Il n’existe pas de certificat NIS2 pour les entreprises. La directive n’en crée pas, et aucun organisme de certification n’est accrédité pour déclarer une organisation « conforme à NIS2 ». Ce que fait NIS2 : elle permet aux autorités d’exiger des produits TIC certifiés dans le cadre de schémas européens (article 24), elle encourage des normes comme ISO/IEC 27001 (article 25) et elle soumet les entités à des audits (articles 32 et 33).
Ce guide explique ce que recouvre en général l’expression « certification NIS2 », ce que permet l’article 24, quels schémas européens existent, le rôle d’ISO 27001, les audits qu’une autorité peut ordonner, les schémas nationaux, la proposition de janvier 2026, et propose une liste de contrôle.
| Ce que l’on appelle « certification NIS2 » | Ce que c’est réellement | Obligatoire ? |
|---|---|---|
| Un « certificat NIS2 » délivré par un cabinet de conseil ou un outil | Une attestation propre au prestataire, sans effet juridique | Non |
| Certificat ISO/IEC 27001 | Certification accréditée de votre système de management, la preuve habituelle pour l’article 21 | Non, sauf si le droit national s’appuie dessus |
| Certificat européen de cybersécurité (EUCC) | Certification d’un produit TIC au titre du règlement sur la cybersécurité | Seulement si un État membre ou un acte délégué de la Commission l’exige |
| Audit de sécurité | Un outil de supervision de votre autorité compétente | Entités essentielles : audits réguliers et ciblés. Entités importantes : audits ciblés, a posteriori |
| Schéma national de conformité | Une évaluation nationale, comme les CyberFundamentals en Belgique | Là où le droit national l’exige |
| Certificat européen de « posture de cybersécurité » | Proposé dans COM(2026) 11 et COM(2026) 13 | Pas en vigueur |
Existe-t-il une certification NIS2 ?
Non. NIS2 oblige les entités essentielles et importantes à prendre des mesures de gestion des risques en matière de cybersécurité « appropriées et proportionnées » (article 21), à notifier les incidents importants (article 23) et à faire approuver et superviser ces mesures par leurs organes de direction (article 20). C’est votre autorité compétente qui juge si vous êtes en conformité, pas un certificat.
Cela laisse de la place à un marché des badges. Un outil ou un cabinet de conseil peut vous évaluer selon sa propre liste de contrôle NIS2 et vous remettre un document. Cela peut constituer une analyse d’écarts utile. Ce n’est pas une certification au sens juridique, et votre autorité n’est pas liée par ce document.
Que dit l’article 24 sur la certification ?
L’article 24 porte sur des produits, services et processus TIC certifiés, pas sur la certification d’une entreprise.
- Les États membres peuvent exiger des entités essentielles et importantes qu’elles utilisent des produits TIC, services TIC et processus TIC particuliers, certifiés dans le cadre de schémas européens de certification de cybersécurité adoptés conformément à l’article 49 du règlement (UE) 2019/881 (règlement sur la cybersécurité). L’objectif est de « démontrer la conformité à certaines exigences visées à l’article 21 ».
- Les États membres doivent encourager le recours à des services de confiance qualifiés.
- La Commission peut adopter des actes délégués précisant quelles catégories d’entités doivent utiliser des produits, services ou processus certifiés, ou obtenir un certificat dans le cadre d’un schéma européen. Elle ne peut le faire que si des niveaux insuffisants de cybersécurité ont été constatés, après une analyse d’impact, et en prévoyant une période de mise en œuvre.
- Lorsqu’il n’existe pas de schéma approprié, la Commission peut demander à l’ENISA d’élaborer un schéma candidat.
En pratique, votre État membre, ou la Commission par voie d’acte délégué, pourrait un jour exiger, par exemple, un produit certifié pour une fonction précise. Cela ne signifie pas que vous pouvez acheter un certificat qui couvre NIS2.
