Conformité NIS2 : les obligations de la directive, qui est concerné et par où commencer

La conformité NIS2 consiste à respecter les obligations que la directive (UE) 2022/2555 impose, par l’intermédiaire du droit national, aux moyennes et grandes entités de 18 secteurs : enregistrement, approbation et formation de l’organe de direction, dix mesures minimales de gestion des risques et notification des incidents dans les 24 heures. La directive s’applique depuis le 18 octobre 2024. Pour les entités essentielles, les amendes maximales atteignent au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Ce guide présente ce qu’est NIS2, qui est concerné, ce que vous devez faire, la supervision et les amendes, les lois nationales, les guides sectoriels, les propositions de 2026, un plan à 90 jours, ce que la loi laisse ouvert et une liste de contrôle.

Obligation	NIS2	Qui	Délai ou fréquence	Détail
Vérifier le champ d’application et la catégorie	Art. 2, 3	Types des annexes I et II, taille moyenne ou plus, plus les cas indépendants de la taille	Lorsque la taille, le groupe ou les services changent	Vérifier le champ d’application
S’enregistrer	Art. 3(4), 27	Toutes les entités concernées ; les fournisseurs numériques énumérés aussi pour le registre de l’ENISA	Modifications dans les deux semaines (registre : trois mois)	Trouver votre autorité
Approuver, superviser, se former	Art. 20	Organe de direction	Aucune fréquence fixée	Devoirs de la direction
Dix mesures minimales	Art. 21	Toutes les entités concernées	En continu ; corriger les lacunes sans retard injustifié	Les dix mesures
Sécurité de la chaîne d’approvisionnement	Art. 21(2)(d), 21(3)	Toutes les entités concernées	Par fournisseur direct	Risque fournisseurs
Notifier les incidents importants	Art. 23	Toutes les entités concernées	24 heures, 72 heures, un mois	Calendrier de notification
Produits TIC certifiés	Art. 24	Lorsque le droit national ou un acte délégué l’exige	Selon l’exigence	Certification
Supervision	Art. 32, 33	Essentielles : proactive. Importantes : a posteriori	Sur demande	Essentielles ou importantes
Amendes	Art. 34	Toutes les entités concernées	Maximum d’au moins 10 millions d’euros ou 2 % (importantes : 7 millions d’euros ou 1,4 %)	Amendes
Données d’enregistrement des noms de domaine	Art. 28	Registres de TLD, services d’enregistrement de noms de domaine	Réponse aux demandes d’accès dans les 72 heures	Article 28

NIS2, c’est quoi, et depuis quand s’applique-t-elle ?

NIS2 est la directive (UE) 2022/2555 du 14 décembre 2022 « concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union ». Elle a remplacé NIS1, la directive (UE) 2016/1148.

Date	Événement
16 janvier 2023	Entrée en vigueur de NIS2
17 octobre 2024	Date limite d’adoption et de publication des lois nationales par les États membres (art. 41)
18 octobre 2024	Application des lois nationales ; abrogation de NIS1 (art. 41, 44)
17 avril 2025	Date limite des listes d’entités essentielles et importantes des États membres (art. 3(3))

Une directive lie les États membres, pas les entreprises : vos obligations découlent du droit national. De nombreux pays étaient en retard. Le 7 mai 2025, la Commission a adressé des avis motivés à 19 États membres. Le 8 juillet 2026, elle a saisi la Cour de justice d’un recours contre quatre d’entre eux qui n’avaient toujours pas notifié la transposition complète : l’Irlande, l’Espagne, la France et les Pays-Bas. Vérifiez que la loi de votre pays est en vigueur avant de vous fier à son détail.

Le principal changement par rapport à NIS1 porte sur le champ d’application. NIS1 laissait chaque pays identifier ses opérateurs de services essentiels ; NIS2 s’applique selon le secteur et la taille. Elle ajoute aussi des mesures minimales, des obligations pour la direction, un premier rapport à 24 heures et des plafonds d’amende minimaux. La comparaison figure dans NIS1 et NIS2 : les différences.

