Qu'est-ce que la NIS2, qui est concerné et quels profils votre entreprise doit-elle recruter

La NIS2 est la directive européenne de cybersécurité pour les réseaux et les systèmes d'information, la norme qui définit qui doit gérer ses risques numériques, comment les incidents se notifient et de quoi répond la direction de chaque organisation critique. Sa date de transposition est arrivée le 17 octobre 2024 et la France n'a toujours pas de loi. La Commission européenne l'a renvoyée devant la Cour de justice de l'UE le 8 juillet 2026, et le projet de loi de transposition vient d'être retiré de l'ordre du jour de l'Assemblée. Ce retard n'arrête pas le marché : les offres techniques françaises qui mentionnent la NIS2 se comptent déjà en centaines, et c'est bien ce chiffre, pas le Journal officiel, qui fixe le calendrier réel des entreprises.

Deux dates et un chiffre. Dates : octobre 2024, échéance manquée ; juillet 2026, renvoi devant la CJUE aux côtés de l'Irlande, de l'Espagne et des Pays-Bas, pour un marché qui n'attend personne. Chiffre : 217 offres techniques actives en France mentionnent la NIS2 dans leur texte (analyse de marché Shakers, octobre 2026, recherche plein texte avec échantillon vérifié). Le régulateur prend son temps ; les clients, les auditeurs et les directions achats, qui dictent le calendrier commercial, non.

Qu'est-ce que la NIS2 exactement

La directive (UE) 2022/2555 remplace la NIS de 2016 et élargit son périmètre de sept à dix-huit secteurs, de l'énergie à la banque, en passant par la santé, le transport, les services numériques ou la gestion des déchets. La logique est celle de toute la réglementation européenne récente : les réseaux et systèmes d'information sont une infrastructure critique, et leur sécurité cesse d'être une affaire interne pour devenir une obligation surveillée.

Les obligations tiennent en quatre blocs. Un, la gestion des risques : des mesures techniques et organisationnelles proportionnées, chaîne d'approvisionnement incluse ; deux, la notification des incidents : alerte précoce sous 24 heures, rapport sous 72 heures, rapport final sous un mois. Trois, la responsabilité de la direction : les dirigeants approuvent les mesures, se forment et répondent des manquements. Quatre, les sanctions : jusqu'à 2 % du chiffre d'affaires mondial ou 10 millions d'euros pour les organisations les plus critiques, le montant le plus élevé l'emportant.

Qui est concerné par la NIS2

Deux catégories parcourent les dix-huit secteurs, et la première regroupe les entités essentielles, grandes organisations des secteurs les plus critiques (énergie, transport, banque, santé, eau, administration numérique) et acteurs clés des services numériques, quelle que soit leur taille. La deuxième regroupe les entités importantes, en général des ETI des mêmes secteurs, avec une supervision un peu plus légère mais les mêmes obligations de fond. Le périmètre dépasse les opérateurs historiques. C'est le vrai changement.

Comment savoir si votre entreprise est concernée ? Trois questions, une seule réponse suffit à déclencher l'exigence. Le secteur figure-t-il dans la liste ? La taille atteint-elle les seuils ? Fournissez-vous à un acteur déjà couvert ? Une seule réponse positive suffit, et la troisième est la plus fréquente : fournir à une entité couverte active déjà l'exigence par contrat, même sans loi française.

Où en est la France, exactement

Ici, le retard a un dossier, et il est épais : échéance passée le 17 octobre 2024 sans loi française, chaîne institutionnelle qui n'a toujours pas abouti, entre Sénat favorable et Assemblée qui reporte. Le projet de loi Résilience, qui transpose à la fois la NIS2, la directive CER et DORA, a été présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat en mars 2025, puis renvoyé à l'Assemblée nationale. Mi-octobre 2026, le texte vient d'être retiré de l'ordre du jour, selon le suivi des commissions, et la Commission européenne a renvoyé la France devant la CJUE le 8 juillet 2026 avec l'Irlande, l'Espagne et les Pays-Bas. Vingt des vingt-sept États membres ont déjà transposé la directive (décomptes de transposition, octobre 2026), ce qui veut dire des clients européens qui l'appliquent par contrat depuis des mois.

