Directive NIS2 : obligations et conformité en France 2026

Sous la première directive européenne sur la sécurité des réseaux et des systèmes d’information, moins de 500 organisations françaises étaient encadrées. Cette nouvelle directive fait passer ce chiffre à plusieurs milliers d’entités, dont des hôpitaux et des cliniques qui n’avaient jamais été concernés auparavant. En matière de cybersécurité, le texte s’adresse désormais directement aux entreprises de services et aux infrastructures numériques qui font tourner l’hôpital au quotidien. Pour un DSI ou un RSSI en établissement de santé, la question n’est plus de savoir si la structure est visée, mais de combien de temps il reste pour s’organiser. Pour anticiper cette bascule, notre analyse des risques SI constitue souvent le premier réflexe utile avant même que la loi française soit promulguée.

La directive NIS2 impose une gestion des risques structurée, une notification rapide des incidents et une implication directe de la direction. En France, la mise en application passe par la loi Résilience, encore en discussion à l’été 2026. Le retard pris par la France a d’ailleurs conduit la Commission européenne à engager une procédure devant la Cour de justice de l’Union européenne.

NIS2, de quoi parle-t-on exactement

La directive NIS2 (Network and Information Security, directive UE 2022/2555) a été adoptée le 14 décembre 2022 par l’Union européenne. Elle remplace la première directive NIS de 2016, jugée trop limitée dans son périmètre et appliquée de façon inégale selon les États membres. Son objectif : renforcer la cybersécurité des services essentiels partout dans l’UE, avec un socle commun de mesures pour l’ensemble des États.

Le texte élargit fortement le champ d’application. Il vise désormais 18 secteurs d’activité contre 7 auparavant, dont plusieurs secteurs critiques comme l’énergie, les transports ou la santé, et intègre les PME, les collectivités territoriales et l’administration publique. Il s’appuie sur des normes reconnues comme l’ISO/IEC 27001 pour cadrer les mesures techniques et organisationnelles attendues, et pousse les entreprises comme les organismes publics à évaluer leur niveau de sécurité des systèmes d’information de façon régulière. L’objectif de fond reste le même pour tous les États membres de l’UE : renforcer la protection des données et des infrastructures numériques face à une menace qui ne connaît pas de frontières, et gérer ce risque de façon coordonnée à l’échelle de l’Union plutôt que chacun de son côté. Bon à savoir : la directive fixe un socle commun, mais chaque État reste libre d’ajouter des exigences dans sa transposition nationale.

Qui est concerné en France

La qualification repose sur un croisement entre secteur d’activité et taille de l’entité. Selon une analyse juridique récente, environ 15 000 entités françaises seront soumises à la directive, contre à peine 500 sous la version précédente. Le saut est considérable, et beaucoup d’établissements de santé découvrent qu’ils sont désormais concernés sans l’avoir anticipé.

Le texte distingue deux catégories. Les entités essentielles emploient au moins 250 personnes ou dépassent 50 millions d’euros de chiffre d’affaires annuel et 43 millions d’euros de bilan. Les entités importantes comptent au moins 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires annuel et de bilan. La santé figure parmi les secteurs hautement critiques de la directive, ce qui place la majorité des établissements hospitaliers parmi les entités essentielles et importantes soumises au contrôle le plus strict.

Certaines organisations sont visées quel que soit leur chiffre d’affaires : fournisseurs de DNS, registres de noms de domaine, opérateurs télécoms, fournisseurs de services numériques. Les communes de plus de 30 000 habitants entrent aussi dans le champ, une vraie nouveauté pour l’administration publique locale.

Ces seuils ne sont pas propres à la France : chaque État membre de l’UE applique la même grille, avec des variations mineures selon la transposition locale. Un article de la directive précise d’ailleurs que les groupes présents dans plusieurs pays de l’Union sont évalués sur leur chiffre d’affaires mondial consolidé, et non entité par entité, ce qui change la donne pour les établissements rattachés à un groupe hospitalier plus large exerçant des activités dans plusieurs pays.

Où en est la transposition française en 2026

La date limite européenne de transposition était fixée au 17 octobre 2024. La France ne l’a pas respectée, freinée par l’instabilité gouvernementale et par le débat parlementaire sur les portes dérobées dans le chiffrement. La loi Résilience, adoptée au Sénat en mars 2025, attend toujours son examen définitif à l’Assemblée nationale.

La situation s’est tendue en 2026. Selon une analyse de la transposition, la Commission européenne a renvoyé la France devant la Cour de justice de l’Union pour ce retard. Résultat paradoxal : l’État demande déjà aux entités concernées de se préparer à un cadre qui n’existe pas encore formellement dans le droit national.

En attendant, l’ANSSI a publié le 17 mars 2026 son Référentiel Cyber France (ReCyF). Ce document sert de feuille de route opérationnelle et deviendra la base contraignante une fois la loi votée. Notre audit de sécurité informatique permet de mesurer l’écart entre votre organisation et ces exigences dès maintenant, sans attendre la publication des décrets.

