Accueil de NIS2 Express

Mon espace NIS2 (MonEspaceNIS2) : faut-il enregistrer votre entité auprès de l'ANSSI ?

Oui, si votre entité entre dans le périmètre de NIS2 : l'ANSSI indique qu'elle « doit s'enregistrer » auprès d'elle, et propose dès aujourd'hui un pré-enregistrement en ligne sur sa plateforme MesServicesCyber. Au 30 octobre 2026, la loi française de transposition n'est toujours pas adoptée : le pré-enregistrement est donc une démarche anticipée et volontaire, non une échéance légale datée. Cette page fait le point sur qui est concerné, sur le calendrier français tel qu'il ressort des sources officielles, sur ce qui sera attendu après l'enregistrement, et sur ce que la configuration de Microsoft 365 permet déjà de vérifier.

Ce que dit l'ANSSI

Sur sa page NIS 2, l'ANSSI écrit : « La transposition de la directive NIS 2 en France est en cours. En attendant la publication de l'ensemble des textes de transposition, les futures entités essentielles et importantes sont invitées à s'engager dès à présent dans une démarche visant à renforcer leur niveau de sécurité. » Elle range l'enregistrement parmi « 3 obligations majeures », avec la gestion des risques cyber et la déclaration des incidents : « une fois qu'une entité a évalué qu'elle entrait dans le périmètre de la directive NIS 2, celle-ci doit s'enregistrer en France auprès de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ». La page porte un bouton « Pré-enregistrer mon entité » et un test en ligne pour savoir si votre entité est concernée et dans quelle catégorie.

La même page présente les deux catégories par la taille : entité essentielle si l'entreprise emploie au moins 250 personnes, ou dépasse 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de bilan ; entité importante, sinon, à partir de 50 personnes ou de 10 millions d'euros de chiffre d'affaires et de bilan.

La taille ne décide toutefois pas seule de la catégorie : le secteur compte aussi (article 3 de la directive (UE) 2022/2555). Une entité d'un type visé à l'annexe I (secteurs hautement critiques) est essentielle si elle dépasse les plafonds de la moyenne entreprise, importante si elle est de taille moyenne. Une entité d'un type visé à l'annexe II (autres secteurs critiques) est « importante », et non « essentielle », du seul fait de sa taille. Certaines entités sont essentielles quelle que soit leur taille, notamment les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance qualifiés, et un État membre peut en désigner d'autres.

Qui est concerné : les 18 secteurs

L'ANSSI annonce que « plusieurs milliers d'entités réparties sur 18 secteurs d'activité seront concernés », pour l'essentiel des moyennes et grandes entreprises, des collectivités territoriales et des administrations. Elle range ces secteurs en deux familles, qui reprennent les annexes I et II de la directive :

• Secteurs hautement critiques (annexe I) : administrations publiques, eaux potables, eaux non potables, énergie, espace, gestion des services TIC entre entreprises, infrastructures des marchés financiers, infrastructures numériques, santé, secteur bancaire, transport.
• Autres secteurs critiques (annexe II) : fabrication, production et distribution de produits chimiques, fournisseurs numériques, gestion des déchets, industries manufacturières, production, transformation et distribution de denrées alimentaires, recherche, services postaux et d'expédition.

Être dans l'un de ces secteurs ne suffit pas : il faut exercer une activité d'un type visé par les annexes et, en règle générale, atteindre la taille de la moyenne entreprise. Pour le croisement entre secteur et taille, et pour les cas visés quelle que soit la taille, voyez notre page NIS2 : entité essentielle ou importante, comment savoir ?

Une entreprise hors champ n'est pas pour autant à l'écart. L'article 21, paragraphe 2, point d), demande aux entités NIS2 de traiter « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Un prestataire informatique, un éditeur ou un sous-traitant d'une entité NIS2 recevra donc des questions de sécurité de ses clients, même s'il n'a lui-même rien à enregistrer.

Le calendrier français, daté et sourcé

Beaucoup de pages annoncent des échéances françaises qui n'existent dans aucun texte. Voici les seules dates que nous avons pu rattacher à une source officielle :

• 14 décembre 2022 : adoption de la directive (UE) 2022/2555, publiée au Journal officiel de l'Union européenne le 27 décembre 2022.
• 15 octobre 2024 : dépôt au Sénat, en procédure accélérée, du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2.
• 17 octobre 2024 : date limite fixée aux États membres pour adopter et publier leurs mesures de transposition, applicables à partir du 18 octobre 2024 (article 41 de la directive).
• 12 mars 2025 : adoption du projet de loi par le Sénat, transmis à l'Assemblée nationale le lendemain.
• 10 septembre 2025 : la commission spéciale de l'Assemblée nationale adopte son texte.
• 17 mars 2026 : l'ANSSI rend publique une version de travail de son Référentiel Cyber France (ReCyF), en version 2.5.
• 8 juillet 2026 : la Commission européenne saisit la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas, pour défaut de transposition complète de NIS2.
• 6 octobre 2026 : la conférence des présidents de l'Assemblée nationale retire le projet de loi de l'ordre du jour des séances des 7 et 9 octobre. Le relevé ne fixe aucune nouvelle date.
• 30 octobre 2026, date de notre dernière lecture : aucune loi de transposition n'est promulguée.

Ce que cela veut dire pour une entreprise française : l'enregistrement obligatoire, les contrôles de l'ANSSI et les sanctions prévues par la directive passeront par la loi française et ses textes d'application, qui ne sont pas publiés. Il reste un examen en séance à l'Assemblée nationale, la fin de la navette parlementaire, la promulgation, puis les décrets. Aucun texte officiel ne fixe donc aujourd'hui de date limite de mise en conformité pour les entités françaises, et rien ne deviendra applicable avant l'adoption de la loi, dont la date n'est pas connue. Le contenu des exigences, en revanche, est largement connu : c'est la directive elle-même, et le ReCyF, que l'ANSSI destine à devenir « le socle de la réglementation cyber française ».

