La NIS2 directive européenne cybersécurité adoptée en 2022 change la manière dont les organisations européennes gèrent le risque numérique. Elle remplace la directive NIS1 de 2016 et élargit fortement le périmètre des entités soumises à des obligations de sécurité.
Pour les entreprises, cela signifie de nouvelles exigences de gouvernance, de gestion des incidents et de résilience opérationnelle. Pour les étudiants et les professionnels en reconversion, cela se traduit surtout par une demande accrue de compétences défensives concrètes. Chez REDSUP, nous formons précisément ces profils, du Bac+3 au Bac+5, en alternance et en formation initiale.
NIS2 directive européenne cybersécurité : entrée en application en 2026
Temps de lecture : ~9 min
- Qu’est-ce que la directive NIS2 et quelles entreprises sont concernées ?
- Les écoles et établissements scolaires sont-ils soumis à NIS2 ?
- Les obligations NIS2 cybersécurité en pratique
- NIS2, NIS1 et RGPD : quelles différences ?
- NIS2 et recrutement cybersécurité : une demande qui s’installe
- Se former aux compétences attendues par NIS2 chez REDSUP
- Aller plus loin avec la conformité NIS2
- Questions fréquentes sur la directive NIS2
Qu’est-ce que la directive NIS2 et quelles entreprises sont concernées ?
Définition de la directive NIS2
La directive NIS2 est le cadre juridique européen destiné à atteindre un niveau élevé et commun de cybersécurité dans l’Union européenne. Elle impose aux États membres de renforcer leurs capacités nationales, et aux organisations couvertes de mettre en place des mesures de gestion des risques cyber, de notifier les incidents significatifs et de coopérer avec les autorités compétentes. Le texte officiel, publié sous la référence directive 2022/2555, remplace la directive NIS1 de 2016, officiellement la directive 2016/1148.
Le périmètre couvre 18 secteurs critiques, un élargissement considérable par rapport au texte précédent. On y retrouve l’énergie, les transports, la santé, les banques, l’eau, les infrastructures numériques, l’administration publique, les services postaux, la fabrication de produits critiques, la gestion des déchets ou encore la recherche. Les entités concernées sont classées en entités essentielles et entités importantes, avec des régimes de supervision différenciés.
La taille de l’organisation, son chiffre d’affaires, son statut juridique et le droit national de transposition déterminent concrètement son assujettissement. En France, la transposition nationale et les précisions de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, constituent la référence à consulter avant toute conclusion définitive.
Bon à savoir
Le règlement d’exécution européen 2024/2690 précise les exigences techniques de gestion des risques et les critères permettant de qualifier un incident de significatif pour certaines catégories de fournisseurs numériques, notamment les fournisseurs cloud, les centres de données, les fournisseurs de services managés et les fournisseurs de services de sécurité managés.
Les écoles et établissements scolaires sont-ils soumis à NIS2 ?
La question du périmètre dans le secteur éducatif mérite une réponse nuancée. Il n’existe pas de règle uniforme applicable à tous les établissements. L’éducation peut entrer dans le champ de NIS2, notamment à travers les établissements d’enseignement supérieur et certains organismes de recherche. En revanche, une école primaire ou secondaire indépendante n’est pas automatiquement soumise au texte au seul motif qu’elle utilise un environnement numérique de travail scolaire ou un logiciel de gestion des élèves.
L’analyse doit tenir compte de la catégorie juridique de l’établissement, de sa taille, du contrôle exercé par une collectivité ou une administration, des fonctions numériques qu’il assure pour d’autres structures et, surtout, du droit national de transposition. Un groupe scolaire centralisé, un établissement d’enseignement supérieur disposant d’une infrastructure numérique importante ou une structure intégrée à une entité administrative déjà couverte doivent faire l’objet d’une vérification approfondie. Les prestataires numériques éducation, éditeurs d’ENT, hébergeurs, intégrateurs et infogéreurs qui interviennent pour ces établissements peuvent, eux, relever directement d’une catégorie couverte.
Même lorsqu’un établissement n’est pas directement assujetti, la pression réglementaire se transmet par contrat. Les appels d’offres publics imposent des garanties de cybersécurité, les tutelles demandent des engagements de sécurité, et la dépendance aux fournisseurs cloud crée une exposition indirecte. Ajoutez à cela les obligations du RGPD sur les données élèves, les campagnes de ransomware qui frappent régulièrement les établissements publics et les tentatives de fraude au président visant les services comptables, et la cybersécurité des établissements scolaires devient un sujet de gouvernance à part entière.
Les obligations NIS2 cybersécurité en pratique
Principales obligations de cybersécurité imposées par NIS2
Les obligations centrales de NIS2 portent sur la gouvernance de la cybersécurité, l’analyse de risques SI, la sécurité des systèmes d’information, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement et la sensibilisation des personnels. La direction ne peut plus déléguer intégralement le sujet à l’informatique : elle valide les politiques, suit les indicateurs et engage sa responsabilité.
Concrètement, la conformité NIS2 d’une entreprise repose sur un socle de mesures que les professionnels du domaine mettent en œuvre au quotidien :
- Une cartographie à jour du système d’information, avec un registre des actifs informatiques, des comptes utilisateurs et des flux de données.
- Une analyse de risques formalisée, couvrant le ransomware, l’hameçonnage, le vol d’identifiants, la fuite de données et la défaillance d’un prestataire.
- Des contrôles d’accès solides, avec authentification multifacteur sur les comptes sensibles, principe du moindre privilège, comptes individuels et suppression rapide des accès des sortants.
- Une protection des données reposant sur des sauvegardes hors ligne ou isolées, testées régulièrement en restauration.
- Une segmentation réseau, une journalisation des accès et une capacité de détection permettant d’identifier un incident avant qu’il ne se propage.
- Un plan de réponse aux incidents documenté, avec rôles, canaux d’alerte, préservation des preuves et retour d’expérience.
- Un programme de sensibilisation au phishing, incluant des exercices réalistes et des procédures de vérification des demandes de paiement urgentes.
La gestion des incidents NIS2 impose une notification d’incident significatif auprès de l’autorité nationale compétente, selon un mécanisme en plusieurs temps, avec une alerte précoce suivie d’un rapport plus détaillé. Les délais exacts et les formulaires applicables dépendent du texte de transposition national et doivent être vérifiés auprès de l’ANSSI. L’important, pour une organisation, est d’avoir identifié à l’avance qui déclenche la notification, avec quelles informations et selon quelle chaîne de décision.
NIS2, NIS1 et RGPD : quelles différences ?
La confusion entre ces textes est fréquente, alors qu’ils poursuivent des objectifs distincts. NIS2 traite de cybersécurité et de résilience opérationnelle, le RGPD traite de protection des données personnelles. Une organisation peut être conforme au RGPD et rester très vulnérable techniquement, et inversement. Le tableau suivant résume les principales différences.
| Critère | Directive NIS1 (2016/1148) | Directive NIS2 (2022/2555) | RGPD |
|---|---|---|---|
| Objectif principal | Sécurité des réseaux et systèmes d’information des opérateurs essentiels | Niveau élevé et commun de cybersécurité dans l’Union européenne | Protection des données à caractère personnel |
| Périmètre | Nombre limité de secteurs et d’opérateurs désignés | 18 secteurs critiques, entités essentielles et importantes | Tout traitement de données personnelles |
| Obligations clés | Mesures de sécurité et notification d’incidents | Gouvernance, gestion des risques, notification, continuité, chaîne d’approvisionnement | Licéité, minimisation, sécurité, information des personnes |
| Responsabilité | Principalement opérationnelle | Implication directe des organes de direction | Responsable de traitement et sous-traitant |
| Statut | Abrogée et remplacée par NIS2 | En vigueur, transposition nationale requise | Règlement directement applicable |
NIS2 et recrutement cybersécurité : une demande qui s’installe
Impact de la directive NIS2 sur les métiers de la cybersécurité
C’est l’effet le plus direct du texte sur le marché de l’emploi. Chaque entité couverte doit désigner un pilote, structurer une gouvernance, produire des analyses de risques, maintenir un plan de réponse aux incidents et contrôler ses fournisseurs. Cela se traduit par des recrutements sur des fonctions variées :
- Analyste SOC
- Administrateur d’infrastructures sécurisées
- Ingénieur sécurité réseau
- Responsable de la sécurité des systèmes d’information (RSSI)
- Consultant conformité
- Ingénieur DevSecOps
- Architecte cloud sécurisé
La chaîne d’approvisionnement amplifie le phénomène. Une entité couverte exige des garanties de ses prestataires, qui doivent à leur tour monter en compétence et recruter. Les intégrateurs, infogéreurs et éditeurs qui travaillent avec des administrations, des collectivités ou des établissements d’enseignement supérieur se retrouvent ainsi embarqués dans la démarche, même lorsqu’ils ne sont pas directement assujettis.
À retenir
Les entreprises ne cherchent pas des profils capables de réciter un texte réglementaire, mais des techniciens et ingénieurs capables de configurer un pare-feu, d’analyser des journaux, de durcir un annuaire et de conduire une investigation après incident.
