La directive européenne sur la cybersécurité NIS2 s'applique désormais dans toute l'Union européenne. Chaque État membre la transpose dans son droit national - l'Allemagne depuis décembre 2025, la Pologne à partir d'avril 2026, et dans certains pays sans aucune période de transition. J'ai rassemblé ici, en langage clair : qui est concerné, ce qu'elle exige, quelles amendes s'appliquent et par quoi commencer.
Ce contenu est fourni à titre d'information et ne constitue pas un conseil juridique. La classification définitive de votre entreprise est à confirmer avec un avocat.
NIS2 est la directive européenne sur la cybersécurité - formellement la directive (UE) 2022/2555. Elle a remplacé l'ancienne directive NIS de 2016 et a nettement relevé le niveau d'exigence : davantage de secteurs, davantage d'obligations et des amendes qui pèsent réellement. Son objectif est un niveau élevé et commun de cybersécurité dans toute l'Union.
Chaque État membre transpose la directive dans son propre droit national, et les transpositions diffèrent par leurs dates et leurs détails. La loi de transposition allemande est entrée en vigueur le 6 décembre 2025, sans période de transition ; la loi polonaise modifiée relative au système national de cybersécurité s'applique à partir du 3 avril 2026. Dans chaque pays, une autorité nationale contrôle la conformité.
La directive NIS2 est la législation de l'UE en matière de cybersécurité applicable dans toute l'Union. Elle prévoit des mesures juridiques destinées à renforcer le niveau global de cybersécurité dans l'UE.- Commission européenne, digital-strategy.ec.europa.eu
Les entités moyennes et grandes (à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires) dans 18 secteurs - notamment l'industrie, l'énergie, les transports, la santé et les services numériques. Leurs fournisseurs aussi, par le biais d'exigences inscrites dans les contrats.
Pour les entités essentielles, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial ; pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %. S'y ajoute la responsabilité personnelle de la direction.
Le délai de transposition fixé par l'UE a expiré le 17 octobre 2024. Les lois nationales s'appliquent désormais - en Allemagne depuis le 6 décembre 2025 sans période de transition, en Pologne à partir du 3 avril 2026 - généralement avec une fenêtre d'enregistrement de quelques mois.
La directive répartit les entreprises en deux catégories - entités essentielles et entités importantes - selon le secteur et la taille.
En règle générale, les entreprises à partir de 250 salariés ou 50 millions d'euros de chiffre d'affaires qui opèrent dans les secteurs critiques couverts par la législation. Elles sont soumises à une supervision plus stricte et à des amendes plus élevées.
Les entreprises de taille moyenne (à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires) des secteurs couverts qui restent sous les seuils des entités essentielles. Un plafond d'amende plus bas, les mêmes obligations de fond.
Annexe I - secteurs hautement critiques
Annexe II - autres secteurs critiques
Même si votre entreprise n'entre pas elle-même dans le champ de NIS2, elle peut y être entraînée indirectement. Lorsque vous fournissez des logiciels, une infrastructure ou des services critiques à une entité couverte, ce client est tenu de vérifier comment vous gérez la cybersécurité. En pratique, cela se traduit par des clauses contractuelles qui vous imposent des exigences proches de celles qui pèsent sur votre grand client.
L'article 21 de la directive fixe un socle minimal de mesures de gestion des risques. Il prescrit les résultats attendus et laisse à l'entreprise le choix de la technologie.
Un incident important est notifié par étapes au CSIRT national compétent ou à l'autorité de contrôle. Les délais courent à partir du moment où l'incident est connu.
Alerte précoce. Première notification de l'incident à l'autorité, qui indique s'il peut résulter d'un acte illicite ou malveillant.
Notification de l'incident avec une première évaluation de sa gravité et de son impact, accompagnée des indicateurs de compromission (IoC).
Rapport final : description complète de l'incident, analyse des causes profondes, mesures prises et éventuel impact transfrontalier.
La directive introduit des amendes qui pèsent dans le budget de toute entreprise. Pour les entités essentielles, elles atteignent jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total - le montant le plus élevé étant retenu. Pour les entités importantes, c'est jusqu'à 7 millions d'euros ou 1,4 %.
Nouveau et décisif : la direction doit approuver les mesures de gestion des risques et superviser leur mise en œuvre - et elle répond des manquements. Cette responsabilité ne peut pas être entièrement déléguée ni transférée par contrat. La cybersécurité est ainsi devenue, une fois pour toutes, une affaire de direction générale plutôt que du seul service informatique.
Les calendriers diffèrent selon les États membres. L'Allemagne applique sa loi dès le premier jour, avec un enregistrement à effectuer dans les trois mois ; la Pologne accorde une fenêtre plus longue, avec des obligations introduites progressivement jusqu'en avril 2027. Où que vous exerciez votre activité, le cap est le même - et sur l'ensemble du marché, la plupart des entreprises concernées ont encore du travail devant elles.
Source : directive (UE) 2022/2555 ainsi que les lois nationales de transposition et les autorités nationales.
La directive (UE) 2022/2555 est entrée en vigueur ; les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national.
Les transpositions entrent en vigueur dans toute l'UE - en Allemagne depuis le 6 décembre 2025 sans période de transition, en Pologne à partir du 3 avril 2026 - avec des délais d'enregistrement de quelques mois après l'entrée en vigueur.
Gestion des risques, notification des incidents (24 / 72 h / un mois), obligations de preuve et de documentation - à maintenir en permanence.
L'autorité de contrôle peut exiger la preuve que les mesures sont mises en œuvre ; les entités essentielles font l'objet d'une supervision régulière.
Il y a trois choix d'architecture que je fais dès le premier jour de chaque projet - parce qu'ils mènent de toute façon vers la conformité avec la directive.
Les données restent chez vous. Tout ce que je construis fonctionne dans l'infrastructure du client (sur site ou sur un serveur que vous contrôlez vous-même, hébergé où vous le souhaitez). Cela règle le problème de la chaîne d'approvisionnement au niveau technique, avant même que quiconque commence à en parler.
Des journaux d'audit dès le premier jour. Le serveur les tient automatiquement : qui, quand, quoi. J'y ajoute la journalisation dont vous avez besoin ou qu'exige la réglementation. Le contrôle d'accès fonctionne au niveau de l'enregistrement, et pas seulement à l'écran.
La documentation s'écrit toute seule. Elle est générée automatiquement au fil de la construction du système. Vous recevez un dossier prêt, que vous pouvez en pratique régénérer à tout moment depuis le système - et utiliser comme base pour toute autre formalité exigée par la réglementation.
Dernière mise à jour : juillet 2026. Contenu informatif ; il ne constitue pas un conseil juridique.
Le premier échange est une conversation tranquille pour faire connaissance. Je vérifie si je peux vous aider. Pas de diapositives, pas de pression commerciale. Si je vois que ça ne colle pas, je le dis directement.
Choisissez un créneau dans le calendrier - on se retrouve sur Zoom.
Ouvrir le calendrierDécrivez brièvement votre besoin - je réponds sous un jour ouvré. Souvent plus vite.
Téléphone +48 601 789 966 - vous pouvez appeler, je décroche moi-même.
