NIS1 et NIS2 : les différences clés, point par point

NIS2 (directive (UE) 2022/2555) a remplacé NIS1 (directive (UE) 2016/1148) le 18 octobre 2024. La principale différence tient au champ d’application. Avec NIS1, chaque État membre désignait ses « opérateurs de services essentiels » dans 7 secteurs. NIS2 s’applique automatiquement aux entités de taille moyenne ou supérieure dans 18 secteurs. Elle ajoute aussi dix mesures de sécurité minimales, la responsabilité des organes de direction, un premier signalement sous 24 heures et des plafonds d’amende minimaux.

Ce guide présente le tableau comparatif, les entités concernées, ce qui a changé pour les mesures de sécurité, la notification des incidents, la direction et les amendes, le calendrier, la proposition de modification de 2026, et ce qu’un ancien opérateur NIS1 doit faire maintenant.

Sujet	NIS1, directive (UE) 2016/1148	NIS2, directive (UE) 2022/2555
Entrée en vigueur / application	En vigueur le 8 août 2016, applicable depuis le 10 mai 2018	En vigueur le 16 janvier 2023, applicable depuis le 18 octobre 2024
Entités concernées	Opérateurs de services essentiels identifiés par chaque État membre, plus les fournisseurs de service numérique	Entités des types énumérés aux annexes I et II qui sont des moyennes entreprises ou plus grandes, plus certaines entités quelle que soit leur taille
Secteurs	7 pour les opérateurs, plus 3 types de services numériques	18 (11 à l’annexe I, 7 à l’annexe II)
Catégories	Opérateurs de services essentiels, fournisseurs de service numérique	Entités essentielles et entités importantes
Mesures de sécurité	Mesures « nécessaires et proportionnées »	Le même principe, plus dix mesures minimales (article 21, paragraphe 2)
Direction	Aucune obligation spécifique	Les organes de direction approuvent, supervisent, peuvent être tenus responsables et doivent suivre une formation (article 20)
Notification des incidents	« Sans retard injustifié »	Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois (article 23)
Chaîne d’approvisionnement	Non mentionnée	Une mesure explicite (article 21, paragraphe 2, point d)), plus des évaluations coordonnées au niveau de l’UE (article 22)
Amendes	Fixées par chaque État membre, sans montant	Maximum d’au moins 10 millions d’euros ou 2 % (entités essentielles) et 7 millions d’euros ou 1,4 % (entités importantes), le montant le plus élevé étant retenu (article 34)
Télécommunications et services de confiance	Hors des règles de sécurité et de notification de NIS1	Concernés quelle que soit leur taille

Quelle est la différence entre NIS1 et NIS2 ?

La manière dont une entité entre dans le champ d’application. Avec NIS1, chaque État membre devait identifier, au plus tard le 9 novembre 2018, les opérateurs de services essentiels établis sur son territoire. Il fallait vérifier si l’entité fournissait un service essentiel au maintien d’activités sociétales ou économiques critiques, si ce service dépendait des réseaux et des systèmes d’information, et si un incident aurait des effets disruptifs importants. Chaque pays a appliqué ce critère à sa façon. Un même type d’entreprise pouvait donc être concerné dans un pays et ne pas l’être dans un autre.

NIS2 l’a remplacé par un critère de taille. L’article 2, paragraphe 1, applique la directive aux entités d’un type énuméré à l’annexe I ou II qui sont des moyennes entreprises ou qui dépassent cette taille, selon la définition européenne des PME (recommandation 2003/361/CE). Certaines entités sont concernées quelle que soit leur taille, notamment les fournisseurs de réseaux ou de services de communications électroniques publics, les prestataires de services de confiance, les registres des noms de domaine de premier niveau, les fournisseurs de services DNS et les fournisseurs de services d’enregistrement de noms de domaine. Les États membres peuvent encore ajouter des entités selon certains critères, par exemple lorsqu’une entité est le seul fournisseur d’un service essentiel.

Le fait d’être une entité essentielle ou importante découle ensuite surtout du secteur et de la taille, comme l’explique notre article sur les entités essentielles et entités importantes. Pour vérifier votre propre situation, utilisez le vérificateur de champ d’application NIS2.

Quels secteurs relevaient de NIS1, et lesquels relèvent de NIS2 ?

NIS1 comptait 7 secteurs pour les opérateurs de services essentiels (annexe II de NIS1) : l’énergie (électricité, pétrole, gaz), les transports (aérien, ferroviaire, par voie d’eau, routier), le secteur bancaire, les infrastructures de marchés financiers, les établissements de soins de santé, la fourniture et la distribution d’eau potable, et les infrastructures numériques (points d’échange internet, fournisseurs de services DNS, registres des noms de domaine de premier niveau). À part, elle couvrait trois types de fournisseurs de service numérique (annexe III) : les places de marché en ligne, les moteurs de recherche en ligne et les services d’informatique en nuage.

