NIS2 est appliquée au niveau national. Chaque État membre désigne une ou plusieurs autorités compétentes qui supervisent les entreprises et infligent les amendes, ainsi qu’un ou plusieurs CSIRT qui reçoivent les notifications d’incidents et aident à y répondre. Les organes de niveau européen, à savoir le groupe de coopération, le réseau des CSIRT, EU-CyCLONe et l’ENISA, assurent la coordination entre les pays. Aucun d’eux ne supervise directement votre entreprise.
Ce guide présente les organismes nationaux, la notification des incidents, ce qu’un CSIRT fait pour vous, les organes de l’UE, la stratégie nationale, la manière de trouver votre propre autorité, la proposition de 2026 concernant l’ENISA, ce que la loi laisse ouvert et une liste de contrôle.
| Organisme | Niveau | Rôle | L’entreprise traite-t-elle directement avec lui ? |
|---|---|---|---|
| Autorité compétente (art. 8) | National | Supervise, audite, fait appliquer les règles, inflige des amendes | Oui : enregistrement, supervision, souvent notification des incidents |
| Point de contact unique (art. 8) | National | Liaison transfrontière et intersectorielle | Rarement |
| Autorité de gestion des crises cyber (art. 9) | National | Gère les incidents de cybersécurité majeurs et les crises | Seulement en cas de crise nationale |
| CSIRT (art. 10 à 12) | National | Reçoit les notifications d’incidents, intervient, alerte, coordonne la divulgation des vulnérabilités | Oui : incidents, alertes |
| Groupe de coopération (art. 14) | UE | Coopération stratégique, orientations, évaluations des risques pour la chaîne d’approvisionnement | Non ; ses orientations guident votre autorité |
| Réseau des CSIRT (art. 15) | UE | Coopération opérationnelle entre CSIRT | Non |
| EU-CyCLONe (art. 16) | UE | Coordonne les crises transfrontières majeures | Non |
| ENISA (art. 12, 18 et 27) | UE | Base de données des vulnérabilités, registre, secrétariats, rapport de l’UE | Indirectement : les données du registre passent par votre autorité |
Qui contrôle le respect de NIS2 dans chaque pays ?
Les autorités compétentes (article 8)
L’article 8, paragraphe 1, impose à chaque État membre de désigner ou d’établir une ou plusieurs autorités compétentes chargées de la cybersécurité et des tâches de supervision visées au chapitre VII.
C’est l’organisme qui vous enregistre, vous supervise et vous sanctionne. Pour les entités essentielles, l’article 32 permet des inspections, des contrôles aléatoires, des audits réguliers, ciblés et ad hoc, des scans de sécurité, ainsi que des demandes d’informations et de preuves de mise en œuvre. Les entités importantes sont supervisées a posteriori, lorsqu’il existe des preuves ou des indices de non-conformité (article 33).
Pour les entités essentielles, ses pouvoirs d’exécution comprennent les avertissements, les instructions contraignantes, les injonctions de mettre les mesures en conformité avec l’article 21, la désignation d’un responsable du contrôle et les amendes administratives (article 32, paragraphe 4). Pour les entités importantes, la liste est similaire mais ne comprend pas de responsable du contrôle (article 33, paragraphe 4). Pour les violations des articles 21 et 23, les montants maximaux des amendes (article 34) doivent atteindre au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Voir les amendes et sanctions NIS2.
Les États membres choisissent le modèle. Certains désignent une autorité unique pour tous les secteurs ; d’autres laissent les régulateurs sectoriels compétents pour leurs secteurs. Ce choix détermine votre interlocuteur : vérifiez-le avant de tirer des conclusions. L’État membre dont l’autorité est compétente est déterminé par l’article 26, expliqué dans notre article sur la compétence NIS2 et la règle de l’établissement principal.
Le point de contact unique (article 8, paragraphes 3 et 4)
Chaque État membre désigne aussi un point de contact unique. Lorsqu’il n’existe qu’une seule autorité compétente, celle-ci est aussi le point de contact unique. Sa mission est la liaison : la coopération transfrontière avec les autorités des autres États membres et, le cas échéant, avec la Commission et l’ENISA, ainsi que la coopération intersectorielle au niveau national.
