Fiche 02 — Cadre réglementaire (NIS2, DORA, RGPD, CRA, LPM…)

⚠️ Sujet à forte volatilité. Les dates et seuils ci-dessous sont à jour de mi-2026 côté texte européen ; l’état exact des décrets d’application français doit être revérifié la veille de l’entretien (site ANSSI / Légifrance). Dire « je vérifie l’état des décrets » est une bonne réponse.

1. NIS 2 — Directive (UE) 2022/2555

L’essentiel

• Remplace NIS 1 (2016). Adoptée le 14/12/2022, échéance de transposition : 17/10/2024.
• France : transposition portée par la loi dite « résilience des infrastructures critiques et renforcement de la cybersécurité » (2025-2026), qui transpose aussi REC et DORA. Autorité nationale = ANSSI (guichet unique de déclaration, contrôle, sanctions).
• Élargissement massif : de ~500 entités (NIS1/OIV-OSE) à plusieurs milliers en France (chiffre communiqué par l’ANSSI : ~15 000 entités).

Champ d’application

• 18 secteurs, répartis en Annexe I « hautement critiques » (énergie, transport, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC B2B, administration publique, espace) et Annexe II « autres critiques » (poste & courrier, gestion des déchets, chimie, agroalimentaire, fabrication — dispositifs médicaux, informatique/électronique, machines, véhicules —, fournisseurs numériques : places de marché, moteurs de recherche, réseaux sociaux, recherche).
• Deux catégories :
  • Entités essentielles (EE) : grandes entités des secteurs Annexe I (≥ 250 salariés ou CA > 50 M€ et bilan > 43 M€ selon les seuils), + entités désignées. → supervision ex ante (contrôles proactifs, audits imposés).
  • Entités importantes (EI) : les autres (moyennes entités, ≥ 50 salariés ou CA > 10 M€,
• entités Annexe II). → supervision ex post (contrôle après incident/indice).
• Certaines entités sont couvertes quelle que soit leur taille (DNS, TLD, fournisseurs de services de confiance, télécoms, administration centrale, entité unique dans un État…).

10 mesures minimales (art. 21 §2) — à savoir citer

1. Analyse des risques et politique de sécurité SI
2. Gestion des incidents
3. Continuité d’activité : sauvegardes, reprise, gestion de crise
4. Sécurité de la chaîne d’approvisionnement (fournisseurs & prestataires directs)
5. Sécurité de l’acquisition, du développement et de la maintenance (dont gestion des vulnérabilités)
6. Politiques d’évaluation de l’efficacité des mesures
7. Pratiques d’hygiène cyber de base et formation