5 min de lecture
ChatGPT
Mistral
Perplexity
Claude
Date de mise à jour 13/08/2026
Qu'est-ce que la directive NIS1 ?
Les objectifs initiaux de NIS1
Adoptée le 6 juillet 2016, la directive (UE) 2016/1148, dite « NIS 1 », est le premier texte européen consacré à la cybersécurité. Son ambition était de garantir un niveau commun élevé de sécurité des réseaux et des systèmes d'information dans l'ensemble de l'Union, en imposant trois piliers : une capacité nationale de cybersécurité dans chaque État membre (autorités compétentes, CSIRT), une coopération renforcée entre États membres et des obligations de sécurité et de notification d'incidents pour certains opérateurs jugés critiques.
En France, NIS1 a été transposée par la loi n° 2018-133 du 26 février 2018, complétée par un décret et plusieurs arrêtés publiés jusqu'en septembre 2018. Ce dispositif s'est appuyé sur l'expérience acquise avec les opérateurs d'importance vitale (OIV), déjà encadrés depuis la loi de programmation militaire de 2013, mais en créant une nouvelle catégorie d'acteurs : les opérateurs de services essentiels (OSE).
Les secteurs concernés par NIS1
NIS 1 couvrait un périmètre restreint, centré sur sept secteurs jugés vitaux pour le fonctionnement de l'économie et de la société : l'énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, la fourniture et distribution d'eau potable, mais aussi les infrastructures numériques.
À ces opérateurs de services essentiels s'ajoutaient les fournisseurs de service numérique (FSN) comme les Marketplace en ligne, les moteurs de recherche, services d'informatique Cloud, sous réserve de dépasser certains seuils de taille.
Les résultats obtenus depuis 2016
NIS 1 a posé les fondations d'une politique européenne de cybersécurité : création de l'ANSSI comme autorité de référence en France, désignation des premiers OSE (une centaine dès novembre 2018), mise en place de processus de notification d'incidents et de contrôles. Mais l'exercice a aussi révélé les limites structurelles du texte, qui ont directement motivé la refonte opérée par NIS2.
Pourquoi l'Union européenne a-t-elle décidé de remplacer NIS1 ?
Une couverture sectorielle trop limitée
Avec seulement sept secteurs couverts et environ 500 entités concernées en France, NIS 1 laissait hors périmètre des pans entiers de l'économie pourtant exposés à un risque cyber croissant : gestion des déchets, industrie chimique, agroalimentaire, fabrication de dispositifs médicaux, espace, administrations publiques, services postaux. Un incident touchant un de ces secteurs pouvait avoir des conséquences systémiques sans qu'aucune obligation de sécurité ne s'applique à l'organisation concernée.
Une application hétérogène selon les États membres
La directive NIS 1 laissait une large marge d'interprétation aux États membres : définition des opérateurs essentiels, niveau d'exigence des mesures de sécurité, délais de notification, barème des sanctions. Ainsi, une entreprise pouvait être soumise à des obligations strictes en France et rester hors champ dans un autre pays de l'Union, ce qui créait des distorsions de concurrence et affaiblissait la cohérence du marché intérieur numérique.
L'explosion des cyberattaques
Entre 2016 et 2022, la fréquence, la sophistication et l'impact économique des cyberattaques (rançongiciels, attaques contre des infrastructures critiques, campagnes visant les collectivités et les hôpitaux) ont fortement augmenté à l'échelle européenne : selon l'ENISA (Agence de l’Union européenne pour la cybersécurité), les dommages causés par les seuls rançongiciels ont été multipliés par 57 depuis 2015, atteignant 18 milliards d'euros en 2021, tandis que le nombre de cyberattaques observées par organisation en Europe a bondi de 26% rien qu'entre 2021 et 2022. Ce contexte a rendu visible l'écart entre le périmètre limité de NIS1 et la réalité d'une menace qui touche désormais aussi bien les grandes entreprises que les PME et ETI de secteurs jusque-là considérés comme secondaires.
La montée du risque lié aux fournisseurs
Plusieurs incidents majeurs survenus après 2016 ont montré qu'une organisation peut être parfaitement sécurisée en interne tout en restant vulnérable via un prestataire, un éditeur logiciel ou un sous-traitant compromis. NIS1 ne comportait aucune exigence structurée sur ce point. C'est l'un des angles morts que NIS2 corrige explicitement, en imposant la sécurisation de la chaîne d'approvisionnement comme mesure obligatoire.
NIS1 vs NIS2 : quelles différences concrètes ?
Ce tableau résume l'essentiel des nouveautés de NIS 2 : la nouvelle directive ne se contente pas d'ajouter des obligations, elle change la logique. On passe d'un texte de sécurité technique réservé x quelques centaines d'opérateurs à un cadre de gouvernance du risque cyber qui engage la direction générale et irrigue l'ensemble de la chaîne de valeur.
