NIS2 2026 : la directive qui terrifie les dirigeants français

Imagine. Vous dirigez une ETI française de 400 personnes, secteur logistique. Un mardi matin, votre DSI vous appelle à 6h : ransomware. Tout est chiffré. Comptabilité, stocks, factures, mails. Trois semaines de paralysie totale. Vous pensez le pire derrière vous ? Détrompez-vous.

Une lettre recommandée de l'ANSSI vous attend. Elle vous informe que vous, dirigeant, êtes personnellement mis en cause pour défaut de mesures de cybersécurité. Pas l'entreprise. Vous. Avec votre nom, votre patrimoine personnel, votre casier.

Ce scénario n'est plus de la science-fiction. C'est l'application directe de la directive NIS2, entrée en vigueur en France via la loi SREN, et dont les décrets d'application tombent maintenant un par un. En 2026, le cadre est complet. Les contrôles commencent.

NIS2 : ce que personne n'a compris à temps

La directive européenne NIS2 (Network and Information Security 2) remplace la directive NIS de 2016. Son ambition ? Aligner le niveau de cybersécurité des États membres en imposant des obligations contraignantes avec des sanctions dissuasives.

Sauf qu'entre l'adoption européenne en 2022 et l'application concrète en France, la plupart des dirigeants ont dormi. L'ANSSI a publié ses lignes directrices. Les cabinets de conseil ont alerté. Mais dans les conseils d'administration, on a globalement classé le dossier sous « IT, on verra plus tard ».

On est en juin 2026. « Plus tard » vient d'arriver.

La France a transposé NIS2 via la loi SREN (Sécurisation et régulation de l'espace numérique), adoptée en 2024. Les décrets d'application ont été publiés progressivement jusqu'en 2025. Les premières inspections de l'ANSSI ont démarré cette année. Et elles ne font pas de cadeaux.

Qui est concerné ? Tout le monde (ou presque)

C'est ici que ça devient douloureux. La directive NIS1 de 2016 ciblait les « opérateurs de services essentiels » — un club très fermé d'environ 2000 entités en France. NIS2 explose ce périmètre.

Deux catégories sont désormais soumises à des obligations :

La vraie secousse ? Les chaînes d'approvisionnement. Une PME de 60 personnes qui fournit un sous-système à un opérateur essentiel se retrouve automatiquement dans le radar. NIS2 crée un effet domino : on remonte la chaîne de sous-traitance jusqu'au plus petit maillon.

« NIS2 ne demande pas si vous êtes une grande entreprise. Elle demande si votre faille peut faire tomber quelqu'un de plus gros que vous. »

Si cela vous rappelle que la France bat tous les records de fuites de données en 2026, vous avez raison. Le législateur européen a regardé les statistiques — 8 613 violations recensées, +45 % en un an selon le baromètre du Forum INCYBER réalisé avec les données de la CNIL — et a décidé que les cartes sur la table avaient assez duré.

Le mur des amendes

Parlons argent. Les chiffres font mal.

Pour les entités essentielles, l'amende plafonne à 10 millions d'euros ou 2 % du chiffre d'affaires mondial consolidé, le plus élevé des deux étant retenu. Pour les entités importantes : 7 millions ou 1,4 % du CA mondial.

Ces montants ne sont pas théoriques. L'ANSSI dispose désormais des moyens humains et juridiques pour les prononcer. Et la direction générale de l'agence l'a dit publiquement à plusieurs reprises : la pédagogie a ses limites, les sanctions seront exemplaires.

Mais l'amende n'est pas le pire.

La responsabilité personnelle des dirigeants : le vrai séisme

L'article 20 de la directive NIS2 introduit une disposition qui a fait blêmir plus d'un avocat d'entreprise. Les organes de direction des entités doivent :

1. Approuver les mesures de gestion des risques cybersécurité
2. Suivre leur mise en œuvre
3. Suivre une formation régulière sur la cybersécurité
4. Être tenus personnellement responsables des manquements

Concrètement, un PDG qui ne peut pas prêter qu'il a formellement approuvé la stratégie cybersécurité de son entreprise, qui n'a pas suivi de formation, qui a délégué tout le sujet à la DSI sans aucun contrôle — ce PDG est un dirigeant défaillant au sens de la directive.

