Quelles sont les principales différences entre NIS 1 et NIS 2 ?
Champ d'application, mesures de sécurité, notification des incidents, sanctions, gouvernance : ce qui change entre la directive NIS 1 et la directive NIS 2.
Mis à jour le Publié le 14 min de lecture
La transition de la directive NIS originale (NIS 1) à la directive NIS 2NIS 2Directive européenne 2022/2555 sur la cybersécurité. constitue une étape importante dans le renforcement des mesures de cybersécurité au sein de l'Union européenne. Cet article propose une analyse détaillée des principales différences entre NIS 1 et NIS 2 pour mieux comprendre l'évolution de la réglementation en matière de sécurité des réseaux et des systèmes d'information.
La directive (UE) 2022/2555, dite NIS 2, devait être transposée par les États membres au plus tard le 17 octobre 2024. Elle remplace la directive (UE) 2016/1148, dite NIS 1, abrogée avec effet au 18 octobre 2024. En France, la transposition n'est pas achevée au 13 octobre 2026 : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, est toujours en première lecture à l'Assemblée nationale. Les obligations de NIS 2 s'appliqueront en France une fois la loi et ses textes d'application publiés. D'ici là, le cadre français issu de NIS 1 (loi n° 2018-133 du 26 février 2018) reste en vigueur, et l'ANSSI propose aux entités concernées un service de pré-enregistrement.
Partie 1 : Élargissement du champ d'application
La directive NIS 1 ciblait principalement les opérateurs de services essentiels (OSE) et les fournisseurs de service numérique (FSN) alors que la directive NIS 2 étend considérablement le champ d'application pour inclure un plus grand nombre d'entités et de secteurs.
| NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|
Les opérateurs de services essentiels (OSE), annexe II :
| Secteurs hautement critiques (annexe I) :
|
Les fournisseurs de service numérique (FSN), annexe III :
| Autres secteurs critiques (annexe II) :
|
Sous NIS 2, le secteur ne suffit pas à déterminer la catégorie d'une entité : sa taille compte aussi (articles 2 et 3). En règle générale, les grandes entreprises des secteurs de l'annexe I sont des entités essentielles (EE). Les moyennes entreprises de l'annexe I, ainsi que les moyennes et grandes entreprises de l'annexe II, sont des entités importantes (EI). Certains acteurs sont des entités essentielles quelle que soit leur taille, comme les registres de noms de domaine de premier niveau, les fournisseurs de services DNS et les prestataires de services de confiance qualifiés. Les petites entreprises restent en principe hors du champ, sauf exceptions.
Récapitulatif des changements notables :
- La directive NIS 2 remplace la distinction entre opérateurs de services essentiels (OSE) et fournisseurs de service numérique (FSN) par deux catégories, les entités essentielles (EE) et les entités importantes (EI), élargissant considérablement le champ d'application.
- Les obligations des anciens FSN sont renforcées : ils relèvent désormais des mêmes règles que les autres entités essentielles ou importantes.
- NIS 2 ajoute les plateformes de services de réseaux sociaux aux fournisseurs numériques couverts.
- Le champ d'application sectoriel est considérablement élargi dans NIS 2, couvrant plus de secteurs critiques de l'économie et de la société.
Partie 2 : Renforcement des exigences de sécurité
La directive NIS 2 impose des mesures de sécurité plus strictes, axées sur la gestion des risques à travers la prévention, la détection, la réponse aux incidents et la récupération.
Ces mesures sont désormais obligatoires pour une plus grande variété d'entités, y compris celles qui n'étaient pas auparavant couvertes par la NIS 1, reflétant l'importance accrue de la cybersécurité dans tous les secteurs critiques.
| NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|
| Mesures techniques et organisationnelles nécessaires et proportionnées pour gérer les risques (Art. 14.1 pour les OSE, Art. 16.1 pour les FSN) | Liste de mesures minimales : analyse des risques et sécurité des systèmes d'information, gestion des incidents, continuité des activités, sécurité de la chaîne d'approvisionnement, cryptographie, authentification à plusieurs facteurs, etc. (Art. 21.2) |
| Pas de mention explicite de la gestion des risques liés à la chaîne d'approvisionnement | Obligation d'évaluer et de prendre en compte les risques liés aux fournisseurs et prestataires de services directs (Art. 21.2 d et 21.3) |
| Pas d'obligation spécifique concernant la formation | Formation obligatoire pour les membres des organes de direction, formation régulière du personnel encouragée (Art. 20.2) ; formation à la cybersécurité parmi les mesures minimales (Art. 21.2 g) |
| Pas de mention de la responsabilité des organes de direction | Responsabilité explicite des organes de direction dans l'approbation et la supervision des mesures de cybersécurité (Art. 20.1) |
| Actes d'exécution de la Commission prévus uniquement pour préciser les mesures des FSN (Art. 16.8) | Exigences techniques et méthodologiques fixées par actes d'exécution pour certains fournisseurs numériques (règlement d'exécution (UE) 2024/2690), et possibilité d'exigences sectorielles pour les autres entités (Art. 21.5) |
| Pas de mention de l'utilisation de la cryptographie | Politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrementChiffrementTransformation de données en une forme illisible sans la clé qui permet de les déchiffrer. (Art. 21.2 h) |
| Pas d'obligation d'utiliser des produits certifiés | Possibilité pour les États membres d'exiger l'utilisation de produits, services et processus TIC certifiés dans le cadre de schémas européens de certification (Art. 24.1) |
Exemples concrets :
- NIS 1 : Un distributeur d'électricité désigné comme OSE devait mettre en place des mesures de sécurité nécessaires et proportionnées, sans liste détaillée dans la directive.
- NIS 2 : Ce même distributeur devra mettre en place des politiques de cybersécurité spécifiques, faire former les membres de sa direction, évaluer les risques liés à ses fournisseurs IT et, si son État membre l'exige, utiliser des produits certifiés pour certains systèmes.
Pour les banques et la plupart des entités financières, ces exigences sont fixées par le règlement DORA (UE) 2022/2554, applicable depuis le 17 janvier 2025. Lorsqu'un texte sectoriel de l'Union impose des obligations au moins équivalentes, il s'applique à la place des règles de NIS 2 sur la gestion des risques et la notification des incidents (article 4 de NIS 2).
Récapitulatif des changements notables :
- Spécification plus détaillée des mesures de sécurité requises
- Accent mis sur la sécurité de la chaîne d'approvisionnement
- Responsabilisation accrue des organes de direction
- Formation obligatoire des dirigeants
- Politiques de cryptographie et de chiffrement
- Possibilité d'exigences sectorielles spécifiques
- Incitation à l'utilisation de produits certifiés
Partie 3 : Obligations de notification améliorées
Sous NIS 1, la notification était requise pour les incidents ayant un impact significatif, « sans retard injustifié », sans délai chiffré.
La directive NIS 2 va plus loin en exigeant une notification plus rapide et plus détaillée des incidents, y compris ceux susceptibles d'affecter d'autres États membres.
Cette modification vise à améliorer la transparence et la réactivité face aux cyberattaques, facilitant une réponse coordonnée à travers l'UE.
| NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|
| Notification des incidents ayant un impact significatif sur la continuité des services essentiels (Art. 14.3) | Ajout d'une alerte précoce dans les 24h suivant la prise de connaissance d'un incident important (Art. 23.4 a) |
| Notification « sans retard injustifié », sans délai chiffré (Art. 14.3 et 16.3) | Notification de l'incident dans les 72h (Art. 23.4 b) |
| Contenu de la notification peu détaillé : informations permettant d'évaluer un éventuel impact transfrontalier (Art. 14.3) | Rapport final au plus tard un mois après la notification, avec description détaillée, cause probable, mesures d'atténuation et impact transfrontière (Art. 23.4 d) |
| Notification obligatoire pour les OSE (Art. 14.3) et les FSN (Art. 16.3) | Notification obligatoire pour les entités essentielles et importantes (Art. 23.1) |
| Critères généraux pour déterminer l'importance d'un incident (nombre d'utilisateurs touchés, durée, zone géographique) (Art. 14.4) | Incident important : perturbation opérationnelle grave des services ou pertes financières pour l'entité, ou dommages matériels, corporels ou moraux considérables causés à d'autres personnes (Art. 23.3) |
| Pas d'obligation explicite d'informer les utilisateurs | Le cas échéant, obligation d'informer les destinataires des services des incidents importants et des mesures qu'ils peuvent prendre face à une cybermenace importante (Art. 23.1 et 23.2) |
| Notification volontaire possible pour les autres entités (Art. 20) | Notification volontaire élargie aux cybermenaces et aux incidents évités, pour les entités couvertes comme pour les autres (Art. 30) |
Exemples concrets :
- NIS 1 : Un hôpital victime d'une cyberattaque paralysant ses systèmes pendant 24h devait le notifier sans retard injustifié, sans délai chiffré.