Pour les entreprises, la règle pratique reste celle de l'Espagne et de l'Irlande : l'obligation légale française arrivera avec la loi, mais l'exigence commerciale est déjà là, et se préparer avant la loi coûte un projet. Improviser après coûte des contrats.

Ce que le marché du travail dit déjà

Le marché devance la loi. Cela se mesure. Poste par poste, dans les offres techniques françaises. Sur une recherche plein texte des offres techniques actives en France, avec vérification de l'échantillon une à une, l'analyse de marché Shakers comptabilise 217 postes qui mentionnent la NIS2 (octobre 2026). Les titres parlent gouvernance, pas pare-feu : EY recrute des consultants senior Risk New Technologies, PwC France des managers cybersécurité GRC, et les mêmes profils reviennent chez les intégrateurs et les grands comptes. Pas sur la défense passive des périphéries.

Le tableau des effectifs suit le diagnostic. Quatre cases.

• Un profil GRC cybersécurité. Sa mission est simple : convertir les articles de la directive en contrôles auditables et en preuves opposables aux auditeurs comme aux clients.
• Un architecte sécurité. Les mesures techniques doivent exister vraiment, pas seulement dans le document.
• Un responsable réponse aux incidents, parce que les délais de 24 et 72 heures se gagnent sur ce qui a été répété avant, pas sur ce qui s'improvise le jour J.
• Une direction formée et engagée, exigence écrite noir sur blanc dans le texte européen, qui valide les mesures et signe les risques.

Questions fréquentes sur la NIS2

Qu'est-ce que la directive NIS2 ?

La directive (UE) 2022/2555 sur la cybersécurité des réseaux et systèmes d'information, qui étend la NIS de 2016 à dix-huit secteurs critiques et impose la gestion des risques numériques, la notification des incidents sous 24 et 72 heures et la responsabilité des dirigeants sur la sécurité.

Qui est concerné par la NIS2 ?

La catégorie la plus critique (grandes organisations des secteurs les plus critiques et acteurs clés des services numériques) et la catégorie des ETI des mêmes secteurs. Cela représente des milliers d'organisations françaises. Les fournisseurs d'une entité couverte répondent aussi de leur part de la chaîne.

Quelles sont les sanctions prévues par la NIS2 ?

Jusqu'à 2 % du chiffre d'affaires annuel mondial ou 10 millions d'euros, le montant le plus élevé des deux retenu, les dirigeants encourent aussi des sanctions personnelles et une responsabilité sur les manquements à la gestion des risques.

Comment savoir si je suis concerné par la NIS2 ?

Trois questions. Secteur dans la liste des dix-huit, taille au-dessus des seuils, fourniture à un acteur déjà couvert. Une seule réponse positive suffit, et la troisième est la plus fréquente, car l'exigence arrive par les contrats des clients européens déjà transposés.

Quand la NIS2 sera-t-elle appliquée en France ?

Il n'y a pas de date certaine. La France a été renvoyée devant la CJUE le 8 juillet 2026 pour absence de transposition et le projet de loi Résilience, retiré de l'ordre du jour mi-octobre 2026, est repoussé à une session ultérieure ; l'exigence commerciale, elle, est déjà active via les contrats.

L'horloge réglementaire et l'horloge commerciale sont désynchronisées. En conformité, celui qui arrive en premier avec des preuves gagne. Pour construire l'équipe qui les produit, il existe un accès à des talents spécialisés en infrastructure et sécurité cloud par projets, avec des compétences éprouvées en conditions réelles.

Deux pièces voisines complètent le cadre pour les équipes qui travaillent avec des prestataires : comment fonctionne un contrat de prestation de services bien construit et ce que régule un contrat freelance en France.