Les obligations concrètes à respecter

La directive impose une gestion des risques systématique, proche d’un système de management de la sécurité de l’information. Concrètement, il faut tenir un inventaire des actifs, segmenter le réseau, organiser la gestion des correctifs et mettre en place des mesures de protection sur les accès. Gérer ces risques en matière de sécurité informatique suppose des moyens humains, pas seulement des outils : quelqu’un doit suivre les alertes, documenter les décisions et faire vivre le plan dans la durée. La sécurité de la chaîne d’approvisionnement et des fournisseurs de services devient également une obligation explicite, ce qui oblige à évaluer aussi les prestataires et sous-traitants qui touchent au système d’information et à protéger les données échangées avec eux.

La gouvernance change aussi. La direction générale doit approuver les mesures de sécurité des systèmes d’information et suivre une formation cyber. Côté incidents, le calendrier est serré : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Ces délais laissent peu de place à l’improvisation pour une équipe qui découvre la menace en pleine nuit.

Vingt-quatre heures pour signaler un incident, c’est court. Sans procédure préparée à l’avance, l’exercice devient vite intenable pour une équipe DSI non entraînée, surtout s’il faut aussi évaluer l’impact réel sur les soins avant de communiquer. La directive vise à renforcer la capacité de réaction collective face aux menaces, ce qui suppose une véritable coopération entre les équipes techniques, la direction et, le cas échéant, les autorités compétentes. Personne ne gère un incident cyber seul dans son coin : c’est un travail d’ensemble, qui associe la DSI, la direction et souvent un prestataire externe.

Sanctions et responsabilité des dirigeants

Le régime de sanctions est calqué sur le modèle du RGPD. D’après les précisions de l’ANSSI, les amendes peuvent atteindre 2 % du chiffre d’affaires annuel mondial pour les entités essentielles et 1,4 % pour les entités importantes. En valeur absolue, cela représente jusqu’à 10 millions d’euros dans le premier cas.

La vraie rupture porte sur les personnes. Les dirigeants peuvent être tenus personnellement responsables en cas de manquement à leurs obligations de supervision et de formation. La loi Résilience prévoit même la possibilité d’interdictions temporaires d’exercer des fonctions dirigeantes. Les conséquences financières et l’exposition personnelle des dirigeants font que la cybersécurité quitte le bureau de la DSI pour rejoindre celui du conseil d’administration.

NIS2 et le secteur de la santé

Les hôpitaux traitent des données sensibles et dépendent de systèmes qui ne peuvent pas s’arrêter. Une attaque qui bloque un service d’urgence met des vies en jeu, pas seulement des fichiers. C’est pourquoi la santé fait partie des secteurs hautement critiques de la directive NIS2, avec le régime de contrôle le plus strict parmi tous les secteurs concernés.

Les collectivités et structures publiques entrent aussi dans le champ. Pour beaucoup d’établissements de santé, les exigences NIS2 rejoignent celles déjà connues via l’hébergement de données de santé et le programme CaRE. Notre certification HDS et notre mention ISO 27001 couvrent une large part de ce socle organisationnel, ce qui réduit l’effort à fournir pour se mettre en conformité.

La cybersécurité fait d’ailleurs déjà l’objet d’obligations spécifiques pour ces structures. Nous détaillons ce cadre dans notre dossier sur la cybersécurité : PSSI obligatoire (établissements de santé), utile pour relier vos obligations existantes à celles de la directive NIS2.

Comment se mettre en conformité sans attendre

La conformité ne se construit pas en quelques semaines. Il faut compter entre 12 et 24 mois pour atteindre un niveau solide de sécurité des systèmes. Attendre le vote de la loi Résilience serait une erreur de calcul, car le délai de mise en œuvre sera court une fois les décrets publiés.

Voici une progression réaliste pour un établissement de santé :

• Vérifiez votre statut (entité essentielle ou importante) par entité juridique.
• Pré-enregistrez-vous sur la plateforme MonEspaceNIS2 de l’ANSSI.
• Réalisez une cartographie des actifs et une analyse de risques.
• Formalisez vos procédures de notification d’incidents.
• Traitez la sécurité de vos fournisseurs et sous-traitants.

L’ANSSI accorde un délai d’environ trois ans pour la conformité totale, avec une phase d’accompagnement avant les premières sanctions. Le temps existe, mais il se consomme vite. Commencer maintenant évite de subir la pression d’un calendrier réglementaire compressé.

Conclusion

La directive NIS2 transforme la cybersécurité en obligation légale pour environ 15 000 organisations françaises, avec des sanctions qui peuvent grimper à 10 millions d’euros et engager la responsabilité personnelle des dirigeants. Pour un établissement de santé, l’enjeu dépasse la conformité administrative : il touche la continuité des soins et la confiance des patients. Le retard de transposition ne doit pas servir d’excuse, car les exigences sont déjà connues via le ReCyF de l’ANSSI. Notre expérience de l’hébergement HDS et de la gouvernance sécurité vous aide à aligner vos systèmes sur ces attentes sans repartir de zéro. Pour structurer votre démarche, appuyez-vous sur notre accompagnement pour mettre en œuvre une politique de sécurité (PSSI).