Quels schémas européens de certification de cybersécurité existent ?
Peu, et aucun ne certifie une organisation aujourd’hui.
- EUCC, le schéma européen fondé sur les critères communs, établi par le règlement d’exécution (UE) 2024/482. Il certifie des produits TIC et des profils de protection à deux niveaux d’assurance, « substantiel » et « élevé ». Il s’applique depuis le 27 février 2025, et les certificats sont valables jusqu’à cinq ans.
- Le cloud (EUCS) et la 5G (EU5G) font l’objet de schémas candidats qui n’ont pas été adoptés. La Commission a indiqué que les travaux sur ces schémas devraient reprendre.
- Services de sécurité gérés. Le règlement (UE) 2025/37 a modifié le règlement sur la cybersécurité pour permettre la certification des services de sécurité gérés. En avril 2025, la Commission a demandé à l’ENISA de préparer un schéma candidat, qui est toujours en cours d’élaboration.
Pour la plupart des entreprises concernées, aucun de ces schémas ne change ce qu’elles doivent faire cette année.
NIS2 exige-t-elle ISO 27001 ?
Non. L’article 25 demande aux États membres d’encourager le recours à « des normes et des spécifications techniques européennes et internationales » pour la sécurité des réseaux et des systèmes d’information, « sans imposer l’utilisation d’un type particulier de technologies ni créer de discrimination en faveur d’un tel type particulier de technologies ». Selon l’article 21, paragraphe 1, vos mesures doivent tenir compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables.
ISO/IEC 27001 est la norme que la plupart des entreprises utilisent pour répondre à cette attente, car un SMSI couvre la plupart des dix mesures de l’article 21 et donne à un auditeur quelque chose à tester. La correspondance, et ses limites, sont détaillées dans ISO 27001 et NIS2. Les mesures elles-mêmes sont expliquées dans les dix mesures de l’article 21.
Un groupe d’entités est soumis à des exigences plus précises. Les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche en ligne, les plateformes de services de réseaux sociaux et les prestataires de services de confiance doivent appliquer le règlement d’exécution (UE) 2024/2690. Son annexe fixe les exigences techniques et méthodologiques pour chaque mesure de l’article 21.
Quels audits une autorité NIS2 peut-elle imposer ?
C’est la partie de NIS2 qui se rapproche le plus d’une certification : un tiers vérifie vos mesures, et l’autorité lit le résultat.
| Pouvoir de supervision | Entités essentielles (article 32) | Entités importantes (article 33) |
|---|---|---|
| Déclencheur nécessaire | Aucun | Éléments de preuve, indications ou informations de non-conformité |
| Inspections | Sur place et à distance, y compris des contrôles aléatoires | Sur place et à distance, a posteriori |
| Audits de sécurité | Réguliers et ciblés, par un organisme indépendant ou l’autorité | Ciblés, par un organisme indépendant ou l’autorité |
| Audits ad hoc | Oui, par exemple après un incident important | Non prévus |
| Scans de sécurité | Oui | Oui |
| Demandes de preuves | Politiques consignées par écrit, résultats d’audits réalisés par un auditeur qualifié et éléments de preuve sous-jacents | Les mêmes |
Les audits ciblés reposent sur des évaluations des risques réalisées par l’autorité ou par l’entité contrôlée, ou sur d’autres informations disponibles relatives aux risques. Les résultats sont transmis à l’autorité. L’entité contrôlée paie l’audit ciblé réalisé par un organisme indépendant, sauf lorsque l’autorité en décide autrement dans des cas dûment motivés.
Notez ce que l’autorité demande : des « preuves de la mise en œuvre de politiques de cybersécurité ». Un ensemble de politiques, à lui seul, n’est pas une preuve. Des enregistrements montrant que les contrôles fonctionnent, si.
Certains pays ont-ils un schéma national de conformité NIS2 ?