Se former aux compétences attendues par NIS2 chez REDSUP
Des formations REDSUP adaptées aux exigences de NIS2
Notre pédagogie repose sur la pratique en laboratoire et sur des technologies réellement déployées en entreprise. Le Bac+3 Administrateur d’infrastructures sécurisées forme à l’administration et à la sécurisation des réseaux, avec un travail approfondi sur les pare-feux Fortinet, Palo Alto et Stormshield, ainsi que sur l’administration Linux avancée et la sécurité des réseaux d’entreprise. Le Bac+3 Administrateur Cloud DevSecOps couvre la conteneurisation Docker et Kubernetes, l’infrastructure as code avec Terraform et Ansible, l’intégration et le déploiement continus, autant de briques directement liées à la résilience opérationnelle exigée par la réglementation.
Le Mastère Européen Expert IT en cybersécurité et haute disponibilité, de niveau 7, prépare aux fonctions d’encadrement et d’expertise : analyse de risques, supervision et observabilité réseau, threat hunting et investigation forensique, réponse aux incidents et gestion de crise. Ce sont exactement les briques mobilisées par un plan de cybersécurité conforme aux attentes européennes. Nos partenariats avec Cisco et Stormshield, ainsi que notre proximité avec le monde professionnel, garantissent un alignement constant entre les contenus enseignés et les besoins des employeurs.
Cette formation s’adresse aussi bien aux étudiants en informatique de 20 à 28 ans qu’aux personnes en reconversion professionnelle, pour lesquelles nous proposons un parcours d’orientation dédié. Les étudiants internationaux, notamment depuis le Maroc et plus largement l’Afrique francophone, intègrent nos cursus via Campus France ou en candidature directe, avec un accompagnement administratif et une possibilité de rentrée décalée en février. Nous proposons également un Mastère Européen spécialisé en conception et déploiement de solutions IA, de niveau 7, pour celles et ceux qui souhaitent combiner intelligence artificielle et sécurité.
L’alternance reste notre format phare. Elle permet d’appliquer immédiatement en entreprise les méthodes vues en cours, de financer ses études et de construire une expérience vérifiable. Notre équipe accompagne chaque candidat dans la recherche d’un contrat d’apprentissage ou de professionnalisation, avec un réseau d’entreprises partenaires qui recrutent régulièrement des apprentis administrateurs sécurité et réseaux.
Aller plus loin avec la conformité NIS2
La directive NIS2 ne se résume pas à une contrainte administrative. Elle formalise ce que les organisations matures pratiquaient déjà : connaître son système d’information, évaluer ses risques, protéger ses accès, savoir réagir et documenter ses décisions. Pour les entreprises, la question n’est plus de savoir si la cybersécurité est un sujet de direction, mais comment l’organiser durablement.
Pour vous qui envisagez un Bac+3 ou un Bac+5 dans le domaine, cette réglementation installe une demande de compétences qui dépasse largement un effet de mode. Contactez-nous pour construire le parcours adapté à votre profil et à votre projet.
FAQ – Questions fréquentes sur la directive NIS2
NIS2 s’applique-t-elle aux établissements privés ?
Le statut privé ou public n’est pas le critère déterminant. Ce sont le secteur d’activité, la taille de l’organisation et les règles nationales de transposition qui déterminent l’assujettissement. Un prestataire privé intervenant sur une infrastructure numérique critique peut être couvert, alors qu’un établissement scolaire privé de petite taille ne le sera pas nécessairement.
Qui contrôle l’application de NIS2 en France ?
L’autorité nationale compétente désignée dans le cadre de la transposition assure la supervision, avec un rôle central de l’ANSSI. Au niveau européen, l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, appuie la coopération entre États membres et publie des référentiels utiles aux organisations.
Faut-il une certification pour être conforme ?
Aucune certification n’est imposée en tant que telle par la directive. Les démarches de type ISO 27001 ou les référentiels de l’ANSSI facilitent toutefois la démonstration de conformité, car ils structurent la documentation, les contrôles et l’amélioration continue.
Peut-on travailler en cybersécurité sans être développeur ?
Oui. Une grande partie des métiers liés à la conformité et à la défense repose sur l’administration système et réseau, la supervision, l’analyse d’incidents et la gouvernance. Nos cursus intègrent de la programmation utile, notamment l’automatisation réseau avec Python, sans exiger un profil de développeur à l’entrée.
Un étudiant étranger peut-il faire une alternance en cybersécurité en France ?
Oui, sous réserve d’un titre de séjour autorisant le travail et du respect des règles applicables au contrat d’apprentissage ou de professionnalisation. Nous accompagnons les candidats internationaux sur les démarches, le calendrier et la recherche d’entreprise.