La directive n’en fait pas le destinataire de vos notifications d’incidents, même si, lorsqu’il est aussi l’unique autorité compétente, il peut les recevoir en cette qualité. Le CSIRT ou l’autorité qui reçoit votre notification informe le point de contact unique (article 13, paragraphe 3), qui doit recevoir en temps utile les informations pertinentes pour les incidents transfrontières ou intersectoriels (article 23, paragraphe 1).
Les autorités de gestion des crises cyber (article 9)
Chaque État membre désigne une ou plusieurs autorités chargées de gérer les incidents de cybersécurité majeurs et les crises, avec un coordinateur s’il y en a plusieurs. Il adopte un plan national de réaction aux incidents et crises de cybersécurité majeurs, qui couvre notamment les exercices, le lien avec le dispositif général de gestion des crises au niveau national, ainsi que les parties prenantes et les infrastructures publiques et privées concernées.
En pratique, une entreprise ne rencontre ce niveau qu’en cas de crise nationale. Si vous exploitez des services d’énergie, de télécommunications ou de santé, vous pouvez figurer parmi les parties prenantes désignées dans le plan.
À qui notifier un incident NIS2 ?
À votre CSIRT national ou, le cas échéant, à votre autorité compétente (article 23, paragraphe 1). Le droit national détermine lequel et fournit le canal. La directive fixe les délais : une alerte précoce dans les 24 heures après avoir pris connaissance d’un incident important, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois. Les étapes sont détaillées dans le calendrier de notification des incidents NIS2.
Le cas échéant, et en particulier lorsqu’un incident important concerne deux États membres ou plus, le CSIRT, l’autorité compétente ou le point de contact unique informe les autres États membres touchés et l’ENISA (article 23, paragraphe 6). Vous notifiez à votre propre CSIRT ou autorité, qui transmet l’information.
Les notifications volontaires sont également possibles (article 30) : pour les entités dans le champ d’application, concernant les incidents, les cybermenaces et les incidents évités au-delà de ce qu’exige l’article 23, et pour toute autre entité, concernant les incidents importants, les cybermenaces et les incidents évités.
Que fait un CSIRT pour une entreprise ?
Au titre de l’article 23, paragraphe 5, le destinataire de votre alerte précoce répond sans retard injustifié et, si possible, dans les 24 heures, avec un premier retour d’information et, à votre demande, des orientations sur les mesures d’atténuation. Le CSIRT fournit une assistance technique supplémentaire sur demande. Si l’incident semble de nature criminelle, vous recevez aussi des orientations pour le signaler aux services répressifs.
L’article 11, paragraphe 3, énumère les missions du CSIRT. Celles qui concernent directement une entreprise :
- les alertes précoces, alertes et annonces à destination des entités concernées ;
- la réaction aux incidents et l’assistance aux entités essentielles et importantes, le cas échéant ;
- un scan proactif de vos réseaux et systèmes d’information, à votre demande ;
- le cas échéant, le rôle de coordinateur aux fins de la divulgation coordonnée des vulnérabilités (article 12, paragraphe 1), présenté dans notre article sur la divulgation coordonnée des vulnérabilités NIS2.
Les CSIRT peuvent aussi procéder à un scan proactif et non intrusif des réseaux et systèmes d’information accessibles au public des entités essentielles et importantes, et leur signaler ce qui est vulnérable ou configuré de manière non sécurisée. Assurez-vous qu’une telle alerte parviendrait à quelqu’un qui peut agir.
Les CSIRT peuvent être établis au sein d’une autorité compétente (article 10, paragraphe 1). Dans certains pays, l’organisme qui vous aide et celui qui vous supervise sont donc une seule et même organisation.
Que font les organes de l’UE dans l’architecture NIS2 ?
Le groupe de coopération (article 14)
Il réunit des représentants des États membres, de la Commission et de l’ENISA, la Commission assurant le secrétariat. Ses missions comprennent des orientations aux autorités compétentes sur la transposition et la mise en œuvre, les évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques au titre de l’article 22, la définition de la méthodologie des examens par les pairs et l’évaluation régulière de menaces telles que les rançongiciels. Deux effets touchent les entreprises : ses orientations influencent la manière dont votre autorité lit la directive, et l’article 21, paragraphe 3, vous impose de tenir compte des résultats de ces évaluations de la chaîne d’approvisionnement.
