NIS2 Expliqué : Exigences, Dates limites et Cas d’utilisation de LogTotal à travers l’Europe

Qu’est-ce que la NIS2 ?

La NIS2 est la Directive (UE) 2022/2555, la loi de base de l’UE en matière de cybersécurité pour les organisations qui maintiennent en fonctionnement les réseaux énergétiques, les systèmes d’eau, les hôpitaux, les chaînes logistiques, l’approvisionnement alimentaire et l’infrastructure numérique. Elle a remplacé la première Directive NIS (UE) 2016/1148 et a transformé un régime appliqué de manière lâche, secteur par secteur, en un cadre unique avec des obligations communes, des délais de rapport communs et de véritables pouvoirs d’application.

Alors, qu’est-ce que la NIS2 en termes pratiques pour une équipe de sécurité ? Trois choses. Premièrement, elle définit qui est concerné par des seuils de taille et deux annexes sectorielles, divisant les organisations couvertes en entités essentielles et importantes. Deuxièmement, elle prescrit un ensemble minimal de contrôles de gestion des risques à l’article 21, allant de la gestion des incidents et de la journalisation à la sécurité de la chaîne d’approvisionnement et à la cryptographie. Troisièmement, elle impose un processus de notification des incidents par étapes à l’article 23, le premier signal devant être envoyé au CSIRT national ou à l’autorité compétente dans les 24 heures suivant la prise de connaissance d’un incident significatif.

Parce que la NIS2 est une directive plutôt qu’un règlement, chaque État membre rédige sa propre loi nationale. Les obligations de base sont partagées, mais les portails d’enregistrement, les autorités de surveillance et les formulaires de rapport diffèrent de Rome à Varsovie, ce qui est précisément la raison pour laquelle une vue au niveau des pays est importante.

Essayez LogTotal, gratuitement

Date de sortie de la NIS2 et chemin vers la conformité

La directive a été publiée dans le Journal officiel le 27 décembre 2022 et est entrée en vigueur le 16 janvier 2023. Les États membres avaient jusqu’au 17 octobre 2024 pour la transposer, avec des mesures nationales applicables à partir du 18 octobre 2024. Peu ont réussi : l’Italie et la Belgique faisaient partie de la poignée qui avaient des lois en vigueur à temps.

La Commission a répondu par des lettres de mise en demeure en novembre 2024, des avis motivés en mai 2025 et, le 8 juillet 2026, des renvois à la Cour de justice de l’UE pour les retardataires restants. Selon le suivi de la transposition nisd2.eu, à la date du 16 octobre 2026, une loi nationale est en vigueur dans 24 des 27 États membres. La France, l’Irlande et l’Espagne n’en ont toujours pas.

Pour la conformité à la NIS2, la leçon à retenir est que l’horloge est nationale, pas européenne. Les amendements au BSIG de l’Allemagne s’appliquent depuis le 6 décembre 2025, la loi amendée KSC de la Pologne depuis le 3 avril 2026, la Cyberbeveiligingswet des Pays-Bas depuis le 15 août 2026 et la NISG 2026 de l’Autriche depuis le 1er octobre 2026. Chacun prévoit sa propre fenêtre d’enregistrement, de sorte qu’un opérateur multi-pays peut être conforme à Milan tout en étant déjà en retard à Gdańsk.

Ce que la Directive NIS2 exige

La Directive NIS2 place les obligations dans trois catégories : gouvernance, contrôles techniques et rapports.

La gouvernance se trouve à l’article 20. Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre et compléter une formation régulière. La responsabilité ne s’arrête plus au RSSI.

Les contrôles techniques se trouvent à l’article 21(2), qui énumère dix mesures minimales : analyse des risques et politiques de sécurité des systèmes d’information ; gestion des incidents ; continuité des activités, sauvegarde et gestion des crises ; sécurité de la chaîne d’approvisionnement ; acquisition sûre, développement et maintenance, y compris la gestion des vulnérabilités ; évaluation de l’efficacité des contrôles ; hygiène cybernétique et formation ; cryptographie ; sécurité des RH, contrôle d’accès et gestion des actifs ; et MFA plus communications sécurisées. Pour les fournisseurs d’infrastructures numériques et de services TIC, le règlement d’exécution (UE) 2024/2690 détaille ces éléments, y compris les exigences explicites en matière de surveillance et de journalisation.