Quels nouveaux secteurs entrent dans le périmètre NIS2 ?
NIS 2 élargit nettement le périmètre de la cybersécurité réglementaire par rapport à NIS 1, avec deux catégories d'entités (« essentielles » et « importantes ») et un champ sectoriel presque doublé. Cette extension touche aussi les collectivités territoriales, jusqu'ici largement épargnées.
Infographie
Panorama des secteurs d'activité critiques et hautement critiques
Télécharger gratuitement notre infographie.
Vous confirmez accepter le traitement de vos données personnelles par BluKanGo, conformément à la Politique de Confidentialité (RGPD) et à recevoir nos communications. Vous pouvez vous désinscrire à tout moment.
Les secteurs essentiels
L'annexe I de NIS2 regroupe les secteurs dits « hautement critiques », qui prolongent et élargissent le périmètre de NIS1 : énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain), transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques (cloud, data centers, DNS, registres de noms de domaine, réseaux de communications électroniques), administration publique et espace.
Les secteurs importants
L'annexe II introduit une seconde catégorie, inédite sous NIS1 : les secteurs « importants ». On y trouve notamment les services postaux et d'expédition, la gestion des déchets, la fabrication, production et distribution de produits chimiques, la production et distribution alimentaire, certaines activités manufacturières (dispositifs médicaux, électronique, machines, véhicules), les fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et la recherche.
Les collectivités et administrations concernées
Un point souvent négligé réside dans le fait que la directive laissait aux États membres la liberté d'inclure ou non les administrations publiques locales dans son périmètre. La France a fait le choix d'une approche extensive en intégrant les régions, les départements, les communes de plus de 30 000 habitants ainsi que leurs groupements. De nombreuses collectivités, qui n'avaient jusqu'alors jamais été concernées par la cybersécurité réglementaire, découvrent ainsi qu'elles devront s'y conformer.
Ce qui change pour les dirigeants
Responsabilités renforcées
Sous NIS1, la cybersécurité restait largement une affaire de directions techniques. NIS2 change de braquet avec son article 20 : les organes de direction doivent approuver les mesures de gestion des risques cyber, en superviser la mise en œuvre et peuvent être tenus pour responsables des manquements de l'organisation.
Formation et implication de la direction
NIS 2 impose que les membres des organes de direction suivent une formation leur permettant d'identifier et d'évaluer les risques cyber ainsi que leurs pratiques de gestion et les encourage à proposer une formation similaire à l'ensemble des salariés. La cybersécurité devient un sujet de comité de direction, documenté et traçable.
Risques en cas de non-conformité
En cas de manquement grave et persistant, les autorités compétentes peuvent, pour les entités essentielles, aller jusqu'à demander la suspension temporaire de l'exercice de fonctions dirigeantes de la personne physique exerçant des responsabilités de direction ou agissant en tant que représentant légal. Une bascule notable par rapport à NIS1, où la responsabilité personnelle des dirigeants n'existait pas.
Ce qui change pour les équipes cybersécurité et IT
Gestion des risques
L'article 21 de NIS2 impose une politique formalisée d'analyse des risques et de sécurité des systèmes d'information, fondée sur une approche « tous risques » (« all-hazards »). Il ne s'agit plus d'obligations générales à interpréter, mais d'un socle commun de 10 domaines de mesures à documenter.
Mesures techniques obligatoires
Ce socle couvre notamment : la gestion des incidents, la continuité d'activité et la gestion de crise, la sécurité de la chaîne d'approvisionnement, la sécurité de l'acquisition, du développement et de la maintenance des systèmes, l'évaluation de l'efficacité des mesures de gestion des risques, les pratiques de cyberhygiène et la sensibilisation, les politiques de cryptographie et de chiffrement, la sécurité des ressources humaines et la gestion des accès, ainsi que le recours à l'authentification multifacteurs et à des solutions de communication sécurisées.
Gestion des fournisseurs
NIS2 impose de cartographier ses prestataires et fournisseurs critiques, d'évaluer les risques qu'ils font peser sur l'organisation et d'intégrer des exigences de cybersécurité dans les contrats. C'est un chantier entièrement nouveau par rapport à NIS1, qui ne traitait pas ce sujet.
Notification des incidents
Le dispositif remplace la notification « sans retard injustifié » de NIS1 par un schéma en trois temps, identique dans toute l'Union : une alerte précoce dans les 24 heures suivant la détection d'un incident significatif, une notification plus détaillée dans les 72 heures, puis un rapport final dans un délai d'un mois.
De NIS1 à NIS2 : la cybersécurité change de dimension
. . .
5 min de lecture
