NIS2 pour le secteur de l'énergie : quels opérateurs sont concernés et quelles règles s'appliquent (électricité, gaz, pétrole, hydrogène, réseaux de chaleur)

NIS2 s’applique aux opérateurs du secteur de l’énergie d’un type visé à l’annexe I qui sont au moins de taille moyenne. Les sous-secteurs sont l’électricité, les réseaux de chaleur et de froid, le pétrole, le gaz et l’hydrogène. Est de taille moyenne une entreprise qui compte 50 salariés ou plus, ou dont le chiffre d’affaires et le total du bilan dépassent tous deux 10 millions d’euros. Les grands opérateurs sont des entités essentielles, les opérateurs de taille moyenne des entités importantes, et les entités critiques au sens de CER sont essentielles quelle que soit leur taille.

Ce guide présente le champ d’application par sous-secteur, le pétrole et le gaz, le statut d’entité essentielle ou importante, les exigences de NIS2, le code de réseau pour l’électricité, la directive CER, le nucléaire, les technologies opérationnelles (OT) en pratique et une liste de contrôle.

Sous-secteur	Types d’entités de l’annexe I de NIS2	Couvert par NIS1 ?
Électricité	Entreprises d’électricité qui remplissent la fonction de fourniture ; gestionnaires de réseau de distribution (GRD) ; gestionnaires de réseau de transport (GRT) ; producteurs ; opérateurs désignés du marché de l’électricité (NEMO) ; acteurs du marché fournissant des services d’agrégation, de participation active de la demande ou de stockage d’énergie ; exploitants de points de recharge qui fournissent un service de recharge aux utilisateurs finals	Fourniture, GRD et GRT uniquement
Réseaux de chaleur et de froid	Opérateurs de réseaux de chaleur ou de froid	Non
Pétrole	Exploitants d’oléoducs ; exploitants d’installations de production, de raffinage et de traitement de pétrole, de stockage et de transport ; entités centrales de stockage	Oui, sauf les entités centrales de stockage
Gaz	Entreprises de fourniture ; gestionnaires de réseau de distribution et de transport ; gestionnaires d’installation de stockage ; gestionnaires d’installation de GNL ; entreprises de gaz naturel ; exploitants d’installations de raffinage et de traitement de gaz naturel	Oui
Hydrogène	Exploitants de production, de stockage et de transport d’hydrogène	Non

Quels opérateurs du secteur de l’énergie sont concernés par NIS2 ?

Deux critères tranchent : le type d’entité, puis la taille. Le champ d’application s’attache à l’entité juridique, pas à un site ni à un actif.

Type. La plupart des entrées de l’annexe I consacrées à l’énergie renvoient à une définition du droit de l’énergie de l’UE, et ces définitions sont larges. Un producteur est une personne physique ou morale qui produit de l’électricité (directive (UE) 2019/944, article 2(38)), sans seuil de capacité. Les agrégateurs, les fournisseurs de participation active de la demande et les exploitants de stockage entrent en tant qu’acteurs du marché. Les réseaux de chaleur et de froid, l’hydrogène et les points de recharge sont nouveaux : NIS1 ne couvrait que l’électricité, le pétrole et le gaz.

Taille. NIS2 s’applique aux entités qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE : 50 salariés ou plus, ou un chiffre d’affaires et un total du bilan dépassant tous deux 10 millions d’euros. Les données des entreprises liées et partenaires sont ajoutées. L’article 2(1) écarte la règle de la recommandation relative au contrôle public : une entreprise énergétique communale n’est donc pas une grande entreprise du seul fait qu’une commune la détient.

Indépendamment de la taille. Un opérateur plus petit est concerné s’il est une entité critique au sens de CER (article 2(3)). Il l’est aussi si son État membre l’identifie, par exemple comme seul prestataire d’un service essentiel (article 2(2)). Pour un petit gestionnaire de réseau local, c’est la question à poser à l’autorité.

La méthode est détaillée dans le guide du champ d’application de NIS2, et le vérificateur de champ d’application NIS2 donne une première réponse à partir du secteur, de l’effectif et du chiffre d’affaires.

Ce que changerait la proposition de janvier 2026

Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS2, COM(2026) 13. Elles excluraient les producteurs d’électricité dont la capacité totale de production est inférieure ou égale à 1 MW. Elles redéfiniraient aussi les entrées relatives à l’hydrogène par renvoi à la directive (UE) 2024/1788. Il s’agit d’une proposition, pas d’un texte en vigueur : aujourd’hui, tout producteur qui remplit le critère de taille est concerné.