Les rapports se trouvent à l’article 23, et c’est ici que les équipes de SOC ressentent la pression :

• 24 heures : alerte précoce, y compris si l’incident est suspecté d’être malveillant ou d’avoir un impact transfrontalier
• 72 heures : notification d’incident avec une évaluation initiale de la gravité et de l’impact et des indicateurs de compromission disponibles
• Un mois : rapport final avec cause première, atténuation et impact transfrontalier

Une alerte précoce de 24 heures n’est crédible que si l’équipe peut effectivement lire ses journaux en quelques heures, pas jours.

Pourquoi l’UE a remplacé la NIS1 par la NIS2

La NIS1 a échoué en matière de cohérence. Chaque État membre décidait lui-même quelles entreprises comptaient comme opérateurs de services essentiels, de sorte que deux hôpitaux de même taille dans des pays voisins pouvaient avoir des obligations complètement différentes. Les pénalités étaient faibles et rarement appliquées, et les seuils de notification des incidents variaient tellement que la conscience situationnelle transfrontalière n’existait pratiquement pas.

Les menaces ont évolué plus vite que la loi. Entre la proposition de décembre 2020 de la Commission et le texte final, l’Europe a vu les ransomwares mettre hors service l’informatique hospitalière, les compromis de la chaîne d’approvisionnement de SolarWinds et Kaseya atteindre des milliers de clients en aval, et l’attaque de février 2022 contre le réseau KA-SAT de Viasat a coupé la surveillance à distance pour environ 5 800 éoliennes Enercon en Allemagne. Ce dernier cas a très clairement montré qu’une attaque contre un fournisseur de services informatiques peut avoir des conséquences physiques, au niveau OT, dans un autre secteur et un autre pays.

La NIS2 répond par une portée plus large, des contrôles minimum harmonisés, des obligations explicites pour la chaîne d’approvisionnement, un recours personnel pour les gestionnaires et un horloge commune pour les incidents. Elle formalise également la coopération par l’intermédiaire de l’UE-CyCLONe et du réseau des CSIRT, de sorte qu’un incident important à Lyon n’est plus seulement un problème français.

Amendes et responsabilité de gestion selon la NIS2

L’article 34 fixe les plafonds que les lois nationales doivent atteindre au minimum :

La référence de chiffre d’affaires est pour l’ensemble de l’entreprise, et non pour la filiale locale, c’est pourquoi les CFO de groupe lisent maintenant les brèves sur la NIS2.

L’argent n’est qu’une partie de l’exposition. Pour les entités essentielles, l’article 32 permet aux autorités de suspendre des certifications ou des autorisations et d’interdire temporairement à un PDG ou représentant légal d’exercer des fonctions de gestion jusqu’à ce que les défauts soient corrigés. Les autorités peuvent également ordonner à une entité de divulguer publiquement sa non-conformité.

En pratique, les régulateurs recherchent des preuves. Une organisation capable de montrer quand elle a détecté un incident, quels journaux elle a examinés et comment elle a atteint ses conclusions de 24 heures et 72 heures est dans une position beaucoup plus forte que celle qui reconstitue la chronologie après coup. Une analyse de journaux documentée et reproductible est la couverture d’assurance la moins chère contre le seuil élevé de ces pénalités.

NIS2 vs. DORA : Lequel s’applique ?

Un résumé en une phrase de la directive NIS2 : règles de cybersécurité horizontales pour 18 secteurs critiques, transposées nationalement. DORA, l’Acte sur la Résilience Opérationnelle Numérique (Règlement (UE) 2022/2554), est l’inverse sur les deux plans. Il est sectoriel, couvrant les banques, les assureurs, les entreprises d’investissement, les institutions de paiement, les fournisseurs de services de crypto-actifs et leurs fournisseurs de TIC critiques tiers, et en tant que règlement, il s’applique directement dans chaque État membre depuis le 17 janvier 2025.

Les deux se connectent par l’article 4 de la NIS2. Lorsqu’un acte de l’UE sectoriel impose des exigences au moins équivalentes à celles de la NIS2, cet acte prévaut. DORA est ce lex specialis pour les entités financières, de sorte qu’une banque suit les règles de risque, de test et de rapport ICT de DORA plutôt que les versions NIS2.

Le chevauchement importe pour les fournisseurs. Un SOC géré ou un fournisseur de cloud peut être une entité importante au titre de la NIS2 et, en même temps, un prestataire TIC contractuel au titre du DORA, faisant face à deux séries de demandes de preuves de journaux.