En droit français, cette défaillance peut s'analyser en faute de gestion. Conséquence possible : action en comblement de passif, mise en cause personnelle sur son patrimoine, interdiction de gérer.

Le cabinet d'avocats d'affaires Auguste Debouzy, dans une note publiée en 2025, parlait de « changement de paradigme fondamental » : pour la première fois en Europe, la cybersécurité n'est plus un sujet technique délégué à l'IT. C'est un sujet de gouvernance, au même titre que la conformité fiscale ou le RSE.

Les 7 obligations que vous ne pouvez plus ignorer

Si vous devez retenir quelque chose, retenez ceci. NIS2 impose sept piliers concrets :

1. Gestion des risques

Identifier, évaluer, traiter. Un plan d'action documenté. Pas un fichier Excel oublié dans un coin : un processus vivant, revu annuellement, présenté au board.

2. Notification d'incident en 24 heures

C'est la règle qui panique le plus les directions. En cas d'incident significatif : notification initiale à l'ANSSI dans les 24 heures. Mise à jour à 72 heures. Rapport complet à 1 mois. Les directions juridiques doivent préparer des templates de notification avant l'incident, pas après.

3. Continuité d'activité

Avez-vous testé votre plan de reprise après un ransomware cette année ? Si la réponse est non, vous êtes en infraction. NIS2 exige des tests réguliers, audités, documentés.

4. Sécurité de la chaîne d'approvisionnement

Vous devez évaluer la cybersécurité de vos fournisseurs critiques. Contrats, audits, questionnaires. Ce que les Anglo-Saxons appellent vendor risk management devient une obligation légale.

5. Sécurité de l'accès et des réseaux

Authentification multifactorielle obligatoire. Segmentation réseau. Chiffrement des données sensibles. La basique. Sauf que 60 % des ETI françaises n'ont même pas déployé le MFA sur tous leurs comptes administrateurs en 2026, selon une étude d'OpinionWay pour Verizon.

6. Formation et sensibilisation

Pas un e-learning de 15 minutes oublié dans l'intranet. Un programme structuré, avec des sessions régulières, des tests de phishing interne, et une traçabilité.

7. Cryptographie et gestion des clés

Avec l'arrivée de la menace quantique qui glace déjà Wall Street, NIS2 exige une politique cryptographique réfléchie. Migration vers la crypto post-quantique, gestion du cycle de vie des certificats. Les directions techniques doivent s'y coller.

Le paradoxe français : des règles strictes, des moyens dérisoires

Voici le problème. La France applique une des directives les plus ambitieuses d'Europe. Mais le tissu économique n'est pas prêt.

Le baromètre 2026 du Forum INCYBER, basé sur les données de la CNIL, montre 8 613 violations de données recensées en un an en France. Une hausse de 45 % par rapport à 2025. Et ce chiffre ne couvre que les violations déclarées — la réalité est probablement deux à trois fois plus élevée.

Les hôpitaux, déjà en première ligne des cyberattaques, illustrent parfaitement ce décalage. Des établissements qui peinent à payer des infirmières en plus doivent maintenant investir dans des SOC (Security Operations Center) à 500 000 euros par an.

Et les budgets ne suivent pas. Nos DSI françaises sont déjà étouffées par les coûts de l'IA : licences ChatGPT Enterprise, infrastructure GPU, talents data. Ajoutez NIS2 par-dessus et vous obtenez un cocktail explosif pour les finances des entreprises.

Pour une ETI qui fait 80 millions d'euros de CA avec 5 % de marge nette, l'addition représente entre 6 % et 18 % du résultat net. Sur un an.

Qui profite du crime ? L'industrie de la conformité

Derrière chaque régulation, il y a un marché. NIS2 ne fait pas exception.

Les cabinets de conseil (Deloitte, Wavestone, Orange Cyberdefense, Sopra Steria) ont ouvert des cellules dédiées. Le marché français de la cybersécurité devrait dépasser 5 milliards d'euros en 2026, porté à 40 % par les besoins de conformité réglementaire. Un chiffre cité par l'ANSSI dans son rapport annuel et confirmé par les analyses de Gartner.