Oui. Les États membres peuvent aller plus loin que la directive, et certains ont inscrit une évaluation formelle de la conformité dans leur législation.
La Belgique en est l’exemple le plus clair. Au plus tard le 18 avril 2026, les entités essentielles devaient présenter l’un de ces trois éléments : une vérification CyberFundamentals de niveau Basic ou Important (obtenue, en cours, ou faisant l’objet d’un contrat avec un organisme accrédité), une voie ISO/IEC 27001 (périmètre, déclaration d’applicabilité et dernier rapport d’audit interne transmis, avec une certification complète d’ici avril 2027), ou une auto-évaluation accompagnée d’une demande d’inspection. Les détails figurent dans NIS2 en Belgique.
Si vous êtes présent dans plusieurs pays, vérifiez chaque loi nationale. Une même entreprise peut être soumise à une évaluation formelle dans un État membre et à une supervision sur demande dans un autre.
Y aura-t-il un certificat NIS2 au niveau européen ?
Peut-être, mais pas encore. Le 20 janvier 2026, la Commission a proposé deux textes liés.
- Une révision du règlement sur la cybersécurité (COM(2026) 11). Des schémas européens pourraient certifier la « posture de cybersécurité » d’une entité, et pas seulement des produits et services TIC. La Commission présente cette possibilité comme un moyen pour les entreprises de démontrer leur conformité à NIS2 et à d’autres textes européens.
- Des modifications ciblées de NIS2 (COM(2026) 13). Un nouvel article 24, paragraphe 4, permettrait aux États membres d’exiger des entités essentielles et importantes qu’elles obtiennent un tel certificat pour démontrer leur conformité à l’article 21. Lorsqu’un certificat démontre la conformité aux exigences applicables, les autorités ne pourraient pas ordonner d’audits de sécurité ciblés supplémentaires pour les exigences qu’il couvre. Le certificat n’affecterait pas la responsabilité propre de l’entité quant au respect de ses obligations.
Ce sont deux propositions. Tant que le Parlement européen et le Conseil ne les ont pas adoptées, et tant qu’aucun schéma européen de posture de cybersécurité n’existe, rien ne change. Appuyez-vous sur ce qui compte déjà : des mesures mises en œuvre, et la preuve qu’elles fonctionnent.
Combien coûte une certification NIS2 ?
Il n’y a pas de certificat NIS2 à payer. Le coût est celui du travail de mise en conformité, et il dépend de l’écart entre vos contrôles actuels et l’article 21.
Si vous utilisez ISO 27001 comme preuve, le détail des coûts d’ISO 27001 s’applique : environ 12 000 à 22 500 € pour l’audit de certification d’une entreprise de 26 à 125 personnes, et environ 50 000 à 150 000 € pour la première année, tout compris. Méfiez-vous de toute offre qui vend un « certificat NIS2 » comme produit.
Ce qu’un certificat ne prouve pas
Un certificat est un jugement porté à un instant donné, sur un échantillon. Un auditeur ISO 27001 lit vos politiques, teste une sélection de contrôles et signe. Une autorité NIS2 pose une autre question : les mesures sont-elles en place et fonctionnent-elles maintenant, sur l’ensemble des services concernés ?
On y répond avec des preuves opérationnelles, pas avec un document. Par exemple : un inventaire des actifs conforme à la réalité, l’authentification à plusieurs facteurs (MFA) sur chaque compte d’administration, les délais de correction des vulnérabilités critiques, des journaux dans lesquels vous pouvez faire des recherches, une restauration testée et une chronologie d’incident que vous pouvez reconstituer à l’heure près. L’essentiel peut être collecté en continu à partir des systèmes eux-mêmes, ce que fait la plateforme CloudSoul, avec une personne qui examine ce que les données ne permettent pas de trancher. Si vous voulez d’abord savoir où vous en êtes, un audit de sécurité au regard de l’article 21 est le moyen le plus rapide de le découvrir. Le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle pour la certification NIS2
- Vérifiez si vous êtes concerné, et si vous êtes une entité essentielle ou une entité importante.
