Directive NIS2 Transposition France

conformite

Définition

La Directive NIS2 (Directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022) a été transposée en droit français par la loi n°2024-449 du 21 mai 2024 relative à la sécurité des systèmes d'information et à diverses autres dispositions de cybersécurité. Cette loi a modifié le Code de la Défense et d'autres textes pour intégrer les exigences NIS2 dans le droit français. La transposition française de NIS2 maintient l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) comme autorité nationale compétente pour la cybersécurité, avec des responsabilités de supervision, de certification et de coordination. L'ANSSI est également le point de contact unique national pour la coopération européenne en matière de cybersécurité (conformément à l'article 8 de NIS2). La loi française étend certaines obligations NIS2 au-delà du minimum requis par la directive, notamment pour les entités considérées comme stratégiques pour la sécurité nationale et l'économie française. La France maintient en parallèle le régime des OIV (Opérateurs d'Importance Vitale) issu de la LPM, tout en créant des synergies avec NIS2 pour éviter les doublons réglementaires. Le calendrier de conformité NIS2 en France a été phased : les exigences d'enregistrement et les mesures de sécurité de base sont entrées en vigueur progressivement à partir de 2024, avec un délai d'adaptation accordé aux entités importantes (moins d'exigences immédiates que pour les entités essentielles). Les décrets d'application de la loi de transposition précisent les modalités pratiques : critères de désignation des entités essentielles et importantes par secteur, délais et formats de notification des incidents, modalités des contrôles de conformité par l'ANSSI, et sanctions applicables. Ces décrets sont publiés progressivement depuis la loi cadre de mai 2024.

Loi de transposition française du 21 mai 2024

La loi 2024-449 du 21/05/2024 transpose NIS2 en droit français. Principaux apports : désignation de l'ANSSI comme autorité compétente unique et point de contact national, intégration dans le Code de la Défense des nouvelles obligations de sécurité et de notification, création d'un régime de supervision différencié (entités essentielles vs importantes), maintien du régime OIV avec articulation NIS2, et habilitation du gouvernement à prendre des ordonnances pour préciser les aspects techniques.

La France a fait le choix d'une transposition fidèle à NIS2 tout en maintenant ses spécificités nationales (OIV, CERT-FR, ANSSI). Des synergies sont créées : la notification d'incident à l'ANSSI dans le cadre LPM/OIV peut simultanément satisfaire l'obligation NIS2, et un audit PASSI peut valider les mesures de sécurité pour les deux régimes.

Champ d'application et calendrier

La transposition française couvre les entités des secteurs Annexe I et II de NIS2 répondant aux critères de taille (moyennes et grandes entreprises, > 50 salariés ou > 10 M€ de CA/bilan). L'ANSSI a publié un guide d'auto-identification permettant aux entités de vérifier si elles sont soumises à NIS2. Des guides sectoriels précisent les critères pour chaque Annexe.

Le calendrier a été phased : enregistrement auprès de l'ANSSI (portail MonEspaceANSSI) dans les délais définis par les décrets sectoriels, mise en conformité progressive aux mesures de sécurité (article 21) avec des délais différenciés selon la criticité des mesures et la qualification (essentielle vs importante). L'ANSSI a adopté une approche d'accompagnement et de dialogue avant d'activer les pouvoirs de sanction.

Sanctions et pouvoirs de supervision ANSSI

La transposition française dote l'ANSSI de pouvoirs de supervision étendus : pouvoir d'inspection (contrôles sur pièces et sur place), pouvoir d'injonction (demander la mise en conformité), et pouvoir de sanction (amendes jusqu'à 10 M€ ou 2% du CA mondial pour les entités essentielles, 7 M€ ou 1,4% pour les entités importantes). Ces sanctions peuvent être complétées par des mesures conservatoires (suspension temporaire d'un service ou d'une autorisation).

La CNIL, l'ACPR et l'AMF conservent leurs compétences sectorielles dans leurs domaines respectifs (données personnelles, banque/assurance, marchés financiers) et coordonnent avec l'ANSSI pour éviter les doublons de sanctions pour les mêmes manquements. Un mécanisme de guichet unique est prévu pour les entités soumises à plusieurs autorités de supervision.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis