NIS2 est la directive européenne (UE) 2022/2555 sur la cybersécurité. Elle s'applique aux entreprises moyennes et grandes de 18 secteurs, dont une grande partie de l'industrie : chimie, agroalimentaire, pharmacie, dispositifs médicaux, électronique, équipements électriques, machines, automobile et autres matériels de transport. Elle impose des mesures de gestion des risques, la notification des incidents graves sous 24 heures et engage la responsabilité de la direction. En France, la loi qui la transpose n'était toujours pas adoptée au 4 novembre 2026.
NIS2 : définition
La directive NIS2 a été adoptée le 14 décembre 2022 et publiée au Journal officiel de l'Union européenne le 27 décembre 2022. Elle remplace la première directive NIS de 2016, qui ne visait qu'un nombre restreint d'opérateurs de services essentiels. Ses principes :
- un champ élargi : 18 secteurs, dont la fabrication de produits critiques ;
- un critère de taille : en règle générale, toutes les entreprises moyennes et grandes de ces secteurs sont concernées, sans désignation au cas par cas ;
- des obligations communes : mesures de sécurité, notification des incidents, enregistrement auprès de l'autorité nationale ;
- des sanctions proportionnées au chiffre d'affaires mondial.
Les États membres devaient la transposer avant le 17 octobre 2024. En France, l'autorité chargée de sa mise en œuvre est l'ANSSI (Agence nationale de la sécurité des systèmes d'information).
Quelles entreprises industrielles sont concernées
La directive classe les secteurs en deux annexes. L'industrie se trouve surtout dans la seconde, intitulée « autres secteurs critiques » :
- la fabrication de dispositifs médicaux et de dispositifs de diagnostic in vitro ;
- la fabrication de produits informatiques, électroniques et optiques (division 26 de la nomenclature européenne NACE) ;
- la fabrication d'équipements électriques (division 27) ;
- la fabrication de machines et équipements (division 28) ;
- la construction de véhicules automobiles, remorques et semi-remorques (division 29) ;
- la fabrication d'autres matériels de transport (division 30), comme le ferroviaire, l'aéronautique ou la construction navale ;
- la fabrication et la distribution de produits chimiques, au sens du règlement REACH ;
- la production et la transformation industrielles de denrées alimentaires, et leur distribution en gros.
Les « secteurs hautement critiques » de la première annexe comptent aussi des industriels : la production d'énergie, l'eau, et dans la santé, la fabrication de produits pharmaceutiques de base et de préparations pharmaceutiques (division 21), ainsi que les dispositifs médicaux jugés critiques en cas d'urgence sanitaire.
Pour la taille, l'ANSSI résume ainsi les seuils :
- entité essentielle : au moins 250 personnes, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de bilan, dans un secteur hautement critique ;
- entité importante : au moins 50 personnes, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan.
Une usine de machines ou une entreprise agroalimentaire de taille moyenne ou grande est donc en principe entité importante. Un grand fabricant de médicaments est entité essentielle. L'ANSSI estime que plusieurs milliers d'entités seront concernées en France et met en ligne un test pour le vérifier.
Les obligations
Les obligations sont les mêmes pour les deux catégories ; c'est l'intensité du contrôle et le montant des sanctions qui changent.
La direction est responsable. Les organes de direction approuvent les mesures de cybersécurité, en supervisent la mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres doivent suivre une formation.
Dix mesures minimales de gestion des risques, selon une approche « tous risques » qui couvre aussi l'environnement physique des systèmes :
- l'analyse des risques et la politique de sécurité des systèmes d'information ;
- la gestion des incidents ;
- la continuité d'activité : sauvegardes, reprise après sinistre, gestion de crise ;
- la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires directs ;
- la sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris le traitement des vulnérabilités ;
- l'évaluation de l'efficacité des mesures ;
- l'hygiène informatique de base et la formation ;
- la cryptographie et, s'il y a lieu, le chiffrement ;
- la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
- l'authentification à plusieurs facteurs et des communications sécurisées.
La notification des incidents importants à l'autorité, c'est-à-dire ceux qui causent une perturbation grave ou des pertes financières :
- une alerte précoce dans les 24 heures après en avoir eu connaissance ;
- une notification dans les 72 heures, avec une première évaluation ;
- un rapport final au plus tard un mois après la notification.
L'enregistrement : une entité qui entre dans le champ s'enregistre auprès de l'ANSSI, qui a ouvert un service de pré-enregistrement.
Pour un industriel, ces obligations portent sur l'ensemble de ses réseaux et systèmes d'information, ce qui inclut les systèmes de l'atelier dès lors qu'ils servent son activité. La protection technique de ces systèmes (automates, supervision, réseaux de l'usine) est détaillée dans notre guide Sécurité SCADA.
Les sanctions
La directive fixe des plafonds minimaux, que chaque pays peut relever :
- entités essentielles : jusqu'à au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial du groupe, le montant le plus élevé étant retenu ;
- entités importantes : jusqu'à au moins 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.
Ces amendes visent les manquements aux mesures de sécurité et aux obligations de notification.
Où en est NIS2 en France
La transposition a pris du retard :
- 15 octobre 2024 : dépôt au Sénat du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2 et deux autres directives ;
- 12 mars 2025 : adoption par le Sénat ;
- 10 septembre 2025 : adoption du texte par la commission spéciale de l'Assemblée nationale ;
- 6 octobre 2026 : le texte, prévu en séance les 7 et 9 octobre, est retiré de l'ordre du jour, sans nouvelle date.