- Vérifiez si votre droit national prévoit une évaluation de conformité obligatoire ou un schéma reconnu.
- Décidez de ce qui constituera votre preuve : ISO 27001, un schéma national ou vos propres mesures documentées.
- Faites correspondre vos contrôles aux dix mesures de l’article 21 et comblez les écarts.
- Si vous êtes un fournisseur de services d’informatique en nuage, de centre de données, de DNS, de services gérés ou un autre fournisseur visé par le règlement d’exécution (UE) 2024/2690, vérifiez vos contrôles au regard de son annexe.
- Conservez les preuves de mise en œuvre, pas seulement les politiques : enregistrements, journaux, résultats de tests.
- Faites approuver les mesures par votre organe de direction et consignez cette approbation (article 20).
- Ignorez les offres de « certificat NIS2 » qu’aucune autorité ne reconnaît.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 20, 21, 24, 25, 32 et 33, EUR-Lex.
- Règlement d’exécution (UE) 2024/482 de la Commission (EUCC), synthèse EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, EUR-Lex.
- ENISA, schéma candidat pour les services de sécurité gérés (EUMSS), certification ENISA.
- Commission européenne, questions et réponses sur le paquet cybersécurité, 20 janvier 2026, Shaping Europe’s digital future.
- Proposition de directive modifiant la directive (UE) 2022/2555, COM(2026) 13 final, registre du Conseil.
- Centre pour la Cybersécurité Belgique, « NIS2: 18 April 2026 deadline », mis à jour le 16 avril 2026, CCB.
Questions fréquentes
Existe-t-il une certification NIS2 ?
Non. La directive NIS2 ne crée pas de certificat pour les entreprises, et aucun organisme n'est accrédité pour certifier qu'une organisation est conforme à NIS2. Un « certificat NIS2 » vendu par un cabinet de conseil ou un éditeur d'outil est une attestation propre à ce prestataire et n'engage aucune autorité.
Comment obtenir une certification NIS2 ?
En tant que telle, c'est impossible. Vous remplissez les obligations, principalement les mesures de gestion des risques de l'article 21 et les obligations de notification de l'article 23, et vous conservez la preuve que vous le faites. La certification ISO/IEC 27001 est le moyen le plus courant de démontrer la partie article 21, et certains États membres l'acceptent dans des schémas nationaux de conformité.
Quels audits la directive NIS2 exige-t-elle ?
Les autorités peuvent soumettre les entités essentielles à des audits de sécurité réguliers et ciblés, réalisés par un organisme indépendant ou par l'autorité elle-même (article 32). Les entités importantes font l'objet d'audits ciblés a posteriori, lorsque des indications laissent penser qu'elles ne sont pas en conformité (article 33). Un audit ciblé réalisé par un organisme indépendant est à la charge de l'entité contrôlée, sauf si l'autorité en décide autrement.
Combien coûte une certification NIS2 ?
Il n'y a pas de certificat NIS2 à payer. Le coût est celui du travail de mise en conformité lui-même. Si vous utilisez ISO 27001 comme preuve, l'audit de certification d'une entreprise de 26 à 125 personnes coûte environ 12 000 à 22 500 €, et la première année revient, tout compris, à environ 50 000 à 150 000 €.
Y aura-t-il un certificat NIS2 à l'échelle de l'UE ?
Peut-être. En janvier 2026, la Commission a proposé une révision du règlement sur la cybersécurité (COM(2026) 11) qui permettrait des schémas européens certifiant la posture de cybersécurité d'une entité, ainsi que des modifications de NIS2 (COM(2026) 13) qui permettraient aux États membres d'exiger un tel certificat. Ce sont deux propositions, pas du droit en vigueur, et aucun schéma de ce type n'existe encore.