Qui doit se conformer à NIS2 ?

En vertu de l’article 2, paragraphe 1, l’entité doit être d’un type visé à l’annexe I ou II, être au moins une moyenne entreprise au sens de la recommandation 2003/361/CE, et fournir ses services ou exercer ses activités dans l’UE.

La taille moyenne commence à 50 personnes, ou lorsque le chiffre d’affaires et le total du bilan dépassent tous deux 10 millions d’euros. L’effectif se compte en unités de travail annuel, et les données des entreprises liées et partenaires s’additionnent : une petite filiale d’un grand groupe peut donc relever du champ d’application. Le vérificateur de champ d’application NIS2 donne une première réponse. Si vous êtes proche du seuil de 50 personnes, lisez NIS2 pour les PME, qui explique aussi pourquoi des fournisseurs hors champ reçoivent tout de même des demandes.

Quels secteurs NIS2 couvre-t-elle ?

• Annexe I, 11 secteurs hautement critiques : énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, par voie d’eau, routier), secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique et espace.
• Annexe II, 7 autres secteurs critiques : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux et dispositifs médicaux de diagnostic in vitro, et divisions C26 à C30 de la NACE), fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux) et recherche.

C’est la définition juridique de chaque type d’entité qui tranche, pas l’étiquette de votre secteur d’activité.

Qui est couvert quelle que soit sa taille ?

L’article 2, paragraphes 2 à 4, inclut les fournisseurs de communications électroniques publiques ; les prestataires de services de confiance, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS ; les services d’enregistrement de noms de domaine ; les entités critiques au sens de la directive CER, (UE) 2022/2557 ; les entités de l’administration publique centrale, et celles de niveau régional après une évaluation fondée sur les risques ; et les entités qu’un État membre identifie, par exemple comme seul fournisseur national d’un service essentiel.

L’administration publique qui exerce ses activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi est exclue (article 2, paragraphe 7). Lorsqu’un autre acte de l’UE impose des exigences au moins équivalentes en matière de gestion des risques ou de notification des incidents, les dispositions correspondantes de NIS2 ne s’appliquent pas (article 4, paragraphe 1) ; le considérant 28 cite DORA pour les entités financières.

Entité essentielle ou importante ?

Les entités essentielles sont principalement les entités de l’annexe I qui dépassent les plafonds de la moyenne entreprise : 250 personnes ou plus, ou un chiffre d’affaires supérieur à 50 millions d’euros et un total du bilan supérieur à 43 millions d’euros. Sont aussi des entités essentielles (article 3, paragraphe 1) : les prestataires de services de confiance qualifiés, les registres de TLD et les fournisseurs de services DNS, quelle que soit leur taille, les fournisseurs de télécommunications publiques de taille moyenne, l’administration publique centrale, les entités critiques au sens de la directive CER et les entités qu’un État membre identifie comme essentielles. Toute autre entité des annexes I ou II relevant du champ d’application est importante. Les obligations sont les mêmes ; la supervision et les amendes maximales diffèrent.

Quel droit national s’applique ?

En règle générale, celui de l’État membre où l’entité est établie (article 26). Les fournisseurs de télécommunications publiques relèvent de chaque État membre où ils fournissent leurs services. Les fournisseurs de cloud, de centres de données, de CDN, de DNS, de TLD, de services gérés, de services de sécurité gérés et de plateformes en ligne relèvent de l’État membre de leur établissement principal, là où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises. Voir la compétence au titre de NIS2.

Faut-il s’enregistrer ?

Oui, en pratique. L’article 3, paragraphe 4, impose aux entités de communiquer à leur autorité leur nom, leur adresse et leurs coordonnées, y compris leurs plages d’IP, leur secteur et sous-secteur, ainsi que les États membres dans lesquels elles fournissent des services. Toute modification doit être notifiée dans un délai de deux semaines. Les États membres peuvent organiser cette procédure sous forme d’auto-enregistrement. Les fournisseurs numériques énumérés transmettent aussi des informations pour le registre de l’ENISA (article 27). N’attendez pas que l’autorité vous contacte.

