NIS2 Expliqué : Exigences, Dates limites et Cas d’utilisation de LogTotal à travers l’Europe

Qu’est-ce que la NIS2 ?

La NIS2 est la Directive (UE) 2022/2555, la loi de base de l’UE en matière de cybersécurité pour les organisations qui maintiennent en fonctionnement les réseaux énergétiques, les systèmes d’eau, les hôpitaux, les chaînes logistiques, l’approvisionnement alimentaire et l’infrastructure numérique. Elle a remplacé la directive NIS originale (UE) 2016/1148 et a transformé un régime appliqué de manière sectorielle et incohérente en un cadre unique avec des obligations communes, des délais de reporting communs et de réels pouvoirs d’application.

Alors, qu’est-ce que la NIS2 concrètement pour une équipe de sécurité ? Trois choses. Premièrement, elle définit qui est concerné à travers les seuils de taille et deux annexes sectorielles, en divisant les organisations couvertes en entités essentielles et importantes. Deuxièmement, elle prescrit un ensemble minimal de contrôles de gestion des risques à l’Article 21, allant de la gestion des incidents et de la journalisation à la sécurité de la chaîne d’approvisionnement et la cryptographie. Troisièmement, elle impose un processus de notification des incidents en plusieurs étapes à l’Article 23, avec le premier signal à envoyer au CSIRT national ou à l’autorité compétente dans les 24 heures suivant la prise de conscience d’un incident significatif.

Parce que la NIS2 est une directive plutôt qu’une réglementation, chaque État membre écrit sa propre loi nationale. Les obligations fondamentales sont partagées, mais les portails d’enregistrement, les autorités de surveillance et les formulaires de reporting diffèrent de Rome à Varsovie, c’est exactement pourquoi une vue au niveau du pays est importante.

Commencez gratuitement

Date de publication de la NIS2 et chemin vers la conformité

La directive a été publiée au Journal officiel le 27 décembre 2022 et est entrée en vigueur le 16 janvier 2023. Les États membres avaient jusqu’au 17 octobre 2024 pour la transposer, avec des mesures nationales s’appliquant à partir du 18 octobre 2024. Peu l’ont fait : l’Italie et la Belgique faisaient partie des rares à avoir des lois en vigueur à temps.

La Commission a répondu par des lettres de mise en demeure en novembre 2024, des avis motivés en mai 2025 et, le 8 juillet 2026, des saisines de la Cour de justice de l’UE pour les retardataires restants. Selon le suiveur de transposition nis2.eu, au 16 octobre 2026, une loi nationale est en vigueur dans 24 des 27 États membres. La France, l’Irlande et l’Espagne sont encore sans.

Pour la conformité à la NIS2, la leçon est que le temps est national, pas européen. Les amendements du BSIG de l’Allemagne s’appliquent depuis le 6 décembre 2025, la loi KSC amendée de la Pologne depuis le 3 avril 2026, la Cyberbeveiligingswet néerlandaise depuis le 15 août 2026 et le NISG 2026 de l’Autriche depuis le 1er octobre 2026. Chacun offre sa propre fenêtre d’enregistrement, donc un opérateur multi-pays peut être conforme à Milan tout en étant déjà en retard à Gdańsk.

Ce que la directive NIS2 exige

La directive NIS2 met les obligations en trois catégories : gouvernance, contrôles techniques et reporting.

La gouvernance se trouve à l’Article 20. Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre et effectuer une formation régulière. La responsabilité ne s’arrête plus au CISO.

Les contrôles techniques se trouvent à l’Article 21(2), qui liste dix mesures minimales : analyse des risques et politiques de sécurité des systèmes d’information ; gestion des incidents ; continuité des opérations, sauvegarde et gestion de crise ; sécurité de la chaîne d’approvisionnement ; acquisition, développement et maintenance sécurisés, y compris la gestion des vulnérabilités ; évaluation de l’efficacité des contrôles ; hygiène informatique et formation ; cryptographie ; sécurité RH, contrôle d’accès et gestion des actifs ; et MFA plus communications sécurisées. Pour les fournisseurs de services numériques et d’infrastructures TIC, le Règlement d’exécution (UE) 2024/2690 détaille ces exigences, y compris les exigences explicites de surveillance et de journalisation.