Au 4 novembre 2026, aucune loi n'est donc promulguée et les obligations de NIS2 ne s'appliquent pas encore en droit français. Il faudra ensuite des décrets et des arrêtés. En attendant, l'ANSSI invite les futures entités à s'y préparer et a publié son référentiel de mesures, ReCyF, en version de travail. La France fait par ailleurs l'objet d'une procédure devant la Cour de justice de l'Union européenne pour transposition incomplète. Au niveau européen, la Commission a proposé le 20 janvier 2026 des modifications ciblées de la directive pour en simplifier l'application.
NIS2 et Cyber Resilience Act : l'entreprise et le produit
Un industriel peut être concerné par deux textes européens différents :
- NIS2 vise l'entreprise : la sécurité de ses propres systèmes et la notification de ses incidents ;
- le Cyber Resilience Act (règlement (UE) 2024/2847) vise les produits qui comportent des éléments numériques, matériels ou logiciels, mis sur le marché européen.
Le Cyber Resilience Act est entré en vigueur le 10 décembre 2024. Depuis le 11 septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves touchant leurs produits, y compris ceux déjà sur le marché. Ses autres obligations s'appliquent à partir du 11 décembre 2027. Un fabricant de machines ou d'équipements connectés peut donc relever de NIS2 pour son usine et du Cyber Resilience Act pour ce qu'il vend.
Ce qu'en disent les industriels à Tech for Industry Show
À Tech for Industry Show 2026, à Paris Expo Porte de Versailles :
- Exotec, fabricant français de robots d'entrepôt, est classé entité importante. L'entreprise estime couvrir déjà environ 80 % des exigences de NIS2 grâce à sa certification ISO 27001 et à son rapport SOC 2 Type II annuel. Elle prépare aussi le Cyber Resilience Act, condition du marquage CE de ses produits. Pour ses clients, grands groupes industriels, la cybersécurité est devenue un préalable aux discussions commerciales. Lire l'article
- Le cimentier Vicat, cité par le président de Schneider Electric France, a installé sondes, pare-feu et capteurs pour se mettre en conformité. Les données ainsi collectées, exploitées ensuite pour la performance, ont apporté 6 % de productivité en deux ans, l'équivalent de la production d'une cimenterie supplémentaire. Lire l'article
- Dassault Aviation observe en moyenne deux attaques par semaine sur sa chaîne d'approvisionnement. Pour éviter que chaque donneur d'ordre de l'aéronautique impose à ses fournisseurs des exigences proches mais différentes, la filière a mutualisé un service de sensibilisation et de protection cyber des sous-traitants, AirCyber. Lire l'article
Les conférences sont à revoir en replay : Cybersécurité et supply chain industrielle (Exotec), Tech et industrie : une alliance décisive dans la bataille mondiale.
Comment se préparer à NIS2
1. Vérifier si l'entreprise est concernée : secteur et code NACE de chaque société du groupe, effectif, chiffre d'affaires et bilan ; le test en ligne de l'ANSSI donne une première réponse.
2. Désigner le responsable au niveau de la direction et prévoir la formation des dirigeants.
3. Faire l'inventaire des systèmes, bureautique et atelier compris, et des fournisseurs qui y accèdent.
4. Comparer l'existant aux dix mesures de la directive, à l'aide du référentiel ReCyF de l'ANSSI ; une certification ISO 27001 couvre déjà une partie du chemin.
5. Écrire la procédure de notification : qui détecte, qui qualifie l'incident, qui alerte l'ANSSI dans les 24 heures.
6. Revoir les contrats fournisseurs : clauses de sécurité, accès à distance, notification des incidents.
7. Suivre le calendrier de la loi et s'enregistrer auprès de l'ANSSI dès que l'entité se sait concernée.
Questions fréquentes
Qu'est-ce que NIS2 ?
La directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose des mesures de sécurité et la notification des incidents aux entreprises moyennes et grandes de 18 secteurs.
Quelles industries sont concernées par NIS2 ?
La chimie, l'agroalimentaire, la pharmacie, les dispositifs médicaux, l'électronique, les équipements électriques, les machines, l'automobile et les autres matériels de transport, ainsi que l'énergie et l'eau.
Une PME industrielle est-elle concernée ?
Oui à partir de la taille d'une entreprise moyenne, soit au moins 50 personnes ou plus de 10 millions d'euros de chiffre d'affaires et de bilan, si son activité figure dans les secteurs de la directive. Une plus petite entreprise peut aussi recevoir des exigences de ses clients concernés, au titre de la sécurité de leur chaîne d'approvisionnement.
Quand NIS2 s'applique-t-elle en France ?
Après la promulgation de la loi de transposition et la publication de ses décrets. Au 4 novembre 2026, le projet de loi, adopté par le Sénat en mars 2025, attend toujours son examen en séance à l'Assemblée nationale.
Quelles sont les sanctions prévues par NIS2 ?
Jusqu'à au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante.
Quelle différence entre NIS2 et le Cyber Resilience Act ?
NIS2 porte sur la sécurité des systèmes de l'entreprise ; le Cyber Resilience Act porte sur la sécurité des produits numériques qu'elle met sur le marché.