- NIS 2 : Ce même hôpital devra envoyer une alerte précoce dans les 24h, une notification d'incident dans les 72h et un rapport final au plus tard un mois après cette notification. Le cas échéant, il devra aussi informer les patients concernés (ex : report de rendez-vous non urgents).
Voici un tableau récapitulatif comparant les délais d'alerte entre NIS 1 et NIS 2 :
| Étapes | NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|---|
| Alerte précoce | Non spécifié | 24 heures |
| Notification d'incident | Sans retard injustifié, sans délai chiffré | 72 heures (24 heures pour les prestataires de services de confiance) |
| Rapport intermédiaire | Non spécifié | Sur demande du CSIRT ou de l'autorité compétente |
| Rapport final | Non spécifié | 1 mois après la notification d'incident |
| Rapport d'avancement | Non spécifié | Si l'incident est toujours en cours à la date du rapport final |
| Rapport final (après rapport d'avancement) | Non spécifié | 1 mois après le traitement de l'incident |
Partie 4 : Sanctions renforcées
La directive NIS 2 introduit des sanctions plus sévères pour non-conformité, y compris des amendes basées sur le chiffre d'affaires de l'entité.
Ces sanctions ont pour but de renforcer la conformité et de souligner la gravité des manquements en matière de cybersécurité.
| NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|
| Les États membres fixent les règles relatives aux sanctions applicables en cas d'infraction aux dispositions nationales (Art. 21). | Maintien des sanctions fixées par les États membres (Art. 36) |
| Pas de montants ou pourcentages spécifiques mentionnés dans la directive | Introduction d'amendes administratives dont le plafond doit atteindre au moins :
|
| Les sanctions doivent être "effectives, proportionnées et dissuasives" | Maintien du principe de sanctions "effectives, proportionnées et dissuasives" |
| Pas de mention d'astreintes | Possibilité d'imposer des astreintes pour contraindre une entité à mettre fin à une violation (Art. 34.6) |
| Pas de mention de suspension de certifications/autorisations | Possibilité de suspendre temporairement une certification ou une autorisation d'une entité essentielle (Art. 32.5 a) |
| Pas de critères spécifiques pour déterminer les sanctions | Liste de critères à prendre en compte pour déterminer le montant des amendes (ex : gravité de l'infraction, durée, dommages causés, caractère intentionnel, etc.) (Art. 32.7 et 34.3) |
| Pas de mention d'interdiction d'exercer des fonctions de direction | Possibilité d'interdire temporairement à un dirigeant d'une entité essentielle (directeur général ou représentant légal) d'exercer des fonctions de direction (Art. 32.5 b) |
Exemples :
- NIS 1 : En France, la loi n° 2018-133 du 26 février 2018 punit de 100 000 € d'amende les dirigeants d'un OSE qui ne se conforment pas aux règles de sécurité à l'issue du délai fixé par une mise en demeure (article 9).
- NIS 2 : Pour une entité essentielle du secteur de l'énergie réalisant 1 milliard d'euros de chiffre d'affaires mondial, la directive impose un plafond d'amende d'au moins 20 millions d'euros (2 % de ce chiffre d'affaires, montant supérieur à 10 millions d'euros). Le projet de loi français, pas encore adopté, retient les mêmes plafonds que la directive.
Partie 5 : Cadre de gouvernance amélioré
Un cadre de gouvernance plus structuré est mis en place sous NIS 2, avec des autorités nationales renforcées et une coopération accrue entre les États membres.