Le reporting se trouve à l’Article 23, et c’est là que les équipes SOC ressentent la pression :

• 24 heures : alerte précoce, y compris si l’incident est soupçonné d’être malveillant ou d’avoir un impact transfrontalier
• 72 heures : notification d’incident avec une évaluation initiale de la sévérité et de l’impact et les indicateurs de compromission disponibles
• Un mois : rapport final avec cause racine, mitigation et impact transfrontalier

Une alerte précoce de 24 heures n’est crédible que si l’équipe peut réellement lire ses journaux en quelques heures, pas des jours.

Pourquoi l’UE a remplacé la NIS1 par la NIS2

La NIS1 a échoué sur la cohérence. Chaque État membre décidait pour lui-même quelles entreprises comptaient comme opérateurs de services essentiels, donc deux hôpitaux de la même taille dans des pays voisins pouvaient faire face à des obligations complètement différentes. Les pénalités étaient faibles et rarement appliquées, et les seuils de reporting des incidents variaient tellement que la prise de conscience des situations transfrontalières existait à peine.

La menace a évolué plus vite que la loi. Entre la proposition de décembre 2020 de la Commission et le texte final, l’Europe a vu des rançongiciels mettre hors service l’informatique des hôpitaux, les compromissions des chaînes d’approvisionnement de SolarWinds et Kaseya atteindre des milliers de clients en aval et l’attaque de février 2022 sur le réseau KA-SAT de Viasat couper la surveillance à distance pour environ 5 800 éoliennes Enercon en Allemagne. Ce dernier cas a rendu un point très clair : une attaque sur un fournisseur de services informatiques peut produire des conséquences physiques au niveau OT dans un autre secteur et un autre pays.

La NIS2 répond par un champ d’application plus large, des contrôles minimaux harmonisés, des obligations explicites pour la chaîne d’approvisionnement, une responsabilité personnelle pour la direction et une horloge commune pour les incidents. Elle formalise également la coopération à travers l’UE-CyCLONe et le réseau CSIRTs, de sorte qu’un incident significatif à Lyon n’est plus un problème purement français.

Amendes et responsabilité de la direction sous NIS2

L’Article 34 fixe les plafonds que les lois nationales doivent atteindre au minimum :

La référence du chiffre d’affaires est l’ensemble de l’entreprise, pas la filiale locale, c’est pourquoi les directeurs financiers au niveau groupe lisent maintenant les briefings NIS2.

L’argent n’est qu’une partie de l’exposition. Pour les entités essentielles, l’Article 32 permet aux autorités de suspendre les certifications ou autorisations et d’interdire temporairement à un PDG ou représentant légal d’exercer des fonctions managériales jusqu’à ce que les déficiences soient corrigées. Les autorités peuvent également ordonner à une entité de divulguer publiquement sa non-conformité.

En pratique, les régulateurs recherchent des preuves. Une organisation qui peut montrer quand elle a détecté un incident, quels journaux elle a examinés et comment elle a atteint ses conclusions des 24 et 72 heures est dans une position bien plus forte qu’une autre qui reconstruit la chronologie après coup. Une analyse de journaux documentée et reproductible est le meilleur moyen de se protéger contre les amendes les plus élevées.

NIS2 contre DORA : lequel s’applique ?

Une ligne de résumé de la directive NIS2 : règles de cybersécurité horizontales pour 18 secteurs critiques, transposées nationalement. DORA, l’Acte sur la Résilience Opérationnelle Numérique (Règlement (UE) 2022/2554), est l’opposé sur les deux points. Il est sectoriel, couvrant les banques, assureurs, entreprises d’investissement, établissements de paiement, prestataires de services de crypto-actifs et leurs prestataires TIC critiques, et en tant que règlement, il s’applique directement dans chaque État membre depuis le 17 janvier 2025.

Les deux se connectent par l’Article 4 de la NIS2. Lorsqu’un acte de l’UE sectoriel impose des exigences au moins équivalentes à celles de la NIS2, cet acte prévaut. DORA est cette lex specialis pour les entités financières, donc une banque suit les règles de risque, de test et de reporting TIC de DORA plutôt que les versions NIS2.

Le chevauchement compte pour les fournisseurs. Une SOC gérée ou un fournisseur cloud peut être une entité importante sous la NIS2 et, en même temps, un fournisseur TIC contractuel sous DORA, faisant face à deux séries de demandes de preuves de journaux.

NIS2 contre RGPD : Continuité des services rencontre protection des données

Le RGPD protège les données personnelles des individus. La NIS2 protège la continuité des services dont la société dépend. La différence apparaît dans ce qui déclenche un rapport : sous le RGPD, c’est une violation de données personnelles susceptible de créer un risque pour les individus, rapportée à l’autorité de protection des données dans les 72 heures. Sous la NIS2, c’est un incident significatif affectant la prestation de services, signalé au CSIRT ou à l’autorité compétente dès 24 heures, que des données personnelles soient touchées ou non.

