Guides NIS2 : périmètre, obligations et lois nationales.
Savoir si NIS2 vous concerne, ce qu'exigent l'article 21 et la notification d'incident, comment fonctionnent la supervision et les amendes, ce que la directive change secteur par secteur, et comment les États membres l'ont transposée.
Enregistrement NIS2 auprès de l'ILR : qui doit s'enregistrer, quelles informations transmettre et ce qui se passe ensuite
Les entités concernées par la loi NIS2 luxembourgeoise s'enregistrent elles-mêmes auprès de l'ILR via son formulaire d'auto-enregistrement. Le délai expirait le 10 juillet 2026. Ce que demande le formulaire, comment l'ILR confirme votre statut et ce qui suit.
Notification d'incident NIS2 au Luxembourg : que notifier à l'ILR, dans quels délais, et un modèle
Au Luxembourg, les incidents importants sont notifiés à l'ILR via le formulaire SERIMA : notification préliminaire sous 24 heures, notification d'incident sous 72 heures, rapport final sous un mois. Ce qui rend un incident important, le contenu de chaque rapport et un modèle.
Annexe sécurité des contrats fournisseurs : ce que demande chaque clause et comment y répondre
Une annexe sécurité fait des exigences de sécurité de votre client des clauses avec un délai, un droit d'audit et une conséquence. Son noyau : en général les huit points contractuels du règlement (UE) 2024/2690. Dix clauses, leur coût, ce qui se négocie et une liste de contrôle.
vCISO, les 90 premiers jours : le plan d'un responsable sécurité à temps partiel
Les 90 premiers jours d'un vCISO ou d'un responsable sécurité à temps partiel doivent produire quatre choses démontrables, pas quarante politiques. Les six phases de quinze jours, ce qu'il faut refuser et les quatre tests oui/non qui disent au jour 90 si cela a marché.
Exigences de cybersécurité pour les fournisseurs du spatial : NIS2, la proposition d'EU Space Act, l'ESA et les maîtres d'œuvre
Les exigences de cybersécurité des fournisseurs du spatial viennent surtout des clients, pas des régulateurs. Ce que NIS2 couvre dans le spatial, ce qu'ajouterait l'EU Space Act, ce qu'exigent les contrats ESA, UE et maîtres d'œuvre, ce qui vient d'abord, quoi bâtir une fois.
Qui est responsable de la cybersécurité dans une PME ? (et quand un vCISO se justifie)
La direction est responsable et une personne nommée doit porter les décisions. NIS2 confie approbation et supervision à l'organe de direction, ISO 27001 exige d'attribuer les rôles, aucun n'impose de RSSI. Qui hérite du rôle par défaut, ce qu'il recouvre, quand un vCISO convient.
NIS2 pour les fournisseurs télécom : les deux voies par lesquelles les obligations vous atteignent, et ce que les opérateurs vont demander
NIS2 touche les fournisseurs télécom de deux façons : par contrat, car l'opérateur doit gérer le risque de ses fournisseurs directs, et directement si vous êtes un MSP, un fournisseur de cloud ou de centre de données moyen ou grand. Demandes des opérateurs et actions à mener.
ISO 27001 vs NIS2 : comment les deux se recoupent, et comment faire les deux en une seule fois
Un SMSI ISO 27001 couvre environ 70 à 80 % de l'article 21 de NIS2 : cinq des dix mesures entièrement, cinq en partie. Le tableau de correspondance, là où « partielle » pèse, les cinq obligations NIS2 qu'aucun SMSI ne contient, et comment mener les deux en un seul programme.
NIS2 et ransomware : ce que vous devez déclarer, si vous pouvez payer et ce qu'attend l'article 21
Un rançongiciel (ransomware) pouvant perturber gravement vos services est un incident important NIS2 : alerte précoce sous 24 heures, notification sous 72. NIS2 n'interdit pas de payer. Déclaration, paiement, proposition COM(2026) 13, article 21, RGPD et les 24 premières heures.