Quelles sont les obligations de la directive NIS2 ?

Article 20 : devoirs et formation de l’organe de direction

L’organe de direction approuve les mesures de l’article 21, supervise leur mise en œuvre et peut être tenu responsable des violations de l’article 21 par l’entité. Ses membres doivent suivre une formation, et les États membres encouragent les entités à offrir régulièrement une formation similaire à leur personnel. NIS2 ne fixe ni programme, ni nombre d’heures, ni fréquence ; le droit national peut le faire. Voir les exigences de formation NIS2.

Article 21 : les dix mesures minimales

L’article 21, paragraphe 1, exige des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, en tenant compte de l’état des connaissances, s’il y a lieu des normes européennes et internationales applicables, et du coût de mise en œuvre. La proportionnalité tient compte de votre exposition aux risques, de votre taille, ainsi que de la probabilité et de la gravité des incidents.

Les mesures sont fondées sur une approche « tous risques » qui protège aussi l’environnement physique de vos systèmes : l’incendie et la panne de courant comptent donc au même titre que les attaquants (voir l’approche « tous risques »). L’article 21, paragraphe 2, exige au moins :

• (a) des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information ;
• (b) la gestion des incidents ;
• (c) la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;
• (d) la sécurité de la chaîne d’approvisionnement ;
• (e) la sécurité de l’acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités (voir la divulgation coordonnée des vulnérabilités) ;
• (f) des politiques et des procédures pour évaluer l’efficacité des mesures ;
• (g) les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
• (h) la cryptographie et, le cas échéant, le chiffrement (voir les exigences de chiffrement NIS2) ;
• (i) la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs ;
• (j) l’authentification à plusieurs facteurs ou l’authentification continue, des communications vocales, vidéo et textuelles sécurisées et des systèmes sécurisés de communication d’urgence, selon les besoins.

Les lacunes constatées appellent des mesures correctives sans retard injustifié (article 21, paragraphe 4). Pour les fournisseurs de services DNS, les registres de TLD, les fournisseurs de services cloud, de centres de données, de CDN, de services gérés et de services de sécurité gérés, les plateformes en ligne et les prestataires de services de confiance, le règlement d’exécution (UE) 2024/2690 fixe des exigences techniques détaillées.

Article 21, paragraphe 3 : la chaîne d’approvisionnement

La mesure (d) couvre les aspects liés à la sécurité des relations avec vos fournisseurs ou prestataires de services directs. L’article 21, paragraphe 3, vous impose de tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de ses produits et de ses pratiques de cybersécurité, y compris ses procédures de développement sécurisé, ainsi que des résultats des évaluations coordonnées des risques menées à l’échelle de l’UE au titre de l’article 22. En pratique, un questionnaire générique envoyé à tous les fournisseurs ne le démontre pas. C’est aussi par cette voie que NIS2 atteint les petits fournisseurs hors champ : par les contrats de leurs clients.

Article 23 : la notification des incidents

Un incident important a causé ou est susceptible de causer une perturbation opérationnelle grave ou des pertes financières pour l’entité, ou des dommages matériels ou moraux considérables à d’autres personnes (article 23, paragraphe 3). Pour trancher rapidement, voir ce qui rend un incident important. Les rapports sont adressés à votre CSIRT ou à votre autorité compétente :

1. Alerte précoce, dans les 24 heures suivant la prise de connaissance : elle indique si l’incident semble causé par des actes illicites ou malveillants et s’il pourrait avoir un impact transfrontière, le cas échéant.
2. Notification d’incident, dans les 72 heures suivant la prise de connaissance : une évaluation initiale de la gravité et de l’impact, et les indicateurs de compromission, lorsqu’ils sont disponibles. Les prestataires de services de confiance l’envoient dans les 24 heures.
3. Rapport intermédiaire, si le CSIRT ou l’autorité le demande.
4. Rapport final, au plus tard un mois après la notification. Si l’incident est toujours en cours, un rapport d’avancement est remis à cette date, puis un rapport final dans un délai d’un mois après le traitement de l’incident.

