant votre numéro de téléphone, vous acceptez que nous puissions vous contacter par le biais d'appels vocaux, de SMS et d'applications de messagerie. Les tarifs des appels, des messages et des données peuvent s'appliquer.

Vous pouvez également nous envoyer votre demande
à contact@innowise.com

Que se passe-t-il ensuite ?

Une fois que nous aurons reçu et traité votre demande, nous vous contacterons pour détailler les besoins de votre projet et signer un accord de confidentialité.

Après avoir examiné vos souhaits, vos besoins et vos attentes, notre équipe élaborera une proposition de projet avec l'étendue des travaux, la taille de l'équipe, les délais et les coûts estimés projet avec l'étendue des travaux, la taille de l'équipe, les délais et les coûts estimés.

Nous prendrons rendez-vous avec vous pour discuter de l'offre et régler les détails.

Enfin, nous signons un contrat et commençons immédiatement à travailler sur votre projet.

Mise en œuvre du NIS2 : ce qu'il faut savoir pour s'y conformer en 2026

Voir le profil

Qu'est-ce que la directive NIS2 ?

Liste de contrôle pour la mise en œuvre du NIS2 : Exigences fondamentales de l'UE

Comment la Pologne a mis en œuvre le NIS2

Quelles sont les entreprises concernées ?

Principales exigences en matière de cybersécurité dans le cadre du NIS2

Soutien d'experts pour gérer les exigences du NIS2

Nouveaux délais de mise en conformité avec le NIS2

Sanctions en cas de non-respect

Pourquoi le NIS2 représente-t-il un changement majeur pour les entreprises polonaises ?

Plus d'informations sur ce sujet

Contactez-nous

S'abonner à à notre bulletin d'information

S'abonner à
à notre bulletin d'information