Ce cadre comprend également des mécanismes de partage d'informations plus efficaces, essentiels pour une réponse rapide et efficace aux incidents de cybersécurité.
| NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|
Groupe de coopération pour faciliter la coopération stratégique
| Groupe de coopération renforcé avec des tâches élargies (Art. 14)
|
Réseau des CSIRT (Computer Security Incident Response Teams)
| Réseau des CSIRT avec des capacités opérationnelles renforcées (Art. 15)
|
Points de contact uniques dans chaque État membre
| Points de contact uniques avec un rôle de coordination renforcé (Art. 8 et 23)
|
| Exercices de cybersécurité discutés au sein du groupe de coopération et du réseau des CSIRT (Art. 11 et 12) | Même rôle, complété par des plans nationaux de réaction aux crises cyber qui prévoient des exercices (Art. 9, 14 et 15)
|
| Pas de mécanisme d'évaluation par les pairs | Introduction d'évaluations par les pairs entre États membres (Art. 19)
|
| Pas de mention d'EU-CyCLONe | Création d'EU-CyCLONe (réseau européen pour la préparation et la gestion des crises cyber) (Art. 16)
|
Stratégies nationales de cybersécurité requises
| Stratégies nationales de cybersécurité plus détaillées et alignées (Art. 7)
|
| Accords internationaux possibles pour associer des pays tiers aux activités du groupe de coopération (Art. 13) | Accords internationaux étendus au réseau des CSIRT et à EU-CyCLONe (Art. 17)
|
| Pas de mention de base de données des vulnérabilités | Création d'une base de données européenne des vulnérabilités, gérée par l'ENISA (Art. 12.2)
|
Partie 6 : Focus sur la résilience de la chaîne d'approvisionnement
NIS 2 exige que les entités gèrent les risques associés à leurs fournisseurs et sous-traitants, adoptant une approche de sécurité holistique.
Cette exigence est particulièrement pertinente dans un monde où les chaînes d'approvisionnement sont de plus en plus interconnectées et susceptibles de propager des vulnérabilités.
| NIS 1 (Directive 2016/1148) | NIS 2 (Directive 2022/2555) |
|---|---|
| Pas de mention spécifique de la chaîne d'approvisionnement | Focus explicite sur la sécurité de la chaîne d'approvisionnement |
Exigences de sécurité générales pour les opérateurs de services essentiels
| Exigences spécifiques pour la gestion des risques liés à la chaîne d'approvisionnement
|
| Pas d'obligation d'évaluer les risques des fournisseurs | Obligation de tenir compte de la qualité et de la cybersécurité des produits et services des fournisseurs (Art. 21.3)
|
| Pas de mention des facteurs non techniques | Prise en compte des facteurs non techniques dans les évaluations coordonnées des risques (Art. 22.1)
|
| Pas d'évaluations coordonnées des risques au niveau de l'UE | Introduction d'évaluations coordonnées des risques pour les chaînes d'approvisionnement critiques (Art. 22)
|
| Pas de mention des accords contractuels | Encouragement à inclure des exigences de cybersécurité dans les accords contractuels
|
| Pas de focus sur les fournisseurs de services de sécurité gérés | Attention particulière portée aux fournisseurs de services de sécurité gérés
|
| Pas de mention de la divulgation coordonnée des vulnérabilités | Introduction de politiques de divulgation coordonnée des vulnérabilités (Art. 12)
|
| Pas de mention des dépendances sectorielles | Prise en compte des dépendances intersectorielles dans l'évaluation des risques
|
| Pas d'exigences spécifiques pour les petites et moyennes entreprises (PME) | Politiques nationales d'orientation et de soutien aux PME, en particulier celles qui sont exclues du champ de la directive (Art. 7.2 i)
|
FAQ : 3 questions sur les principales différences entre NIS 1 et NIS 2
- Comment le champ d'application de NIS 2 diffère-t-il de NIS 1 ?
NIS 2 élargit considérablement le champ d'application en remplaçant la distinction OSE/FSN par des entités essentielles et importantes, définies selon le secteur et la taille. Elle couvre plus de secteurs critiques et soumet les anciens FSN aux mêmes règles que les autres entités.
- Quelles sont les principales nouveautés en matière de notification d'incidents dans NIS 2 ?
NIS 2 impose une alerte précoce dans les 24h, une notification d'incident dans les 72h et un rapport final au plus tard un mois après cette notification. Le cas échéant, les entités doivent aussi informer les destinataires de leurs services des mesures à prendre face aux cybermenaces importantes.
- Comment NIS 2 renforce-t-il les sanctions pour non-conformité ?
NIS 2 introduit des amendes administratives dont le plafond dépend du chiffre d'affaires. Pour les entités essentielles, la directive impose un plafond d'au moins 10 M€ ou 2 % du CA mondial, le montant le plus élevé étant retenu. Des astreintes et, pour les entités essentielles, des suspensions de certifications sont également possibles. En France, ces montants dépendent de la loi de transposition, encore en discussion au Parlement.