NIS2 vs. RGPD : Continuité des services vs. protection des données

Le RGPD protège les données personnelles des individus. La NIS2 protège la continuité des services dont la société dépend. La différence se traduit par ce qui déclenche un rapport : sous le RGPD, c’est une violation de données personnelles susceptible de créer un risque pour les individus, rapportée à l’autorité de protection des données dans les 72 heures. Sous la NIS2, c’est un incident significatif affectant la prestation des services, rapporté au CSIRT ou à l’autorité compétente en commençant par 24 heures, que des données personnelles soient ou non impliquées.

Une attaque par ransomware sur un hôpital déclenche généralement les deux. L’article 35 de la NIS2 exige que l’autorité de cybersécurité informe l’autorité de protection des données lorsqu’un incident peut impliquer une violation de données personnelles, et empêche une double amende pour le même comportement lorsqu’une sanction RGPD a déjà été imposée. Le plafond du RGPD reste le plus élevé : 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Le point de friction pour les équipes SOC est les journaux eux-mêmes. La télémétrie de sécurité regorge de données personnelles : noms d’utilisateur, adresses IP, en-têtes d’email, noms d’hôte liés à des employés nommés. Envoyer des journaux bruts à un analyste externe, une MSSP ou un service AI pour respecter un délai NIS2 peut soulever une question RGPD sur la minimisation et les transferts de données. Pseudonymiser les identifiants avant que les journaux ne quittent l’organisation, tout en gardant la clé en interne, est la façon dont les équipes satisfont les deux régimes à la fois.

Quels organismes la NIS2 affecte-t-elle

La NIS2 utilise une règle de limitation de taille : les organisations moyennes et grandes, c’est-à-dire 50 employés ou plus ou plus de 10 millions d’euros de chiffre d’affaires annuel, opérant dans l’un des 18 secteurs.

• Annexe I, secteurs de haute criticité (11) : énergie, transport, services bancaires, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC B2B, administration publique et espace.
• Annexe II, autres secteurs critiques (7) : services postaux et de messagerie, gestion des déchets, produits chimiques, production et distribution alimentaire, fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules automobiles et autres équipements de transport), fournisseurs numériques et recherche.

Les grandes entités de l’annexe I, avec 250 employés ou plus ou plus de 50 millions d’euros de chiffre d’affaires, sont généralement essentielles. La plupart des autres sont importantes. Certains prestataires sont couverts indépendamment de la taille, y compris les fournisseurs de services DNS, les registres de domaines TLD, les fournisseurs de services de confiance qualifiés et les réseaux de communications électroniques publics, et les États membres peuvent désigner de petites entités en tant que prestataire unique d’un service critique.

La portée pratique est encore plus large. L’article 21 rend la sécurité de la chaîne d’approvisionnement obligatoire, de sorte que les entités concernées imposent des exigences contractuelles de sécurité à leurs fournisseurs. Un intégrateur de firmware de 30 personnes servant un constructeur automobile allemand, ou un entrepreneur en maintenance de réfrigération servant une chaîne de supermarchés, ressentira la NIS2 à travers des questionnaires d’audit bien avant que tout régulateur n’appelle.

LogTotal et les journaux OT : Le moteur vs l’écosystème

LogTotal, que SOC Prime est passé de l’aperçu public au lancement général le 15 octobre 2026, est conçu pour la version incident des problèmes de journaux. Vous sélectionnez un ensemble de journaux, le @socprime/logtotal-sanitizer remplace les identifiants, adresses IP, noms d’hôtes et noms d’utilisateur par des jetons HMAC stables dans le navigateur, et seuls les événements tokenisés sont téléchargés. Il traite jusqu’à 1,7 million d’événements en moins d’une minute sur du matériel ordinaire, ne stocke rien après analyse, et l’organisation conserve la clé pour remapper les jetons en interne.

Le moteur lui-même est indépendant du format. Il détecte automatiquement EVTX, CEF, JSON/NDJSON et syslog, de sorte que tout ce qui peut être exprimé en texte peut être étudié : journaux syslog de PC industriels, événements d’historien SCADA et HMI, journaux de postes de travail d’ingénierie, ou trafic Modbus et BACnet une fois décodé en enregistrements texte.

Carte des pays : cas d’utilisation de NIS2 et LogTotal dans 10 marchés

La NIS2 est une loi de l’UE, mais son influence s’étend aux fournisseurs, voisins et pays candidats servant le marché européen. Le fil conducteur à travers tous les dix marchés ci-dessous est une horloge de rapport mesurée en heures, ce qui rend le tri rapide et respectueux de la vie privée des journaux une nécessité pratique plutôt qu’un simple avantage. Le statut reflète octobre 2026.