NIS2 et sécurité de la chaîne d'approvisionnement : comment évaluer le risque fournisseurs selon l'article 21
La sécurité de la chaîne d'approvisionnement est une des dix mesures minimales de NIS2. Évaluez les vulnérabilités, la qualité des produits et les pratiques de sécurité de chaque fournisseur direct et tenez compte des évaluations coordonnées de l'UE. Étapes, contrats, article 22.
NIS2 s'applique-t-elle aux PME ? Qui est concerné, et ce que les petits fournisseurs doivent faire malgré tout
NIS2 couvre les moyennes et grandes entreprises des secteurs listés : 50 salariés ou plus, ou plus de 10 millions d'euros à la fois de chiffre d'affaires et de total du bilan. Les petites sont en général hors champ, mais leurs clients soumis à NIS2 leur répercutent les exigences.
Exigences de chiffrement NIS2 : ce que l'article 21 demande pour la cryptographie, et quand le chiffrement est attendu
NIS2 impose à chaque entité essentielle et importante une politique de cryptographie, et le chiffrement lorsque le risque le justifie. Ce que dit l'art. 21(2)(h), l'apport du règlement 2024/2690, un plan de politique, la gestion des clés, le post-quantique et les télécoms.
NIS2 dans l'agroalimentaire : quelles entreprises du secteur alimentaire sont concernées (commerce de gros, transformation, production)
NIS2 vise les entreprises du secteur alimentaire de distribution en gros et de production et transformation industrielles, au moins de taille moyenne. Qui est concerné, des laiteries et boissons aux commerces, restaurants et fermes, entité essentielle ou importante, obligations.
NIS2 article 28 : les obligations relatives aux données d'enregistrement des noms de domaine (WHOIS) pour les registres et les bureaux d'enregistrement
Article 28 de NIS2 : registres de TLD, bureaux d'enregistrement et revendeurs doivent tenir des données d'enregistrement exactes et complètes, les vérifier, publier les données non personnelles et répondre aux demandes d'accès sous 72 h. Champ, données, RGPD, liste de contrôle.
NIS2 en Allemagne : ce qu'exigent la loi NIS2UmsuCG et le nouveau BSIG, qui est concerné et les échéances du BSI
NIS2 s'applique en Allemagne depuis le 6 décembre 2025 via la NIS2UmsuCG et un nouveau BSIG. Champ d'application (§ 28), délai d'enregistrement déjà expiré (§ 33), notification (§ 32), mesures (§ 30), obligations de la direction (§ 38) et amendes (§ 65), mis en regard de NIS2.
Formations obligatoires NIS2 : qui doit être formé, sur quoi et à quelle fréquence
NIS2 impose une formation en cybersécurité aux membres de l'organe de direction et fait de la formation du personnel une mesure minimale. Ni durée, ni certificat, ni organisme agréé. Le texte, les règles d'exécution, un plan de formation et un modèle de registre.
NIS2 en Belgique : ce qu'exige la loi du 26 avril 2024, qui est concerné et les échéances du CCB
La loi belge NIS2, la loi du 26 avril 2024, s'applique depuis le 18 octobre 2024, avec le CCB comme autorité nationale. Champ d'application, enregistrement sur Safeonweb@work, notification des incidents, voies CyberFundamentals et ISO 27001, échéances de 2026 et 2027, amendes.
Compétence NIS2 : quel État membre vous supervise, et comment fonctionne la règle de l'établissement principal
Selon NIS2, l'État membre où vous êtes établi vous supervise. Les télécoms relèvent de chaque pays desservi ; le cloud, les MSP et autres fournisseurs numériques, de leur établissement principal. Règles, test de cet établissement, acteurs hors UE, assistance mutuelle, groupes.
NIS2 au Luxembourg : la loi du 5 mai 2026 expliquée (champ d'application, enregistrement auprès de l'ILR, notification des incidents et amendes)
Le Luxembourg a transposé NIS2 par la loi du 5 mai 2026, en vigueur depuis le 10 mai 2026. Qui est concerné, l'enregistrement auprès de l'ILR, les dix mesures de l'article 12, la notification en 24 heures et des amendes jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires.
