NIS2 & Cybersécurité : l’interview de Lionel Mourer (Metsys)

Pouvez-vous nous rappeler ce qu’est la directive NIS 2 et où en est sa transposition en France ?

La directive NIS 2 (Network and Information Security 2) est une mise à jour de la directive européenne NIS 1 (2016). Elle vise à renforcer la cybersécurité au sein de l’Union européenne en élargissant le champ d’application, en augmentant les exigences de sécurité et en améliorant la coordination entre États membres.

Elle est entrée en vigueur le 16 janvier 2023, avec une échéance de transposition fixée par Bruxelles au 17 octobre 2024. En France, cette échéance n’a pas été tenue. La loi “Résilience”, qui doit transposer NIS 2 en droit français, est toujours en discussion parlementaire : son examen à l’Assemblée nationale est désormais annoncé au plus tôt en septembre 2026, et la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France début juillet 2026 pour ce retard de transposition.

Ce flou législatif ne doit toutefois pas être pris pour un délai supplémentaire de mise en conformité : le fond des obligations est déjà stabilisé au niveau européen, et l’ANSSI a publié dès mars 2026 son référentiel ReCyF, qui détaille les mesures attendues, avec un portail MonEspaceNIS2 déjà ouvert au pré-enregistrement des entités.

Qui est concerné, et qu’est-ce qui change vraiment par rapport à NIS 1 ?

La directive NIS 2 cible deux grandes catégories d'entités, réparties selon leur taille (plus de 50 employés ou plus de 10 M€ de CA) et leur domaine d’activité :

Les entreprises essentielles (EE) : énergie, transport, banque, santé, eau potable et eaux usées, infrastructures numériques, administrations publiques majeures.
Les entreprises importantes (EI) : industrie (chimie, agroalimentaire, fabrication de machines), fournisseurs de services numériques, services postaux, gestion des déchets, dispositifs médicaux ou composants informatiques critiques.

Sujet	NIS 1	NIS 2
Champ d’application	Restreint (OSE + FSN)	Élargi à de nombreux secteurs
Exigences de sécurité	Généralistes	Renforcées et détaillées
Notification d’incidents	Peu contraignante	24h + rapport détaillé sous 72h
Responsabilité	Collective	Dirigeants personnellement impliqués
Sanctions	Peu dissuasives	Jusqu’à 10 M€ ou 2 % du CA mondial

En quoi cette directive est-elle une opportunité pour renforcer la gouvernance cyber ?

Au-delà des contraintes de conformité, NIS 2 peut être une véritable opportunité stratégique, sur trois plans :

Structurer et renforcer la gouvernance cyber : clarification des rôles (RSSI, DPO, RPCA), implication de la direction générale via la responsabilité juridique des dirigeants — un point qui rejoint les enjeux traités dans notre article Cyberattaque, quelle protection juridique pour le dirigeant ? — et formalisation de processus documentés.
Faire progresser la maturité cyber globale : évaluation régulière des risques, exigence de mesures concrètes (gestion des vulnérabilités, sécurité de la chaîne d’approvisionnement, chiffrement), acculturation cyber à tous les niveaux de l’organisation.
Rassurer clients et partenaires : être conforme à la directive est un gage de sérieux, et crée un socle transposable à d’autres normes (ISO 27001) et directives (DORA, CRA, CER, IA Act).

Quelles sont les erreurs fréquentes observées dans la mise en œuvre de NIS 2 ?

Erreur	Conséquence	Ce qu’il faut faire
Réduction à une simple obligation réglementaire	Peu d'appropriation en interne, faible engagement de la direction, mesures superficielles ou non durables	Traiter NIS 2 comme un projet de transformation intégrant gouvernance, culture et stratégie cyber
Limiter la mise en œuvre à la DSI	Difficulté à évaluer les vrais risques métier, manque de budget, isolement du sujet cyber	Mobiliser les fonctions clés : juridique, RH, achats, direction générale, gestion de crise, etc.
Mauvaise compréhension du périmètre d’application	Retard ou inaction, alors que les obligations sont bien réelles	Analyser rigoureusement son éligibilité selon la taille, le secteur et le rôle dans la chaîne de valeur
Sous-estimer l’effort nécessaire	Manque de planification, surcharge des équipes, qualité insuffisante des livrables	Établir un plan d’action réaliste, avec des jalons et des ressources dédiées
Négliger les volets “culture” et “formation”	Manque de vigilance, erreurs humaines, faible prise de conscience	Intégrer la sensibilisation et la formation comme leviers centraux du programme
Oublier la chaîne d’approvisionnement	Vulnérabilité non traitée, non-conformité	Cartographier ses tiers critiques et intégrer la cybersécurité dans les clauses contractuelles
Ne pas anticiper les audits ni la documentation exigée	Incapacité à démontrer l’effectivité des mesures, risques de sanction	Préparer une traçabilité complète : politiques, preuves d'exécution, rapports d’incident, revues de direction, etc.

Quels enseignements tirez-vous des premières démarches de mise en conformité ?

Les démarches les plus efficaces sont traitées comme des projets de gouvernance, pas d’IT : elles sont cadrées dès le départ comme un projet d’entreprise, rattaché à la direction générale ou à la gestion des risques.