Le réseau des CSIRT (article 15)
Il réunit des représentants des CSIRT nationaux et du CERT-UE, la Commission y participant en tant qu’observateur et l’ENISA assurant le secrétariat. Il échange des informations sur les incidents, les menaces et les vulnérabilités, coordonne, lorsque c’est possible, une réponse à un incident à la demande d’un membre, aide les États membres face aux incidents transfrontières et soutient la divulgation des vulnérabilités qui touchent plusieurs États membres. Il fait rapport au groupe de coopération sur la coopération opérationnelle tous les deux ans ; le premier rapport était attendu pour le 17 janvier 2025.
EU-CyCLONe (article 16)
Le réseau européen pour la préparation et la gestion des crises cyber (EU-CyCLONe) soutient la gestion coordonnée des incidents de cybersécurité majeurs et des crises au niveau opérationnel. Ses membres sont les autorités de gestion des crises cyber des États membres ; la Commission participe à ses activités lorsqu’un incident de cybersécurité majeur a ou est susceptible d’avoir un impact important sur des services relevant du champ d’application, et y participe en tant qu’observateur dans les autres cas. L’ENISA assure le secrétariat.
Ses missions sont la préparation, une connaissance partagée de la situation, l’évaluation de l’impact et la proposition de mesures d’atténuation, la coordination de la gestion des crises et le soutien à la prise de décision politique. Il fait rapport au Parlement européen et au Conseil tous les 18 mois ; le premier rapport était attendu pour le 17 juillet 2024. Ce n’est pas une plateforme de renseignement sur les menaces, et les entreprises ne peuvent pas y adhérer.
Les examens par les pairs (article 19)
Les États membres s’évaluent entre eux ; les entreprises ne font pas l’objet d’un examen. La participation est volontaire. Des experts désignés par au moins deux autres États membres évaluent, par exemple, la mise en œuvre des articles 21 et 23 et les capacités des autorités compétentes et des CSIRT. La Commission et l’ENISA y assistent en tant qu’observateurs, et l’État membre examiné peut publier son rapport.
L’ENISA
L’Agence de l’Union européenne pour la cybersécurité a des missions définies au titre de NIS2, dont aucune ne relève de la supervision :
- Base de données européenne des vulnérabilités (article 12, paragraphe 2). Lancée sous le nom d’EUVD le 13 mai 2025. L’enregistrement de vulnérabilités y est volontaire.
- Registre des fournisseurs numériques (article 27). Les fournisseurs de services DNS, les registres de noms de domaine de premier niveau (TLD), les fournisseurs de services d’enregistrement de noms de domaine, d’informatique en nuage, de centres de données, de réseaux de diffusion de contenu (CDN), de services gérés et de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche et de réseaux sociaux ont communiqué leurs informations à leur autorité compétente au plus tard le 17 janvier 2025 ; toute modification doit être communiquée dans les trois mois. Le point de contact unique transmet ces données à l’ENISA, à l’exception des plages d’adresses IP.
- Rapport sur l’état de la cybersécurité dans l’Union, tous les deux ans, avec la Commission et le groupe de coopération (article 18).
Que couvre la stratégie nationale en matière de cybersécurité ?
L’article 7 impose à chaque État membre d’adopter une stratégie nationale en matière de cybersécurité comprenant des objectifs, un cadre de gouvernance, un mécanisme d’évaluation des risques, des mesures de préparation et la liste des autorités concernées. L’article 7, paragraphe 2, y ajoute dix politiques : la sécurité de la chaîne d’approvisionnement des TIC ; les exigences de cybersécurité dans les marchés publics ; la gestion des vulnérabilités et la divulgation coordonnée ; le noyau public de l’internet ouvert ; les technologies avancées ; l’éducation, les compétences, la sensibilisation et la recherche ; le soutien aux établissements universitaires et de recherche ; le partage volontaire d’informations ; le niveau de référence de cyberrésilience et de cyberhygiène des PME ; et la cyberprotection active. Les stratégies sont évaluées au moins tous les cinq ans.
Pour une entreprise, la stratégie explique d’où viennent les exigences de sécurité dans les marchés publics et le soutien national aux PME. À elle seule, elle ne vous impose aucune obligation.
Comment trouver votre autorité compétente et votre CSIRT ?
Chaque État membre doit rendre publique l’identité de son autorité compétente, et la Commission publie une liste des points de contact uniques (article 8, paragraphe 6). En pratique :
- Vérifiez quel État membre est compétent pour chaque entité de votre groupe (article 26).