Divulgation coordonnée des vulnérabilités NIS2 : ce que met en place l'article 12 et ce que votre entreprise doit faire face aux vulnérabilités
Selon l'article 12 de NIS2, un CSIRT par pays coordonne les signalements de vulnérabilités et l'ENISA gère une base de données européenne des vulnérabilités. L'article 21 oblige les entreprises à les traiter et à les divulguer. Enjeux, lien avec le CRA, modèle de politique.
NIS2 et industrie manufacturière : quels fabricants sont concernés (NACE C26 à C30 et dispositifs médicaux)
NIS2 vise les fabricants de dispositifs médicaux et de DIV et de produits des divisions 26 à 30 de la NACE Rév. 2, dès 50 salariés ou un CA et un bilan de plus de 10 millions d'euros. Contenu des divisions, équipementiers automobiles, concessionnaires, statut et obligations.
NIS2 et DORA dans les services financiers : quand DORA s'applique à la place de NIS2, et où s'inscrit CER
NIS2 et DORA : NIS2 ne vise que banques, plateformes de négociation et contreparties centrales, et même là DORA remplace ses règles de risque et d'incident. Assureurs, entreprises d'investissement, établissements de paiement, gestionnaires de fonds : DORA seul. Délais et CER.
Certification NIS2 : existe-t-il un certificat NIS2, et qu'est-ce qui vaut preuve ?
Aucun certificat NIS2 pour les entreprises. NIS2 permet aux autorités d'exiger des produits TIC certifiés (article 24), encourage des normes comme ISO 27001 (article 25) et audite les entités (articles 32 et 33). Ce qui existe, ce qui est proposé, ce que demande un auditeur.
NIS2 pour les MSP et MSSP : les fournisseurs de services gérés sont-ils concernés, et quelles règles s'appliquent ?
Les fournisseurs de services gérés et de services de sécurité gérés sont un secteur de l'annexe I de NIS2. Moyenne entreprise ou plus grande, vous êtes concerné : entité importante si moyenne, essentielle si grande. Règles, pays de supervision, enregistrement, notification.
NIS2 et RGPD : les différences, les recoupements et comment gérer un même incident au titre des deux textes
Le RGPD protège les données personnelles, NIS2 les systèmes des services essentiels et importants. Un incident peut déclencher les deux : alerte précoce NIS2 sous 24 heures, notification RGPD sous 72 heures. Tableau comparatif, amendes, exemple concret et procédure commune.
Qu'est-ce qu'un incident important selon NIS2 ? Définition légale, seuils des fournisseurs numériques et décision rapide
Selon l'article 23, par. 3, de NIS2, un incident est important s'il cause ou peut causer une perturbation opérationnelle grave ou des pertes financières pour vous, ou des dommages considérables à autrui. Critère légal, décideur, seuils numériques, arbre de décision et RGPD.
NIS2 dans les transports : quels opérateurs aériens, ferroviaires, maritimes, fluviaux et routiers sont concernés et ce qui s'applique
NIS2 vise les opérateurs de transport de l'annexe I au moins de taille moyenne : transporteurs aériens, aéroports, contrôle aérien, rail, transport par eau, ports, STM, autorités routières et STI. Qui est concerné, essentiel ou important, et le lien avec Part-IS, ISPS et CER.
Qui contrôle le respect de NIS2 ? Autorités compétentes, CSIRT et organes de l'UE en arrière-plan
Les autorités compétentes nationales appliquent NIS2 ; les incidents se notifient à un CSIRT national ou à l'autorité. Rôle des organismes nationaux et européens, ceux avec qui une entreprise traite, comment les trouver et ce que la proposition de 2026 changerait pour l'ENISA.
Amendes et sanctions NIS2 : combien, pour quels manquements et ce que les autorités peuvent faire d'autre
Pour l'article 21 ou 23, le droit national doit prévoir des amendes NIS2 d'un montant maximal d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial (essentielles), 7 millions ou 1,4 % (importantes). Déclencheurs, groupe, RGPD, pouvoirs, responsabilité personnelle.
NIS2 et santé : quels hôpitaux, cliniques, laboratoires et entreprises pharmaceutiques sont concernés
NIS2 vise les prestataires de soins de santé, dont les hôpitaux, la R&D et la fabrication pharmaceutiques et les fabricants de dispositifs médicaux dès 50 salariés ou CA et bilan au-delà de 10 millions d'euros. Cliniques, radiologie, labos, pharmacies, pharma : statut et règles.