Lorsque c’est approprié, vous informez aussi sans retard injustifié les destinataires de vos services (article 23, paragraphe 1). Un rançongiciel qui interrompt un service clé est le cas d’école : voir NIS2 et les rançongiciels. Si des données à caractère personnel sont en jeu, une notification distincte au titre du RGPD peut être due : voir NIS2 et RGPD.

Articles 24 et 25 : certification et normes

Il n’existe pas de certificat NIS2 pour les entreprises. Les États membres peuvent imposer l’utilisation de produits, services et processus TIC certifiés dans le cadre de schémas européens adoptés au titre du règlement sur la cybersécurité, afin de démontrer la conformité à certaines exigences de l’article 21. La Commission peut le faire pour des catégories d’entités par voie d’acte délégué (article 24). Un « certificat NIS2 » vendu comme un produit n’est qu’une attestation émise par le vendeur lui-même.

L’article 25 prévoit que les États membres encouragent le recours aux normes européennes et internationales, sans imposer ni favoriser un type particulier de technologie. ISO/IEC 27001 est le choix habituel. Elle couvre l’essentiel de l’article 21, mais ni le délai de notification, ni l’enregistrement, ni la responsabilité de la direction : voir ISO 27001 et NIS2.

Comment NIS2 est-elle supervisée, et quelles sont les amendes ?

L’exécution est nationale et relève des autorités compétentes que désigne chaque État membre.

Les entités essentielles (article 32) peuvent être supervisées sans aucun déclencheur : inspections, contrôles aléatoires, audits réguliers, ciblés et ad hoc, scans de sécurité, demandes d’informations et de preuves de mise en œuvre. Les entités importantes (article 33) sont supervisées a posteriori, sur la base d’éléments de preuve, d’indications ou d’informations faisant état d’un manquement, avec des audits ciblés mais sans contrôles aléatoires, ni audits réguliers ou ad hoc.

Pour les unes comme pour les autres, les autorités peuvent adresser des avertissements, des instructions contraignantes et des injonctions. Pour les seules entités essentielles, elles peuvent désigner un responsable du contrôle et, en dernier recours, suspendre temporairement une certification ou une autorisation, et demander à une juridiction ou à un autre organisme d’interdire temporairement à une personne exerçant des responsabilités au niveau de directeur général ou de représentant légal d’exercer des fonctions de direction (article 32, paragraphe 5). Les personnes qui représentent une entité, prennent des décisions en son nom ou la contrôlent peuvent être tenues responsables de ne pas avoir veillé à sa conformité (article 32, paragraphe 6, et article 33, paragraphe 5).

En cas de violation de l’article 21 ou 23, l’article 34 impose des amendes d’un montant maximal d’au moins :

• entités essentielles : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’entreprise, le montant le plus élevé étant retenu ;
• entités importantes : 7 millions d’euros ou 1,4 %, le montant le plus élevé étant retenu.

Il n’existe pas de palier supérieur dans NIS2 : 20 millions d’euros ou 4 %, c’est le RGPD. Une amende RGPD pour le même comportement exclut une amende NIS2 (article 35). Les sanctions des autres manquements, comme le défaut d’enregistrement, sont fixées au niveau national (article 36).

Quelles lois nationales NIS2 s’appliquent ?

Le texte contraignant est la loi de votre pays. Au Luxembourg, la loi du 5 mai 2026 s’applique depuis le 10 mai 2026 (NIS2 au Luxembourg) ; l’enregistrement auprès de l’ILR devait être effectué au plus tard le 10 juillet 2026, et les incidents se notifient via SERIMA. En Belgique, la loi du 26 avril 2024 s’applique depuis le 18 octobre 2024, avec le CCB comme autorité ; au plus tard le 18 avril 2026, les entités essentielles devaient montrer une première étape sur la voie CyberFundamentals, ISO/IEC 27001 ou inspection (NIS2 en Belgique). En Allemagne, la loi de transposition du 2 décembre 2025 (BGBl. 2025 I Nr. 301) a adopté une nouvelle loi BSI (BSIG), en vigueur depuis le 6 décembre 2025, et les entités s’enregistrent via le portail du BSI (NIS2 en Allemagne).