- Lisez la loi de transposition de ce pays : elle désigne l’autorité compétente, les éventuelles autorités sectorielles et le CSIRT.
- Trouvez le canal d’enregistrement et vérifiez que vous êtes enregistré. Toute modification de vos informations doit être communiquée sans délai et dans les deux semaines (article 3, paragraphe 4).
- Trouvez le canal de notification des incidents : portail, formulaire ou adresse, et qui doit disposer d’un compte.
- Notez le contact du CSIRT pour l’assistance technique et le coordinateur pour les signalements de vulnérabilités.
- Ajoutez l’autorité de protection des données, car une violation de données à caractère personnel se notifie séparément au titre du RGPD.
L’exemple du Luxembourg. L’ILR indique être l’autorité compétente pour les secteurs des annexes I et II et pour les entités critiques. L’enregistrement auprès de l’ILR devait être effectué au plus tard le 10 juillet 2026, et les entités supervisées par l’ILR notifient les incidents via le formulaire en ligne SERIMA. Le CIRCL est le CERT du secteur privé, des communes et des entités non gouvernementales, ainsi que le coordinateur national pour la divulgation des vulnérabilités. Le GOVCERT.LU traite les incidents qui touchent les systèmes de l’État et les opérateurs d’infrastructures critiques. Le tableau complet figure dans notre article sur NIS2 au Luxembourg.
Regroupez les réponses à un seul endroit, à côté du plan de réponse aux incidents. C’est avant l’incident qu’il faut retrouver l’identifiant du portail, pas pendant.
FICHE CONTACTS DES AUTORITÉS NIS2 (à revoir tous les six mois)
Entité juridique :
État membre compétent (art. 26) :
Entité essentielle ou importante :
Autorité compétente :
Référence et portail d'enregistrement :
Contact supervision :
Autorité sectorielle, le cas échéant :
Notification des incidents à : CSIRT / autorité compétente
Canal (portail, formulaire, e-mail) :
Titulaires du compte (deux personnes nommées) :
Numéro de téléphone d'urgence :
Dernier test du canal : date, résultat
CSIRT pour l'assistance technique :
Coordinateur divulgation des vulnérabilités (art. 12, par. 1) :
Autorité de protection des données (violations RGPD) :Que changerait pour l’ENISA la proposition de janvier 2026 ?
Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS2 (COM(2026) 13) et une révision du règlement sur la cybersécurité (COM(2026) 11). En septembre 2026, ces deux textes restent des propositions, pas des lois, et peuvent évoluer avant que le Parlement européen et le Conseil ne s’accordent. Au titre de COM(2026) 13 :
- le registre de l’ENISA couvrirait toutes les entités essentielles et importantes ainsi que les services d’enregistrement de noms de domaine, et non plus seulement les fournisseurs numériques énumérés (article 27, paragraphe 1, modifié) ;
- un nouvel article 37 bis chargerait l’ENISA d’aider les États membres dans l’assistance mutuelle pour les entités qui fournissent des services dans plus d’un État membre, d’établir une évaluation des risques de cybersécurité transfrontières mise à jour chaque année et de recommander aux autorités compétentes de constituer des équipes d’examen conjointes ;
- l’ENISA deviendrait membre du réseau des CSIRT (article 15, paragraphe 2, modifié).
Au titre de COM(2026) 11, selon la Commission, l’ENISA émettrait des alertes précoces sur les cybermenaces et les incidents, aiderait à atténuer les attaques par rançongiciel, développerait un service commun de gestion des vulnérabilités à l’échelle de l’UE et exploiterait le point d’entrée unique pour la notification des incidents proposé dans l’omnibus numérique. La Commission chiffre l’augmentation du budget à plus de 75 %.
Dans le texte proposé, l’ENISA assiste et recommande ; les autorités compétentes continuent de superviser. Si vous exploitez des services dans plusieurs États membres, c’est la partie à suivre.
Ce que la loi laisse ouvert
La directive nomme les rôles, pas la personne de votre entreprise qui parle à tel organisme, avec quel compte, à 3 heures du matin un dimanche. En pratique, une entreprise dans le champ d’application traite généralement avec trois organismes : l’autorité compétente, le CSIRT et l’autorité de protection des données.
