NIS2 : piloter les obligations de la directive, de la direction aux preuves
La directive (UE) 2022/2555, dite NIS2, renforce le niveau de cybersécurité dans l'Union européenne. Elle étend la première directive NIS à de nombreux secteurs et aux entreprises de taille moyenne, classées en entités essentielles et importantes, et engage la responsabilité de leur direction.
Lire un cas client NIS2Par Alexandre Vivier, ISO 27001 Lead Implementer · Mis à jour le 10 octobre 2026
Ce que demande NIS2
Gouvernance (article 20)
La direction approuve les mesures de gestion des risques, supervise leur mise en œuvre et suit une formation. Elle peut être tenue responsable des manquements.
Mesures (article 21)
Des mesures techniques, opérationnelles et organisationnelles proportionnées aux risques, selon une approche tous risques.
Incidents (article 23)
Les incidents importants sont notifiés à l'autorité : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. CompliKey ne gère pas ces notifications.
Les mesures minimales de l'article 21
- Politiques d'analyse des risques et de sécurité des systèmes d'information
- Gestion des incidents
- Continuité des activités, sauvegardes et gestion de crise
- Sécurité de la chaîne d'approvisionnement
- Sécurité de l'acquisition, du développement et de la maintenance des systèmes
- Évaluation de l'efficacité des mesures
- Cyberhygiène et formation à la cybersécurité
- Cryptographie et chiffrement
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
- Authentification multifacteur et communications sécurisées
En Belgique et en France
Belgique : CyFun
La loi NIS2 belge est en vigueur depuis le 18 octobre 2024. Le cadre CyFun du CCB, ou une certification ISO 27001 acceptée par le CCB, permet d'obtenir une présomption de conformité.
Le guide CyFunFrance : ReCyF
Au 10 octobre 2026, la loi de transposition n'est pas adoptée. L'ANSSI, autorité désignée par le projet de loi, a publié le ReCyF comme document de travail le 17 mars 2026.
Le guide ReCyFCorrespondances avec les autres référentiels
Dans CompliKey, une mesure évaluée pour NIS2 peut couvrir des exigences d'autres référentiels ; chaque correspondance est tracée, sans couverture revendiquée par défaut.
| Référentiel | Lien avec NIS2 | Page |
|---|---|---|
| CyFun NIS2 | Cadre belge de mise en œuvre de NIS2 | Voir CyFun NIS2 |
| ReCyF NIS2 | Référentiel français de mise en œuvre de NIS2 (document de travail) | Voir ReCyF NIS2 |
| ISO 27001 | SMSI : nombreuses mesures communes, mutualisées dans CompliKey | Voir ISO 27001 |
NIS2 dans CompliKey
- 1Choisir le référentiel adapté à votre pays : CyFun, ReCyF ou NIS2, avec vos référentiels existants.
- 2Auditer sur preuves : chaque mesure reçoit un score de 0 à 4, les écarts deviennent des tâches suivies.
- 3Rendre compte à la direction (article 20) : rapport d'audit et DDA/SoA exportés en PDF, historique d'une revue à l'autre.
Questions fréquentes sur NIS2
Mon organisation est-elle concernée ?
Cela dépend de votre secteur (annexes I et II de la directive) et de votre taille : en règle générale, les moyennes et grandes entreprises des secteurs listés sont concernées, avec des exceptions. Votre qualification dépend ensuite de la loi nationale. Nous le regardons avec vous en démo, à partir des textes officiels.
CompliKey gère-t-il la notification des incidents ?
Non. La notification des incidents importants à l'autorité (article 23) se fait par les canaux de l'autorité nationale. CompliKey pilote la gouvernance, les mesures et les preuves ; ce n'est pas un outil de gestion d'incidents.
NIS2 impose-t-elle une certification ?
Non, pas en tant que telle. Certains pays reconnaissent des schémas de conformité : en Belgique, la vérification ou la certification CyFun, ou une certification ISO 27001 acceptée par le CCB, donnent une présomption de conformité.
Puis-je réutiliser mon travail ISO 27001 ?
Oui : dans CompliKey, les mesures communes sont mutualisées et chaque correspondance reste traçable.
Voir NIS2 dans CompliKey
Une démo sur un périmètre NIS2 de démonstration, avec le référentiel de votre pays.