NIS2 compte 18 secteurs.

• Annexe I, secteurs hautement critiques (11) : énergie (qui inclut désormais les réseaux de chaleur et de froid, l’hydrogène et les points de recharge), transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (interentreprises), administration publique et espace.
• Annexe II, autres secteurs critiques (7) : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (notamment dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines et véhicules), fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de services de réseaux sociaux) et recherche.

Les nouveaux venus comptent surtout pour les entreprises de taille moyenne qui n’ont jamais eu affaire à NIS1 : fournisseurs de services gérés, centres de données, fabricants, entreprises alimentaires et organismes de recherche. Les services d’informatique en nuage étaient déjà couverts par NIS1 au titre des fournisseurs de service numérique. Si vous êtes un fournisseur de services gérés, consultez notre article NIS2 pour les MSP et les MSSP.

Comment les exigences de sécurité ont-elles changé ?

NIS1 demandait aux opérateurs de services essentiels de prendre « les mesures techniques et organisationnelles nécessaires et proportionnées », compte tenu de l’état des connaissances (article 14). Pour les fournisseurs de service numérique, elle énumérait cinq éléments à prendre en considération, comme la gestion des incidents, la gestion de la continuité des activités et le respect des normes internationales (article 16).

NIS2 conserve le principe de proportionnalité mais rend trois choses explicites. Les mesures suivent une approche « tous risques », qui couvre aussi l’environnement physique de vos systèmes. L’article 21, paragraphe 2, fixe dix mesures minimales, de l’analyse des risques et de la gestion des incidents à la sécurité de la chaîne d’approvisionnement, à la cryptographie et à l’authentification à plusieurs facteurs le cas échéant. Enfin, pour les fournisseurs de services d’informatique en nuage, de centres de données, de DNS, de services gérés et plusieurs autres fournisseurs numériques, le règlement d’exécution (UE) 2024/2690 fixe des exigences techniques détaillées. Les dix mesures sont expliquées dans notre article sur l’article 21 de NIS2.

La supervision a moins changé qu’on ne le pense. NIS1 permettait déjà aux autorités d’exiger des opérateurs de services essentiels des politiques de sécurité documentées et les résultats d’audits de sécurité (article 15), et elle prévoyait un contrôle a posteriori des fournisseurs de service numérique (article 17). NIS2 conserve cette répartition : supervision complète pour les entités essentielles, supervision a posteriori pour les entités importantes.

Comment la notification des incidents a-t-elle changé ?

NIS1 imposait de notifier « sans retard injustifié » les incidents ayant un impact significatif sur la continuité d’un service essentiel, ou un impact substantiel pour les fournisseurs de service numérique. Elle ne fixait aucun délai en heures.

L’article 23 de NIS2 fixe un calendrier en trois étapes pour les incidents importants :

1. Une alerte précoce dans les 24 heures après avoir eu connaissance de l’incident.
2. Une notification d’incident dans les 72 heures, avec une évaluation initiale de sa gravité et de son impact.
3. Un rapport final au plus tard un mois après la notification d’incident.

Les prestataires de services de confiance doivent envoyer la notification d’incident dans les 24 heures. NIS2 définit aussi ce qu’est un incident « important » : un incident qui cause ou peut causer une perturbation opérationnelle grave ou des pertes financières pour l’entité, ou des dommages matériels ou moraux considérables à d’autres personnes. Les délais en pratique sont détaillés dans notre article sur le calendrier de notification des incidents NIS2.

Qu’est-ce qui a changé pour la direction et les amendes ?

NIS1 ne disait rien de spécifique sur les conseils d’administration. L’article 20 de NIS2 impose aux organes de direction d’approuver les mesures de gestion des risques en matière de cybersécurité et de superviser leur mise en œuvre, et ils peuvent être tenus responsables des violations de l’article 21 par l’entité. Les membres des organes de direction doivent suivre une formation.

NIS1 laissait entièrement les sanctions aux États membres (article 21 de NIS1) et exigeait seulement qu’elles soient « effectives, proportionnées et dissuasives ». L’article 34 de NIS2 fixe des plafonds minimaux pour les violations des articles 21 ou 23 : au moins 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial total pour les entités essentielles, et 7 000 000 EUR ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Il n’existe pas de palier supérieur. Les lois nationales peuvent fixer des plafonds plus élevés, et ce sont elles qui fixent la procédure. Le détail figure dans notre article sur les pouvoirs d’exécution et les sanctions NIS2.

Quand NIS2 a-t-elle remplacé NIS1 ?