Deux lacunes reviennent souvent. D’abord, les données d’enregistrement se périment. Les contacts, les plages d’adresses IP et les pays desservis changent plus vite que quiconque ne les met à jour auprès de l’autorité, alors que la loi exige des mises à jour sans délai et dans les deux semaines, ou dans les trois mois pour les entrées du registre. Ensuite, les alertes des CSIRT arrivent et restent sans suite. Un CSIRT peut scanner vos systèmes publics et vous signaler un service vulnérable, mais seuls une boîte de réception surveillée et un inventaire des actifs qui associe chaque plage d’adresses IP à un responsable transforment cette alerte en correction.
Combler ces deux lacunes relève du travail opérationnel : un inventaire des actifs rapproché de ce que vous avez déclaré, un canal de notification testé avec des personnes nommées, et des preuves de vos mesures tenues à jour pour le jour où l’autorité les demande au titre des articles 32 et 33. C’est ce type de travail que la plateforme CloudSoul automatise, avec une personne qui examine les exceptions. Le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle : autorités NIS2
- Vérifiez l’État membre compétent pour chaque entité de votre groupe.
- Identifiez votre autorité compétente, votre CSIRT, l’éventuelle autorité sectorielle et l’autorité de protection des données.
- Vérifiez votre enregistrement et inscrivez à l’agenda la règle des deux semaines pour les modifications.
- Enregistrez le canal de notification des incidents et testez l’accès avec deux personnes nommées.
- Intégrez la fiche contacts des autorités au plan de réponse aux incidents.
- Dirigez les alertes des CSIRT vers une boîte de réception surveillée, avec un responsable nommé.
- Rapprochez les plages d’adresses IP déclarées de votre empreinte externe réelle.
- Si vous opérez dans plusieurs États membres, suivez COM(2026) 13 et COM(2026) 11.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 3, 7 à 16, 18, 19, 21, 23, 26, 27, 30 et 32 à 34, EUR-Lex ; texte des articles également sur nis-2-directive.com.
- Proposition de directive modifiant la directive (UE) 2022/2555, COM(2026) 13, 20 janvier 2026, EUR-Lex.
- Commission européenne, Règlement sur la cybersécurité et Paquet cybersécurité : questions et réponses, sur COM(2026) 11.
- Commission européenne, Groupe de coopération NIS.
- ENISA, Réseau des CSIRT, EU-CyCLONe et Lancement de la base de données européenne des vulnérabilités, 13 mai 2025.
- ILR, NIS et Notification d’incident ; CIRCL ; GOVCERT.LU.
Questions fréquentes
Qui contrôle le respect de NIS2 ?
Les autorités compétentes nationales que chaque État membre désigne au titre de l'article 8. Elles supervisent les entités essentielles et importantes et peuvent adresser des avertissements et des instructions contraignantes et infliger des amendes administratives. Les organes de l'UE assurent la coordination entre les pays mais ne supervisent pas les entreprises.
À qui notifier un incident NIS2 ?
À votre CSIRT national ou, le cas échéant, à votre autorité compétente (article 23, paragraphe 1). Le destinataire répond sans retard injustifié et, si possible, dans les 24 heures suivant l'alerte précoce, et le CSIRT fournit une assistance technique supplémentaire si vous la demandez.
Qu'est-ce que le point de contact unique NIS2 ?
Un organisme national chargé d'une fonction de liaison : il assure la coopération transfrontière avec les autorités des autres États membres et, le cas échéant, avec la Commission et l'ENISA, ainsi que la coopération intersectorielle au niveau national (article 8, paragraphe 4). Si un État membre n'a qu'une seule autorité compétente, celle-ci est aussi le point de contact unique.
Qu'est-ce qu'EU-CyCLONe ?
Le réseau européen pour la préparation et la gestion des crises cyber, institué par l'article 16. Il réunit les autorités de gestion des crises cyber des États membres pour coordonner la gestion des incidents de cybersécurité majeurs et des crises. Les entreprises n'en font pas partie et ne lui notifient rien.
L'ENISA supervise-t-elle les entreprises au titre de NIS2 ?
Non. L'ENISA tient un registre de certains fournisseurs numériques, gère la base de données européenne des vulnérabilités et assure le secrétariat du réseau des CSIRT et d'EU-CyCLONe. Une proposition de la Commission de janvier 2026 lui confierait un rôle de coordination plus large, mais il s'agit d'une proposition, pas d'une loi.