NIS2 s’applique-t-elle aux entreprises pétrolières et gazières ?

Oui, aux types énumérés qui sont au moins de taille moyenne.

Pétrole. Les entrées suivent l’infrastructure, des oléoducs et de la production jusqu’au raffinage, au stockage et au transport, auxquels s’ajoutent les entités centrales de stockage, qui gèrent les stocks pétroliers d’urgence et les stocks spécifiques. Le négoce seul n’est pas une activité visée.

Gaz. L’entrée la plus large est celle des entreprises de gaz naturel. NIS2 renvoie à la définition de la directive 2009/73/CE, refondue depuis par la directive (UE) 2024/1788. Il s’agit de toute personne qui remplit au moins une des fonctions suivantes : « la production, le transport, la distribution, la fourniture, l’achat ou le stockage de gaz naturel, y compris le GNL », à l’exclusion des clients finals. Un producteur de gaz ou un acheteur et revendeur en gros peut en relever.

Pour un groupe pétrolier et gazier, appliquez le critère entité juridique par entité juridique. La société de pipeline, la société de stockage et la branche de négoce peuvent aboutir à des résultats différents.

Un opérateur énergétique est-il une entité essentielle ou importante ?

Entité du secteur de l’énergie	Statut NIS2	Directive
Type énergie de l’annexe I, grande entreprise : 250 salariés ou plus, ou chiffre d’affaires supérieur à 50 millions d’euros et total du bilan supérieur à 43 millions d’euros	Essentielle	Art. 3(1)(a)
Type énergie de l’annexe I, moyenne entreprise	Importante	Art. 3(2)
Petite entreprise ou microentreprise	Hors champ, sauf cas indépendant de la taille	Art. 2(1) à 2(3)
Entité critique au sens de la directive CER, quelle que soit sa taille	Essentielle	Art. 2(3), 3(1)(f)
Identifiée par l’État membre	Essentielle ou importante, selon l’identification	Art. 2(2)(b) à (e), 3(1)(e)
Opérateur de services essentiels au titre de NIS1 identifié avant le 16 janvier 2023	Essentielle, si l’État membre le prévoit	Art. 3(1)(g)

Les deux catégories ont les mêmes obligations. La supervision est proactive pour les entités essentielles (article 32) et a posteriori pour les entités importantes (article 33). Les amendes maximales s’élèvent à au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et à au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (article 34). Le détail figure dans entités essentielles et entités importantes.

Qu’exige la conformité NIS2 des opérateurs énergétiques ?

La directive ne contient pas de chapitre consacré à l’énergie. Les opérateurs énergétiques ont les mêmes obligations de base que toute autre entité :

• Organe de direction : il approuve les mesures de l’article 21, en supervise la mise en œuvre, et ses membres suivent une formation (article 20).
• Gestion des risques : au moins les dix mesures de l’article 21(2), selon une approche « tous risques ». Voir les dix mesures de l’article 21.
• Notification des incidents : alerte précoce dans les 24 heures, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois (article 23).
• Enregistrement : communiquez vos informations à l’autorité et signalez les modifications dans un délai de deux semaines (article 3(4)).

Le règlement d’exécution (UE) 2024/2690 vise les fournisseurs numériques, pas les opérateurs énergétiques. Pour l’électricité, les précisions sectorielles viennent d’un acte distinct, présenté plus bas.

En pratique, la sécurité de la chaîne d’approvisionnement pèse lourd dans l’énergie : les fournisseurs de systèmes de contrôle-commande, les intégrateurs et les prestataires de maintenance ont souvent un accès à distance aux systèmes opérationnels. Voir la sécurité de la chaîne d’approvisionnement NIS2.

Les mesures nationales devaient s’appliquer à partir du 18 octobre 2024. Tous les États membres n’ont pas transposé à temps : vérifiez que votre loi nationale est en vigueur.

Quel est le lien entre NIS2 et le code de réseau sur la cybersécurité pour l’électricité ?

Le règlement délégué (UE) 2024/1366 de la Commission, le code de réseau sur la cybersécurité, fixe des règles sectorielles pour les aspects liés à la cybersécurité des flux transfrontaliers d’électricité. Il a été adopté le 11 mars 2024 sur la base du règlement (UE) 2019/943 sur le marché intérieur de l’électricité, et il est entré en vigueur le 13 juin 2024.

Il ne remplace pas NIS2. Selon le considérant 3, il « complète les dispositions de la directive (UE) 2022/2555 en ce qui concerne le secteur de l’électricité, chaque fois que des flux transfrontaliers d’électricité sont concernés ». Le considérant 15 demande aux autorités NIS2 et aux autorités du code de réseau de coopérer, afin d’éviter les lacunes et les doubles emplois.