Trois points faibles reviennent le plus souvent :

L’effort documentaire est sous-estimé. Il ne suffit pas d’avoir des mesures techniques, il faut démontrer leur existence via des journaux d’incidents, des comptes-rendus de tests de Plan de Reprise d’Activité, des preuves de sensibilisation.
La cartographie des dépendances critiques est souvent mal maîtrisée. Beaucoup d'entreprises peinent à identifier précisément leurs systèmes critiques, leurs prestataires IT essentiels ou leurs dépendances logicielles (sans parler du Shadow IT).
L’analyse de risques est le point faible le plus fréquent. Même chez des organisations avancées, l’analyse de risques est souvent mal reliée aux métiers ou à la stratégie, trop IT centrée, non documentée, ou simplement copiée-collée d’un référentiel générique.

La réussite passe par une approche transversale et sponsorisée par la direction. La preuve documentaire et opérationnelle est aussi importante que la protection elle-même. La maîtrise de la chaîne de dépendances (tiers) est un prérequis clé souvent sous-estimé. Une analyse de risques métier pertinente est la pierre angulaire de la conformité NIS 2. La maturité humaine et organisationnelle est aussi critique que la technique.

Lionel Mourer, Chief Technical Officer Cybersécurité chez Metsys

Quel conseil donneriez-vous à une entreprise qui se demande encore par où commencer ?

METSYS propose une approche pragmatique en 6 étapes :

Effectuer un diagnostic initial : évaluez le niveau de maturité actuel de cybersécurité d’un point de vue global et sur les thématiques de NIS 2. Pour ce faire, METSYS utilise un outil interne permettant de “scorer” la maturité d’une organisation vis-à-vis de la sécurité de l’information et de NIS 2.
Nommer un responsable : désignez un référent cybersécurité qui pilotera l’application des exigences de NIS 2. Classiquement, il s’agit du RSSI ou d’une personne au sein d’une entité de gestion des risques ou de contrôle interne. METSYS peut intervenir en RSSI as a service, en temps plein ou partagé pour porter cette fonction.
Etablir une stratégie de gestion des risques : définissez un cadre clair et utiliser des méthodologies éprouvées pour prévenir et gérer les risques. Dans ce cas, METSYS peut réaliser l’analyse des risques, et identifier des remédiations permettant de diminuer les plus critiques.
Renforcer les protections techniques : implémentez des outils de sécurité robustes, comme l’authentification multi-facteurs, les EDR / XDR, le DLP, etc. En s’appuyant sur ses partenaires éditeurs ou constructeurs spécialisés en cybersécurité, METSYS peut réaliser les études, l’intégration et le déploiement de solutions de sécurité.
Superviser les actifs et réagir aux incidents de sécurité : en assurant une surveillance continue des systèmes au sein de l’organisation et en remontant des alertes en cas de suspicion d’incidents de sécurité. METSYS peut intervenir pour gérer la sécurité des systèmes au travers de son service de MSSP (Managed Security Services Provider) et aider les organisations à gérer leurs incidents de sécurité de l’information.
Acculturer les équipes : sensibilisez et former les collaborateurs aux bonnes pratiques et aux obligations en matière de cybersécurité. METSYS peut intervenir en sensibilisation présentiel ou en utilisant des outils (phishing, scénettes, etc).

La clé est d’adopter une approche progressive et pragmatique ! En structurant bien les premières étapes, les organisations pourront s’adapter aux nouvelles exigences sans précipitation. Ainsi, même si la cible est bien d’être conforme à la directive, les délais et les coûts associés pour le devenir tendent à ne pas viser la conformité complète immédiatement, mais à structurer la progression. Ainsi, la bonne stratégie n’est pas de “faire tout” tout de suite, mais de “faire bien” les premières briques qui structurent la suite. Rappelons-le une fois de plus, il ne s’agit pas seulement de conformité, mais aussi (et surtout) de renforcer la résilience numérique. METSYS peut accompagner les organisations sur l’ensemble du cycle de vie de la sécurité de l’information et en particulier sur la mise en conformité de la directive NIS 2.

Lionel Mourer, Chief Technical Officer Cybersécurité chez Metsys

Questions fréquentes

Une entreprise doit-elle attendre la loi française pour se mettre en conformité avec NIS 2 ?

Non, et c’est même déconseillé. Le fond des obligations européennes est déjà connu et stable ; attendre le texte français pour agir revient à accumuler un retard qui sera très difficile à rattraper une fois la loi promulguée.

Que risque une entreprise qui ignore NIS 2 en attendant la transposition française ?

Le risque n’est pas immédiat (pas de sanction avant l’entrée en vigueur du texte national), mais il devient organisationnel : plus l’entreprise attend, plus l’effort de mise en conformité sera concentré dans un délai court une fois la loi promulguée.

Le retard de la France sur NIS 2 a-t-il des conséquences concrètes actuellement ?

Oui, à deux niveaux : la Commission européenne a engagé une procédure devant la CJUE contre la France, et l’incertitude réglementaire freine certains investissements cyber côté entreprises, qui hésitent à engager des budgets sans cadre national stabilisé.