Quels guides sectoriels vous concernent ?

• Énergie : électricité, gaz, pétrole, hydrogène, chaleur
• Transports : aérien, ferroviaire, par voie d’eau et routier
• Secteur bancaire et infrastructures des marchés financiers : NIS2 et DORA
• Santé : hôpitaux, laboratoires et industrie pharmaceutique
• Infrastructure numérique : cloud, centres de données, DNS, CDN
• Gestion des services TIC : MSP et MSSP
• Fabrication : NACE C26 à C30 et dispositifs médicaux
• Denrées alimentaires : commerce de gros, transformation, production
• Télécommunications : fournisseurs des opérateurs
• Espace : infrastructures terrestres et leurs fournisseurs

Existe-t-il un hébergement conforme à NIS2 ?

Cette recherche cache deux questions. Si vous êtes l’hébergeur : les fournisseurs de services cloud et de centres de données font partie de l’infrastructure numérique de l’annexe I. À partir de la taille moyenne, ils relèvent du champ d’application, sont supervisés là où se trouve leur établissement principal et sont soumis au règlement d’exécution (UE) 2024/2690.

Si vous êtes un client soumis à NIS2 : aucun contrat d’hébergement ne transfère vos obligations, et NIS2 ne certifie pas les hébergeurs ni ne vous dit lequel choisir. Un hébergeur avec lequel vous avez un contrat est un prestataire de services direct au sens de l’article 21, paragraphe 2, point d), et l’article 21, paragraphe 3, vous impose de tenir compte de ses vulnérabilités propres et de ses pratiques de sécurité. En pratique, cela suppose une évaluation et des clauses de sécurité dans le contrat. Un hébergeur qui relève lui-même du champ d’application et peut présenter des rapports d’audit facilite cette évaluation, sans la rendre inutile.

Quelles modifications de NIS2 sont proposées ?

Le 20 janvier 2026, la Commission a proposé deux textes liés. En septembre 2026, ce sont encore des propositions, pas des lois, et ils peuvent évoluer avant que le Parlement européen et le Conseil ne s’accordent.

• COM(2026) 13, modifications ciblées de NIS2. Les « petites entreprises à moyenne capitalisation » de l’annexe I seraient en principe des entités importantes. Le texte prévoit des ajustements du champ d’application dans des secteurs comme l’électricité et les produits chimiques, une collecte de données sur les rançongiciels et des règles de compétence simplifiées. De nouveaux paragraphes 4 et 5 de l’article 24 permettraient aux États membres d’exiger un certificat de posture de cybersécurité de l’entité, ce qui exclurait des audits ciblés supplémentaires pour les exigences qu’il couvre. Selon la Commission, environ 28 700 entreprises verraient leur mise en conformité simplifiée.
• COM(2026) 11, révision du règlement sur la cybersécurité. Des schémas de l’UE pourraient certifier la posture de cybersécurité d’une entité, et non plus seulement des produits. Un cadre pour la chaîne d’approvisionnement TIC empêcherait les opérateurs de réseaux de communications électroniques de dépendre de fournisseurs à haut risque pour leurs actifs critiques.

Par où commencer ? Un plan à 90 jours

Ce plan relève de la pratique, pas de la loi. Il s’adresse à une entité de taille moyenne qui part de zéro.

Jours 1 à 30 : établir les faits

1. Effectuez la vérification du champ d’application pour chaque entité juridique, y compris la taille du groupe et la compétence, et consignez les chiffres.
2. Identifiez votre loi nationale, votre autorité compétente et votre CSIRT. Enregistrez-vous, ou vérifiez votre enregistrement, et mettez en place un processus pour notifier les modifications sous deux semaines.
3. Informez l’organe de direction, désignez un responsable du programme et planifiez la formation de ses membres.
4. Décidez qui apprécie le caractère important d’un incident, puis préparez le canal de notification et un modèle d’alerte précoce.