Date	Événement
19 juillet 2016	Publication de NIS1 au Journal officiel
9 mai 2018	Date limite de transposition de NIS1, application à partir du 10 mai 2018
27 décembre 2022	Publication de NIS2 au Journal officiel
16 janvier 2023	Entrée en vigueur de NIS2
17 octobre 2024	Date limite d’adoption des lois NIS2 par les États membres
18 octobre 2024	Application des lois nationales NIS2, abrogation de NIS1
17 avril 2025	Date limite des listes d’entités essentielles et importantes établies par les États membres

De nombreux États membres étaient en retard. Le 8 juillet 2026, la Commission a saisi la Cour de justice d’un recours contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de communication de leurs mesures de transposition. Lorsqu’un pays n’a pas encore adopté sa loi NIS2, vérifiez auprès de son autorité nationale quelles règles s’appliquent entre-temps. Exemples nationaux : Allemagne, Belgique et Luxembourg.

NIS2 va-t-elle encore changer ?

Une modification a été proposée, mais pas adoptée. Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS2 (COM(2026) 13). Elles comprennent une nouvelle catégorie de « petites entreprises à moyenne capitalisation », destinée à réduire les coûts de mise en conformité, des ajustements du champ d’application dans des secteurs comme l’électricité et les produits chimiques, une collecte simplifiée des données sur les rançongiciels, des règles de compétence simplifiées, et la certification de la posture de cybersécurité d’une entité comme moyen de démontrer sa conformité. Selon la Commission, ce paquet simplifierait la conformité pour environ 28 700 entreprises.

Tant que le Parlement européen et le Conseil ne l’ont pas adopté et que les États membres ne l’ont pas transposé, ce sont le texte actuel de NIS2 et votre loi nationale qui s’appliquent.

Si vous releviez de NIS1, que devez-vous faire maintenant ?

Vous êtes presque certainement toujours dans le champ d’application. La question porte donc sur les écarts. Cinq points demandent généralement du travail :

1. Enregistrement. NIS2 demande à chaque entité concernée de communiquer à son autorité son nom, ses coordonnées, ses plages d’adresses IP, son secteur et les pays où elle exerce ses activités, et de signaler tout changement dans un délai de deux semaines. Avec NIS1, l’autorité identifiait les opérateurs. Avec NIS2, de nombreux pays attendent des entités qu’elles s’enregistrent elles-mêmes.
2. Organe de direction. Approbation des mesures par l’organe de direction, supervision consignée par écrit et formation de ses membres.
3. Chaîne d’approvisionnement. Un registre des fournisseurs, des critères de sécurité dans les contrats et une évaluation de chaque fournisseur direct critique.
4. Délai de notification. Un circuit d’astreinte capable d’envoyer une alerte précoce sous 24 heures, y compris le week-end.
5. Preuves. La conformité à NIS1 était souvent démontrée par des documents. Les autorités NIS2 demandent des preuves que les mesures sont mises en œuvre.

C’est sur ce dernier point que la plupart des programmes s’enlisent. Une politique qui prévoit « MFA pour tous les accès administratifs » est facile à rédiger. Montrer que c’est vrai aujourd’hui pour chaque compte administrateur ne l’est pas, sauf si les preuves proviennent des systèmes eux-mêmes. C’est ce que collecte la plateforme CloudSoul, avec une personne qui examine ce que les données ne permettent pas de trancher. Le programme NIS2 dans son ensemble est présenté sur la page conformité NIS2.

Liste de contrôle : passer de NIS1 à NIS2

• Confirmez votre catégorie NIS2, entité essentielle ou importante, selon votre loi nationale.
• Enregistrez-vous auprès de votre autorité compétente, ou vérifiez que votre enregistrement est à jour.
• Réalisez une analyse des écarts entre vos mesures NIS1 et les dix mesures de l’article 21.
• Faites approuver les mesures par l’organe de direction, de façon consignée, et planifiez la formation.
• Constituez un registre des fournisseurs et ajoutez des clauses de sécurité aux contrats critiques.
• Testez votre capacité à envoyer une alerte précoce sous 24 heures.
• Remplacez les documents par des preuves là où l’autorité demandera des justificatifs.

Sources

• Directive (UE) 2016/1148 (NIS1), articles 1, 5, 14 à 17, 21, 25 et 26, annexes II et III, EUR-Lex.
• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20 à 23, 34, 41, 44 et 45, annexes I et II, EUR-Lex.
• Commission européenne, page consacrée à la directive NIS2 (saisines de la Cour de justice du 8 juillet 2026, proposition de janvier 2026), Shaping Europe’s digital future.
• Commission européenne, questions et réponses sur le paquet cybersécurité, 20 janvier 2026, Shaping Europe’s digital future.

Questions fréquentes