Approche « tous risques » de NIS2 : ce qu'elle implique pour la sécurité physique et environnementale
L'article 21(2) de NIS2 exige une approche « tous risques » qui protège les réseaux et systèmes d'information et leur environnement physique. Risques cités par les considérants, règles des fournisseurs numériques, lien avec la directive CER et socle proportionné pour les PME.
NIS2 et infrastructures numériques : ce qui s'applique aux fournisseurs de cloud, de centres de données, de DNS, de CDN et d'IXP
L'annexe I de NIS2 cite neuf types d'entités d'infrastructure numérique. DNS, registres de TLD, services de confiance et télécoms : toute taille ; cloud, centres de données, CDN et IXP : dès la taille moyenne. Définitions, statut, compétence, seuils d'incident, liste de contrôle.
Entités essentielles et importantes NIS2 : comment votre entité est classée et ce qui change pour vous
Les grandes entités de l'annexe I et quelques catégories désignées sont essentielles ; les autres entités des annexes I et II visées sont importantes. Les deux suivent les mêmes articles 20, 21 et 23. Supervision, exécution et amendes diffèrent. Classement et conséquences.
NIS2 pour le secteur de l'énergie : quels opérateurs sont concernés et quelles règles s'appliquent (électricité, gaz, pétrole, hydrogène, réseaux de chaleur)
NIS2 vise les opérateurs d'électricité, de réseaux de chaleur et de froid, de pétrole, de gaz et d'hydrogène de l'annexe I, au moins de taille moyenne ; les grands sont essentiels. Champ par sous-secteur, pétrole et gaz, code de réseau électrique, directive CER et OT en pratique.
Notification d'incident NIS2 : 24 heures, 72 heures, un mois et le contenu de chaque rapport
NIS2 vous laisse 24 heures après avoir eu connaissance d'un incident important pour l'alerte précoce, 72 heures pour la notification d'incident, puis un mois pour le rapport final. Contenu de chaque rapport, destinataires, information des clients et calendrier à copier.
Obligations de la direction au titre de NIS2 : ce qu'exige l'article 20 et quand la responsabilité des dirigeants peut être engagée
Selon l'article 20 de NIS2, l'organe de direction approuve les mesures de l'article 21, supervise leur mise en œuvre et peut être tenu responsable ; ses membres doivent suivre une formation. Chaque devoir, la délégation, la responsabilité et un modèle de dossier.
Article 21 de NIS2 : les 10 mesures de gestion des risques en matière de cybersécurité expliquées
L'article 21 de NIS2 impose des mesures appropriées et proportionnées pour gérer les risques de cybersécurité, fondées sur une approche « tous risques », et fixe dix mesures minimales. Leur sens en pratique, la notion de proportionnalité et les preuves qu'une autorité demandera.
NIS1 et NIS2 : les différences clés, point par point
NIS2 a remplacé NIS1 le 18 octobre 2024. Surtout, le périmètre change. NIS1 : opérateurs choisis par chaque pays, 7 secteurs. NIS2 : critère de taille, 18 secteurs. En plus : dix mesures minimales, dirigeants responsables, alerte en 24 h, plafonds d'amende. Le tableau comparatif.
Champ d'application NIS2 : NIS2 s'applique-t-elle à votre entreprise ? La vérification en quatre étapes
NIS2 s'applique aux entités d'un type visé à l'annexe I ou II, au moins de taille moyenne et actives dans l'UE, et à une courte liste d'entités couvertes quelle que soit leur taille. Quatre étapes, un tableau de décision, les règles de taille, les exclusions, l'enregistrement.
Conformité NIS2 : les obligations de la directive, qui est concerné et par où commencer
NIS2, c'est quoi ? Une directive pour les moyennes et grandes entités de 18 secteurs. Conformité NIS2 : enregistrement, approbation et formation des dirigeants, dix mesures minimales, incidents notifiés sous 24 heures. Champ, obligations, amendes, droit national, plan à 90 jours.