Les éditeurs de solutions savent aussi saisir l'opportunité. Les outils de gestion des risques tiers (TPRM — Third Party Risk Management), de notification d'incident, de conformité documentaire se multiplient. Chacun promet de « automatiser votre conformité NIS2 en un clic ».

Spoiler : ça n'existe pas, la conformité en un clic. NIS2 est un processus continu, pas une case à cocher.

Le mouvement est en marche chez les assureurs

Les assureurs cyber, eux, ne se plaignent pas. La directive NIS2 rend l'assurance cyber presque obligatoire de facto. Un dirigeant personnellement responsable sans couverture ferait preuve d'une imprudence caractérisée.

Résultat : les primes d'assurance cyber ont augmenté de 25 à 40 % en France entre 2024 et 2026 selon les données de Marsh et Aon. Mais les assureurs durcissent aussi les critères d'éligibilité. Pas de MFA ? Pas d'assurance. Pas de sauvegardes immuables ? Couverture réduite. Plan de continuité non testé ? Franchise doublée.

NIS2 et le marché de l'assurance créent donc une double contrainte qui force les entreprises à investir, qu'elles le veuillent ou non.

Ce que les dirigeants doivent faire avant la fin de l'été

Si vous lisez cet article et que vous dirigez une entreprise concernée, voici votre feuille de route prioritaire :

• Lancer un audit de conformité NIS2 avant septembre 2026. Identifiez vos écarts. L'ANSSI publie des guides gratuits sur cyber.gouv.fr — utilisez-les comme point de départ.
• Convoquer un comité de direction dédié cybersécurité. Présentez les risques personnels pour les dirigeants. Documentez cette réunion.
• Désigner un référent NIS2 en interne. Pas forcément un RSSI — un pilote qui coordonne la conformité.
• Cartographier vos fournisseurs critiques. C'est l'obligation la plus sous-estimée et la plus coûteuse.
• Préparer vos templates de notification d'incident. À 24 heures, vous n'aurez pas le temps de réfléchir au formulation.
• Vérifier votre couverture d'assurance cyber. Lisez les exclusions. La plupart ne couvrent pas les amendes réglementaires.
• Investir dans la formation des dirigeants. Une journée de formation cybersécurité pour le comité de direction coûte 5000 à 150 000 euros. Une amende NIS2 en coûte 1000 fois plus.

L'Europe a raison, mais la méthode fait débat

Faut-il le dire ? La directive NIS2 est probablement nécessaire. Le niveau de cybersécurité des organisations européennes était insuffisant. Les attaques se multiplient. Les fuites de données atteignent des niveaux inédits : 370 millions de données personnelles exposées en France selon Vigilance Numérique.

Mais la méthode interroge. Imposer des obligations coûteuses à des entreprises qui ont déjà du mal à investir dans leur cœur de métier, sans accompagnement financier sérieux, crée un risque de dualisation. Les grands groupes vont payer. Les ETI vont bricoler. Les PME vont ignorer et prier.

Et pendant ce temps, les attaquants n'attendent pas que vous soyez conforme pour frapper.

Sources

• cyber.gouv.fr — ANSSI, page dédiée à la directive NIS2 (consulté en juin 2026)
• Baromètre des fuites de données 2026 — DC Mag / Forum INCYBER / CNIL, 2026
• Vigilance Numérique — Fuites de données France 2025-2026 — données agrégées d'incidents, juin 2026
• Fuites de données : les 12 incidents majeurs au 11 juin 2026 — DCode.ch, 11 juin 2026
• Les Échos — Rubrique Cybersécurité — actualité continue, juin 2026
• ZDNet France — Cybersécurité — analyses et guides pratiques, 2026
• Directive (UE) 2022/2555 dite « NIS2 » — Journal officiel de l'Union européenne, 27 décembre 2022
• Loi n° 2024-449 dite « SREN » de transposition de la directive NIS2 — Journal officiel de la République française, 21 mai 2024