NIS2 (Directive UE 2022/2555)

NIS2 (Network and Information Security 2) est la deuxième directive européenne sur la cybersécurité, entrée en vigueur en janvier 2023, transposée en droit français via la Loi Résilience (été 2026). Elle élargit le périmètre des entités régulées de 300 à environ 15 000 entreprises françaises dans 18 secteurs critiques. Impose : gestion des risques, notification d'incidents (24h), gouvernance avec responsabilité personnelle des dirigeants, et mesures techniques dont le chiffrement (Art. 21). Sanctions : 10 M€ ou 2% CA mondial (entités essentielles). Qui est réellement concerné, au-delà des listes : la directive vise dix-huit secteurs et distingue entités essentielles et importantes, mais le mécanisme qui touche le plus d'entreprises est indirect. L'article 21 impose aux entités régulées d'évaluer la sécurité de leur chaîne d'approvisionnement, ce qui transforme chaque fournisseur en objet de contrôle. Un éditeur de logiciel qui ne relève d'aucun secteur listé reçoit malgré tout les questionnaires de ses clients hôpitaux, énergéticiens ou transporteurs, et perd l'affaire s'il ne sait pas y répondre. L'état du droit français mérite d'être connu avant d'affirmer quoi que ce soit. La transposition est portée par la loi Résilience, dont le parcours parlementaire a été retardé, et l'ANSSI a publié le ReCyF, référentiel de vingt-cinq objectifs de sécurité, en version bêta au premier trimestre 2026. Les entités ne sont donc pas encore soumises aux sanctions, mais les exigences contractuelles, elles, circulent déjà. Sur le chiffrement, le texte reste à son habitude : l'article 21(2)(h) demande des politiques relatives à l'usage de la cryptographie, sans imposer d'algorithme. C'est l'objectif M08 du ReCyF qui donne le contenu opérationnel, et c'est aussi celui qui offre le meilleur rapport entre coût et progrès pour une organisation qui démarre.