• Qui : uniquement les entités que les autorités compétentes identifient comme entités à fort impact ou à impact critique au titre de l’article 24. L’article 2 cite les entreprises d’électricité, les NEMO, les places de marché organisées, les responsables d’équilibre, les exploitants de points de recharge, les centres de coordination régionaux, le REGRT pour l’électricité et l’entité des GRD de l’Union. Il cite aussi les prestataires critiques de services TIC et les fournisseurs de services de sécurité gérés.
• Quoi : des évaluations des risques de cybersécurité au niveau de l’Union, des États membres et des régions (articles 19 à 21), des contrôles de cybersécurité minimaux et avancés (article 29) et des mesures relatives à la chaîne d’approvisionnement (article 33).
• Quand : les États membres devaient désigner une autorité compétente au plus tard le 13 décembre 2024 (article 4(1)). Les obligations des entités suivent un cycle échelonné d’évaluations des risques et d’identification : demandez à votre autorité si votre entité a été identifiée.

Le point sur les fournisseurs compte : un éditeur de logiciels ou un fournisseur de services de sécurité gérés peut être concerné sans être une entreprise du secteur de l’énergie.

Quel est le lien entre NIS2 et la directive CER ?

La directive CER, directive (UE) 2022/2557 sur la résilience des entités critiques, porte sur la résilience des entités critiques face à tous les risques, pas seulement cyber. Les États membres devaient recenser leurs entités critiques au plus tard le 17 juillet 2026 et les en informer dans un délai d’un mois.

• Une entité critique au sens de CER est une entité essentielle au sens de NIS2, quelle que soit sa taille (articles 2(3) et 3(1)(f) de NIS2).
• CER ne s’applique pas aux questions couvertes par NIS2 (article 1(2) de CER). Ses obligations de résilience ne sont écartées que dans les secteurs bancaire, des infrastructures des marchés financiers et des infrastructures numériques (article 8) : les entités critiques de l’énergie sont donc soumises aux deux.
• Une entité critique évalue ses risques dans un délai de neuf mois suivant la notification, puis au moins tous les quatre ans (article 12), et prend des mesures de résilience, y compris de protection physique (article 13).
• Elle notifie à l’autorité CER les incidents qui perturbent, ou pourraient perturber, de manière importante la fourniture de services essentiels, avec une notification initiale dans les 24 heures, sauf incapacité opérationnelle (article 15). Une seule cyberattaque contre un centre de conduite peut déclencher cette notification et l’article 23 de NIS2.

Le volet physique de NIS2 est traité dans l’approche « tous risques ». Une approche raisonnable consiste à tenir une fiche par entité juridique indiquant les régimes applicables :

CARTE DES RÉGIMES, ENTITÉ ÉNERGÉTIQUE (une par entité juridique)
Entité juridique         : [nom, numéro d'immatriculation]
Entrées de l'annexe I    : [ex. électricité : GRD ; gaz : fourniture]
Taille, derniers comptes : effectif (UTA) [ ] CA [ ] total du bilan [ ]
Statut NIS2              : [hors champ / importante / essentielle], base [art. 3]
Entité critique CER      : [non / oui, notifiée le (date)]
Code de réseau           : [non identifiée / fort impact / impact critique]
Autorités                : NIS2 [ ]  CER [ ]  code de réseau [ ]
Canaux de notification   : CSIRT ou autorité NIS2 [ ]  autorité CER [ ]
Sites OT concernés       : [centrales, centres de conduite, actifs distants]
Évaluation des risques   : [référence, régimes couverts, prochaine revue]
Enregistrée auprès de    : [autorité, date, référence]

NIS2 s’applique-t-elle aux centrales nucléaires ?

Oui. Selon le considérant 10, la directive s’applique aux entités qui produisent de l’électricité à partir de centrales nucléaires, mais certaines de ces activités peuvent être liées à la sécurité nationale. Dans ce cas, y compris au sein de la chaîne de valeur nucléaire, un État membre devrait pouvoir exercer sa responsabilité en matière de sécurité nationale. Le partage se décide au niveau national : interrogez votre autorité.

Ce que NIS2 laisse ouvert pour les technologies opérationnelles

L’article 21 est neutre sur le plan technologique. Il ne mentionne pas les systèmes de contrôle-commande. Il demande des mesures qui tiennent compte de l’état de l’art et, le cas échéant, des normes européennes et internationales.