Une attaque par ransomware sur un hôpital déclenche généralement les deux. L’Article 35 de la NIS2 exige que l’autorité en cybersécurité informe l’autorité de protection des données lorsqu’un incident peut impliquer une violation de données personnelles, et il empêche une double amende pour les mêmes actes si une pénalité RGPD a déjà été imposée. Le plafond du RGPD reste le plus élevé : 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Le point de friction pour les équipes SOC est les journaux eux-mêmes. La télémétrie de sécurité est pleine de données personnelles : noms d’utilisateur, adresses IP, en-têtes d’e-mail, noms d’hôtes liés à des employés nommés. Envoyer des journaux bruts à un analyste externe, un MSSP ou un service d’IA pour respecter un délai NIS2 peut soulever une question RGPD sur la minimisation des données et les transferts. Pseudonymiser les identifiants avant que les journaux ne quittent l’organisation, tout en conservant la clé en interne, est la façon dont les équipes satisfont les deux régimes à la fois.

Quelles organisations la NIS2 affecte

La NIS2 utilise une règle de limite de taille : les organisations moyennes et grandes, c’est-à-dire 50 employés ou plus ou plus de 10 millions d’euros de chiffre d’affaires annuel, opérant dans l’un des 18 secteurs.

• Annexe I, secteurs à haute criticité (11) : énergie, transport, banque, infrastructures de marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC B2B, administration publique et spatial.
• Annexe II, autres secteurs critiques (7) : services postaux et de messagerie, gestion des déchets, produits chimiques, production et distribution alimentaire, fabrication (dispositifs médicaux, électroniques, équipements électriques, machines, véhicules à moteur et autres équipements de transport), fournisseurs numériques et recherche.

Les grandes entités de l’Annexe I, avec 250 employés ou plus ou plus de 50 millions d’euros de chiffre d’affaires, sont généralement essentielles. La plupart des autres sont importantes. Certains fournisseurs sont couverts indépendamment de leur taille, y compris les fournisseurs de services DNS, les registres de TLD, les prestataires de services de confiance qualifiés et les réseaux de communications électroniques publics, et les États membres peuvent désigner des petites entités qui sont le seul fournisseur d’un service critique.

La portée pratique est encore plus large. L’Article 21 rend obligatoires les sécurités de la chaîne d’approvisionnement, donc les entités concernées imposent des exigences de sécurité contractuelles à leurs fournisseurs. Un intégrateur de firmware de 30 personnes au service d’un constructeur automobile allemand, ou un entrepreneur en maintenance de réfrigération au service d’une chaîne de supermarchés, ressentira la NIS2 à travers des questionnaires d’audit bien avant tout appel de régulateur.

LogTotal et les journaux OT : le moteur contre l’écosystème

LogTotal, que SOC Prime a fait passer de l’aperçu public à la version générale le 15 octobre 2026, est conçu pour la version à l’heure de l’incident du problème de journaux. Vous sélectionnez un ensemble de journaux, l’open-source @socprime/logtotal-sanitizer remplace les identifiants, adresses IP, noms d’hôtes et noms d’utilisateur par des jetons HMAC stables dans le navigateur, et seuls les événements tokenisés sont téléchargés. Il traite jusqu’à 1,7 million d’événements en moins d’une minute sur du matériel ordinaire, ne stocke rien après analyse, et l’organisation conserve la clé pour mapper les jetons en interne.

Le moteur lui-même est agnostique au format. Il détecte automatiquement EVTX, CEF, JSON/NDJSON et syslog, donc tout ce qui peut être exprimé en texte peut être investigué : syslogs de PC industriels, événements d’historians SCADA et HMI, journaux de stations de travail d’ingénierie, ou trafic Modbus et BACnet une fois décodé en enregistrements textuels.

Cartographie des pays : cas d’utilisation de la NIS2 et de LogTotal à travers 10 marchés

La NIS2 est une loi de l’UE, mais son influence s’étend aux fournisseurs, voisins et pays candidats servant le marché européen. Le fil conducteur à travers ces dix marchés ci-dessous est une horloge de reporting mesurée en heures, ce qui rend le tri rapide et respectueux de la vie privée des journaux une nécessité pratique plutôt qu’un simple atout. Le statut reflète octobre 2026.