Directive NIS2 en France : ce qu’elle implique pour les équipes qui travaillent hors du bureau

La directive (UE) 2022/2555, dite NIS2, a remplacé la première directive NIS et fixe un niveau commun de cybersécurité dans l’UE. Les États membres devaient la transposer au plus tard le 17 octobre 2024 et appliquer leurs règles nationales à partir du 18 octobre 2024. La France fait partie des États en retard. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui porte la transposition de NIS2, a été adopté par le Sénat le 12 mars 2025 en procédure accélérée, puis transmis à l’Assemblée nationale. À la date de mise à jour de ce guide, le dossier législatif n’indique pas d’adoption définitive, et l’ANSSI précise que la transposition est en cours.

La directive s’applique aux entités essentielles et importantes des secteurs énumérés dans ses annexes I et II : énergie, transports, secteur bancaire, santé, eau potable et eaux usées, infrastructures numériques, administration publique, espace, services postaux, gestion des déchets, produits chimiques, alimentation, fabrication, fournisseurs numériques et recherche. En règle générale, les moyennes et grandes organisations de ces secteurs sont concernées ; certaines, comme certains organismes de l’administration publique ou le fournisseur unique d’un service critique, le sont quelle que soit leur taille.

En attendant, l’ANSSI, autorité nationale chargée de la mise en œuvre, invite les futures entités essentielles et importantes à se préparer dès maintenant. Elle annonce plusieurs milliers d’entités dans 18 secteurs, pour l’essentiel des moyennes et grandes entreprises ainsi que des collectivités territoriales et des administrations. Sur MonEspaceNIS2, elle propose un test d’éligibilité, un pré-enregistrement des entités et une version de travail du Référentiel Cyber France (ReCyF), qui liste les mesures recommandées et pourra encore évoluer avec les débats parlementaires. Les obligations précises dépendront de la loi et de ses décrets : vérifiez leur état avant de vous fier au seul texte européen.

NIS2 protège les services fournis par une entité, et avec eux les réseaux et systèmes d’information dont ces services dépendent. Les équipes de réparation d’un service des eaux, les équipes de dépannage d’un distributeur d’électricité, les équipages d’un service d’ambulances ou la cellule de crise d’un conseil départemental s’appuient tous sur des systèmes situés hors du centre de données :

• les téléphones et tablettes qui reçoivent les missions, les cartes et les plans ;
• la messagerie utilisée pour coordonner une intervention, y compris les applications grand public adoptées par les équipes d’elles-mêmes ;
• les données de localisation, photos et fiches d’incident créées sur le terrain ;
• les services cloud et les fournisseurs qui hébergent ces applications et ces données ;
• les solutions de repli pour les moments où le réseau mobile ou le système central est hors service.

L’article 21 exige des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées », fondées sur une approche tous risques. Il énumère dix domaines au minimum. Lus en pensant aux équipes de terrain, ils donnent ceci :

• Analyse des risques et politiques de sécurité : incluez les appareils mobiles, les applications de terrain et les données qu’ils contiennent dans votre évaluation des risques.
• Gestion des incidents : un téléphone perdu, un compte de messagerie piraté ou une trace de localisation divulguée est un incident ; les équipes doivent savoir comment le signaler.
• Continuité des activités, sauvegardes et gestion de crise : prévoyez comment les équipes continuent à travailler quand le réseau ou le système central tombe, ce qui suppose en pratique des cartes hors ligne et des données sur l’appareil.
• Sécurité de la chaîne d’approvisionnement : évaluez les éditeurs des applications de terrain et les services sur lesquels elles reposent.
• Sécurité de l’acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités.
• Évaluation de l’efficacité des mesures prises.
• Cyberhygiène et formation : verrouillage d’écran, mises à jour, sensibilisation à l’hameçonnage pour les équipes de terrain, pas seulement pour le personnel de bureau.
• Politiques de cryptographie et de chiffrement, qui doivent couvrir les messages, photos et fichiers envoyés du terrain.
• Sécurité des ressources humaines, contrôle d’accès et gestion des actifs : savoir quels appareils existent, qui les détient, et retirer rapidement les accès quand quelqu’un part.
• Authentification à plusieurs facteurs et communications vocales, vidéo et textuelles sécurisées, ainsi que des systèmes sécurisés de communication d’urgence au sein de l’entité, le cas échéant.

L’article 20 impose aux organes de direction d’approuver les mesures de cybersécurité, d’en superviser la mise en œuvre et de suivre eux-mêmes une formation. Leur responsabilité peut être engagée en cas de violation. Les opérations de terrain sont souvent dirigées par des personnes qui ne voient jamais la politique de sécurité ; NIS2 attend de la direction qui la valide qu’elle sache comment elle s’applique sur le terrain.

L’article 34 fixe le plancher des amendes : au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les plafonds nationaux peuvent être fixés plus haut.

Sinkaos regroupe la coordination de terrain dans un seul système dont vous pouvez rendre compte : clés par appareil et révocation, MFA et passkeys, messages et fichiers chiffrés de bout en bout, fonctionnement hors ligne quand le réseau tombe, journal d’audit infalsifiable, et au choix un hébergement dans l’UE, vos propres serveurs ou un nœud déconnecté. Il vous aide à remplir les obligations de NIS2 ; il ne vous rend pas conforme à lui seul. Les détails sont sur la page Sécurité et dans Déploiement.