La recommandation de la Commission de 2019 sur la cybersécurité dans le secteur de l’énergie explique ce qui rend l’OT difficile. Certains éléments doivent réagir à des commandes en quelques millisecondes. Les réseaux et les canalisations sont interconnectés, si bien qu’une perturbation peut se propager en cascade. Des équipements d’une durée de vie de 30 à 60 ans, conçus avant que la cybersécurité ne soit une préoccupation, fonctionnent aux côtés de systèmes modernes.

En pratique, combler l’écart ressemble à ceci :

1. Un inventaire des actifs qui inclut l’OT, constitué par découverte passive là où un scan actif pourrait perturber les automates.
2. Une segmentation entre IT et OT, et entre zones OT. Le considérant 89 cite la segmentation des réseaux parmi les pratiques de cyberhygiène. La série IEC 62443, écrite pour les systèmes d’automatisation et de commande industriels, est la référence habituelle.
3. Un seul chemin contrôlé pour l’accès à distance, pour le personnel comme pour les fournisseurs, avec authentification à plusieurs facteurs (MFA) et journalisation des sessions. La MFA s’applique « selon les besoins », et il est difficile de soutenir que l’accès d’un fournisseur à un système de contrôle-commande n’en relève pas.
4. Des mesures compensatoires documentées là où vous ne pouvez pas appliquer de correctifs, avec un risque accepté par un propriétaire du risque nommément désigné.
5. Des sauvegardes de la logique et des configurations des automates, une restauration testée et un repli en mode manuel déjà exercé.
6. Un processus de gestion des incidents qui associe l’exploitation et la sûreté, capable de décider dans les 24 heures si un événement OT est important.

Les preuves se trouvent dans les pare-feu, les passerelles d’accès à distance, les serveurs d’historisation et les outils d’inventaire des actifs, pas dans les politiques. Collectées à la main une fois par an, elles décrivent l’installation de l’an dernier. Collectées en continu, avec une personne qui examine les exceptions, elles montrent ce qui fonctionne aujourd’hui. C’est ainsi que fonctionne la plateforme CloudSoul : une plateforme automatisée, avec une expertise humaine dans la boucle. La vue sectorielle se trouve sur la page énergie, le programme complet sur la page conformité NIS2.

Liste de contrôle NIS2 pour le secteur de l’énergie

• Rattachez chaque entité juridique à son entrée de l’annexe I et à la définition du droit de l’énergie qui la sous-tend.
• Calculez la taille à partir des derniers comptes approuvés, avec les entreprises liées et partenaires.
• Demandez si votre entité a été identifiée : entité critique au sens de CER, entité au titre du code de réseau ou identification nationale.
• Enregistrez-vous auprès de votre autorité NIS2 et signalez les modifications dans un délai de deux semaines.
• Menez une seule évaluation des risques couvrant l’IT, l’OT et les sites physiques, mise en correspondance avec chaque régime applicable.
• Faites passer tout accès à distance des fournisseurs à l’OT par un seul chemin contrôlé et journalisé.
• Testez la gestion des incidents au regard des délais de 24 et 72 heures, avec l’exploitation autour de la table.
• Consignez l’approbation des mesures par l’organe de direction et la formation de ses membres.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23 et 32 à 34, considérants 10 et 89, annexe I, EUR-Lex.
• Directive (UE) 2016/1148 (NIS1), annexe II, EUR-Lex.
• Règlement délégué (UE) 2024/1366 de la Commission, code de réseau sur la cybersécurité des flux transfrontaliers d’électricité, considérants 3 et 15, articles 2, 4, 19 à 21, 24, 29 et 33, EUR-Lex.
• Directive (UE) 2022/2557 sur la résilience des entités critiques (CER), articles 1, 6, 8, 12, 13 et 15, EUR-Lex.
• Règlement délégué (UE) 2023/2450 de la Commission, liste des services essentiels au titre de CER, annexe, EUR-Lex.
• Directive (UE) 2019/944, article 2, et directive 2009/73/CE, article 2, EUR-Lex et EUR-Lex ; directive (UE) 2024/1788, refonte de la directive 2009/73/CE, EUR-Lex.
• Recommandation (UE) 2019/553 de la Commission sur la cybersécurité dans le secteur de l’énergie, EUR-Lex.
• Proposition COM(2026) 13, modifications ciblées de la directive (UE) 2022/2555, EUR-Lex.
• Commission européenne, Infrastructures critiques et cybersécurité dans l’énergie.
• IEC, Comprendre l’IEC 62443.

Questions fréquentes