Jours 31 à 60 : identifier les lacunes

5. Réalisez une analyse des risques sur les services concernés, mesure (a).
6. Évaluez vos mesures de sécurité au regard des dix mesures ; listez les lacunes avec responsables et échéances.
7. Comblez rapidement les lacunes d’hygiène : MFA sur les accès d’administration et à distance, correctifs critiques, test de restauration consigné.

Jours 61 à 90 : décider et prouver

8. Établissez le registre des fournisseurs directs et intégrez des clauses de sécurité dans les contrats critiques.
9. Faites approuver les mesures et le plan de remédiation par l’organe de direction, et consignez-le au procès-verbal.
10. Exercez-vous à tenir les délais de 24 et de 72 heures, et commencez à collecter des preuves datées pour chaque mesure.

Ce que NIS2 laisse ouvert en pratique

NIS2 fixe des résultats et des rubriques, pas des contrôles. La formule « appropriées et proportionnées » ne donne aucun chiffre, et les dix mesures tiennent sur une page. Les preuves, elles, n’y tiennent pas.

Les articles 32 et 33 permettent à l’autorité de demander des « preuves de la mise en œuvre de politiques de cybersécurité », par exemple la MFA sur chaque compte d’administration aujourd’hui, les délais d’application des correctifs par rapport à votre propre échéance, la dernière restauration réussie, chaque décision sur le caractère important d’un incident avec son horodatage. Ces preuves se trouvent dans le fournisseur d’identité, la gestion des terminaux, les comptes cloud et l’outil de ticketing.

Rassemblées à la main avant un audit, elles montrent le jour où elles ont été rassemblées ; après un incident, l’autorité peut demander ce qui était vrai avant. Collectées en continu dans ces systèmes, avec une personne qui examine les exceptions et les décisions qui demandent du jugement, comme le caractère important d’un incident, les preuves restent prêtes pour l’audit. C’est ainsi que fonctionne CloudSoul : une plateforme automatisée avec une expertise humaine dans la boucle. Le programme complet est présenté sur la page conformité NIS2.

Liste de contrôle de la conformité NIS2

• Consignez une décision sur le champ d’application et la catégorie pour chaque entité juridique, avec les chiffres qui la fondent.
• Enregistrez-vous auprès de votre autorité compétente et notifiez les modifications dans un délai de deux semaines.
• Consignez l’approbation des mesures de l’article 21 par l’organe de direction et la formation de chacun de ses membres.
• Tenez un registre des risques et une liste des lacunes au regard des dix mesures, avec responsables et échéances.
• Tenez à jour un registre des fournisseurs directs, avec des clauses de sécurité dans les contrats critiques.
• Testez la notification des incidents au regard des délais de 24 heures, de 72 heures et d’un mois.
• Conservez des preuves datées pour chaque mesure, tirées des systèmes qui les détiennent.
• Vérifiez si votre loi nationale ajoute des exigences, comme des schémas de conformité ou une fréquence de formation.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 4, 20 à 28, 32 à 36, 41 et 44, considérant 28, annexes I et II, EUR-Lex. Texte des articles : article 41, article 44.
• Règlement d’exécution (UE) 2024/2690 de la Commission, EUR-Lex.
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, EUR-Lex.
• Commission européenne, transposition de NIS2 (avis motivés du 7 mai 2025) et saisine de la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026.
• Proposition COM(2026) 13 modifiant la directive (UE) 2022/2555, 20 janvier 2026, EUR-Lex ; Commission européenne, Paquet cybersécurité : questions et réponses, sur COM(2026) 11 et 13.
• Luxembourg, loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Legilux.
• Belgique, loi du 26 avril 2024, eJustice ; Centre pour la Cybersécurité Belgique, NIS2 : échéance du 18 avril 2026.
• Allemagne, Gesetz zur Umsetzung der NIS-2-Richtlinie du 2 décembre 2025, BGBl. 2025 I Nr. 301, recht.bund.de ; BSI-Gesetz (BSIG), texte consolidé, gesetze-im-internet.de ; BSI, NIS-2-regulierte Unternehmen.

Questions fréquentes