Pôle
Conformité NIS2 : se préparer avant le vote de la loi française
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 9 500 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
NIS2 · 01
Qu'est-ce que la directive NIS2 ?
La directive NIS2 (directive (UE) 2022/2555) relève le niveau commun de cybersécurité dans l'Union. Elle remplace la première directive NIS, dont le périmètre était trop étroit et l'application trop inégale d'un pays à l'autre. Elle fixe un socle d'obligations que chaque État membre devait transposer avant le 17 octobre 2024.
Le principe est le même partout : les entités visées doivent gérer leurs risques avec des mesures proportionnées, notifier leurs incidents importants et impliquer leur direction dans le pilotage de la cybersécurité.
NIS2 · 02
Où en est la France
Au 6 octobre 2026, la loi française qui doit transposer NIS2 n'est pas encore votée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 ; son examen en séance à l'Assemblée nationale, prévu début octobre 2026, a été reporté. La Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour ce retard, le 8 juillet 2026.
Lire la suiteRéduire
Concrètement : les obligations ne s'appliquent pas encore en droit français, et les délais exacts dépendront de la loi et de ses décrets. L'ANSSI, qui sera l'autorité compétente, a ouvert un préenregistrement volontaire des entités sur son portail MonEspaceNIS2. Les mesures attendues, elles, sont écrites dans la directive : les préparer maintenant évite de tout faire dans l'urgence après le vote.
NIS2 · 03
Entités essentielles et entités importantes
NIS2 distingue deux catégories. La qualification dépend du secteur d'activité (annexes I et II de la directive) et de la taille : est au moins de taille moyenne une entreprise d'au moins 50 salariés, ou dont le chiffre d'affaires et le total de bilan annuels dépassent tous deux 10 millions d'euros. Certaines entités sont visées quelle que soit leur taille.
Les entités essentielles font l'objet d'un contrôle plutôt a priori, les entités importantes d'un contrôle plutôt a posteriori. Les deux catégories ont les mêmes grandes obligations de gestion des risques et de notification.
Secteurs hautement critiques (annexe I) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau, infrastructures numériques, gestion des services TIC, administration publique, espace.
Autres secteurs critiques (annexe II) : services postaux, gestion des déchets, produits chimiques, alimentation, fabrication, fournisseurs numériques, recherche.
Taille : à partir de la moyenne entreprise, sauf exceptions prévues par le texte.
NIS2 · 04
Les obligations prévues par la directive
NIS2 ne prescrit pas une liste de produits à acheter, mais un résultat : maîtriser ses risques et savoir réagir. L'article 21 liste les mesures attendues, proportionnées à l'exposition de chaque entité :
Analyse des risques et politiques de sécurité des systèmes d'information.
Gestion des incidents et notification : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois (article 23), délais qui s'appliqueront en France avec la loi et ses décrets.
Continuité d'activité, sauvegardes et gestion de crise.
Sécurité de la chaîne d'approvisionnement : évaluer et encadrer la sécurité de vos fournisseurs critiques.
Sécurité du développement et de la maintenance, gestion des vulnérabilités.
Chiffrement, contrôle d'accès, authentification multifacteur, hygiène informatique et formation.
Implication de la direction (article 20) : elle approuve les mesures, en supervise la mise en œuvre et doit se former.
NIS2 · 05
Notre accompagnement
Nous partons de votre statut réel, mesurons l'écart avec les exigences, puis construisons un plan que vos équipes peuvent tenir. Nous ne délivrons pas de certification NIS2 : elle n'existe pas.
Simulateur NIS2 : quelques questions pour une première orientation, gratuitement.
NIS2 : qui est concerné : les critères de secteur et de taille expliqués.
Audit de conformité NIS2 : l'analyse d'écarts, à partir de 9 500 € HT.
Plan de mise en conformité : les chantiers dans l'ordre, budgétés.
NIS2 · 06
Combien coûte une mise en conformité NIS2 ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsLa mission démarre à 9 500 € HT pour une PME entité importante. Elle comprend la qualification de votre statut, l'analyse d'écarts et le plan de mise en conformité, soit 10 à 30 jours de travail selon la taille. Pour une entité essentielle ou une ETI, le nombre de jours est plus élevé ; il est écrit dans la proposition, avec le nom de l'intervenant.
Une organisation déjà engagée dans ISO 27001 part de plus haut et paie moins de jours. La mise en œuvre du plan peut ensuite être pilotée par vos équipes, avec notre appui ponctuel ou par un RSSI à temps partagé.
Déroulé
Comment se passe une mission
Durée type : 10 à 30 jours de travail selon la taille. Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Qualification
Secteur, taille, cas particuliers : êtes-vous concerné, comme entité essentielle ou importante ?
- 02
Analyse d'écarts
Vos pratiques comparées, mesure par mesure, à l'article 21 de la directive.
- 03
Plan d'action
Chantiers classés par risque et par effort, avec jalons, responsables et budget.
- 04
Restitution
Présentation à la direction, qui approuve les mesures comme le prévoit la directive.
- 05
Suivi
Pilotage du plan par vos équipes, avec notre appui ou un RSSI à temps partagé.
Les prestations de ce pôle et leurs prix
Chaque prestation peut se commander seule. Les prix sont hors taxes.
Questions fréquentes
La directive NIS2, c'est quoi en une phrase ?
C'est le texte européen (directive (UE) 2022/2555) qui étend et harmonise les obligations de cybersécurité des organisations importantes pour l'économie et la société, et qui responsabilise leurs dirigeants.
À partir de quand faudra-t-il être conforme en France ?
La date dépendra de la loi de transposition et de ses décrets. Au 6 octobre 2026, la loi n'est pas encore votée : son examen en séance à l'Assemblée nationale, prévu début octobre 2026, a été reporté. Les mesures demandent plusieurs mois de travail ; mieux vaut les préparer maintenant.
Faut-il attendre le vote de la loi pour agir ?
Non. Les mesures de l'article 21 de la directive ne changeront pas sur le fond, et vos clients soumis à NIS2 vous les demandent parfois déjà. Les délais exacts et les modalités de déclaration, eux, viendront avec la loi et ses décrets.
Quelle différence entre entité essentielle et entité importante ?
Les deux catégories ont les mêmes grandes obligations. Elles se distinguent surtout par la supervision : plutôt a priori pour les entités essentielles, plutôt a posteriori pour les entités importantes. La catégorie dépend du secteur et de la taille.
AOCSI délivre-t-il une certification NIS2 ?
Non, et personne ne le peut : NIS2 est une obligation légale, pas un label. Nous vous accompagnons dans la mise en conformité et documentons votre niveau de conformité aux exigences.
Une démarche ISO 27001 aide-t-elle pour NIS2 ?
Oui. Un système de management de la sécurité conforme à l'ISO 27001 couvre une large part des mesures attendues (analyse de risque, gestion des incidents, continuité). Il ne suffit pas seul, mais il accélère la mise en conformité.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.