Pourquoi se pré-enregistrer avant la loi

Rien ne l'impose aujourd'hui en droit français. Trois raisons pratiques poussent pourtant à le faire tôt.

• Les informations demandées prennent du temps à réunir. L'article 3, paragraphe 4, de la directive énumère ce que les entités communiquent au minimum : leur nom ; leur adresse et leurs coordonnées à jour, y compris les adresses électroniques, les plages IP et les numéros de téléphone ; le cas échéant, le secteur et le sous-secteur des annexes I ou II ; le cas échéant, la liste des États membres où elles fournissent des services relevant de la directive. Les plages IP, en particulier, supposent un inventaire que beaucoup de PME n'ont pas.
• Les changements se déclarent vite. Le même article demande de notifier toute modification de ces informations sans tarder, et au plus tard dans les deux semaines. Mieux vaut avoir organisé la tenue de ces données avant que l'obligation ne s'applique.
• La catégorie oriente tout le reste. Le test en ligne de l'ANSSI aide à savoir si vous êtes entité essentielle ou importante ; or le ReCyF distingue les exigences qui valent pour les deux catégories de celles qui ne visent que les entités essentielles.

Un point à ne pas confondre : le pré-enregistrement ne vaut ni évaluation de votre sécurité, ni reconnaissance d'un niveau de conformité. Il signale à l'autorité que vous estimez entrer dans le périmètre, rien de plus.

Après l'enregistrement : les mesures attendues

L'enregistrement ouvre trois chantiers, tous écrits dans la directive :

• La gouvernance (article 20). Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements ; leurs membres sont tenus de suivre une formation.
• Les mesures de gestion des risques (article 21). Une approche « tous risques » qui comprend au moins dix familles de mesures : politiques d'analyse des risques et de sécurité des systèmes d'information, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition, du développement et de la maintenance, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification à plusieurs facteurs et communications sécurisées.
• La notification des incidents importants (article 23). Une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification dans les 72 heures, puis un rapport final au plus tard un mois après la notification.

Pour traduire ces objectifs en exigences, l'ANSSI a publié le ReCyF, organisé en 20 objectifs de sécurité, du recensement des systèmes d'information à la supervision de la sécurité. Chaque exigence y est marquée « EI/EE » lorsqu'elle vaut pour les deux catégories, ou « EE » lorsqu'elle ne vise que les entités essentielles. L'ANSSI précise que ce référentiel est « susceptible d'ajustements pour tenir compte des discussions parlementaires et des travaux règlementaires à venir ».

Côté sanctions, la directive impose aux États de prévoir des amendes dont le maximum atteint au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et au moins 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (article 34). L'ANSSI reprend ces deux pourcentages sur sa page.

Suis-je concerné ? Le test en une minute

1. Votre activité relève-t-elle de l'un des 18 secteurs listés par l'ANSSI ?
2. Atteignez-vous l'un des seuils de taille rappelés ci-dessus ?
3. Relevez-vous d'une catégorie visée quelle que soit votre taille (par exemple fournisseur de services DNS ou administration publique) ?

« Oui » à la première et à l'une des deux suivantes : vous êtes une future entité NIS2 ; pré-enregistrez-vous et commencez la gestion des risques. Sinon, vous restez concerné indirectement si vos clients le sont. Le test en ligne de l'ANSSI reste la référence pour trancher.

Ce que la configuration Microsoft 365 montre déjà

Pour une PME dont la messagerie et les documents sont dans Microsoft 365, une bonne partie des mesures de l'article 21 se lit à un seul endroit : la configuration du locataire. Quelques exemples, avec ce que Microsoft en documente lui-même :

• L'authentification à plusieurs facteurs (article 21, paragraphe 2, point j ; ReCyF, objectifs 8 et 10). Pour les accès distants, le ReCyF 2.5 n'exige le multifacteur que des entités essentielles (exigence 8.3, marquée « EE ») ; pour les deux catégories, l'exigence 8.2 demande seulement un mécanisme d'authentification « conforme aux mesures relatives à l'Authentification », et l'exigence 10.B.1 admet un mécanisme « mono-facteur tel qu'un mot de passe ». Les paramètres de sécurité par défaut de Microsoft Entra exigent que tous les utilisateurs s'inscrivent à l'authentification multifacteur, l'imposent aux administrateurs et bloquent les protocoles d'authentification hérités. Un locataire qui les a désactivés doit porter des stratégies d'accès conditionnel équivalentes, et cela se vérifie.
• Les comptes d'administration (ReCyF, objectif 11 : « les actions d'administration sont effectuées exclusivement à partir de comptes d'administration »). Microsoft recommande d'attribuer le rôle d'administrateur général à moins de cinq personnes, d'accorder les droits élevés juste à temps avec Privileged Identity Management (fonction qui, selon Microsoft, nécessite une licence Microsoft Entra ID P2 ou Gouvernance Microsoft Entra ID), et de conserver deux comptes d'accès d'urgence.
• La journalisation (article 23 ; ReCyF, objectifs 12 et 20). Selon Microsoft, l'audit Standard est activé par défaut et conserve les enregistrements 180 jours. Sans journaux, impossible de dater un incident ni d'en mesurer l'étendue dans les délais de notification.
• Les tiers qui accèdent à vos données (article 21, paragraphe 2, point d ; ReCyF, objectif 3 sur la maîtrise de l'écosystème) : applications auxquelles les utilisateurs ont pu consentir, invités externes, partage externe dans SharePoint et OneDrive.

Ces vérifications ne disent pas si votre entité respecte NIS2. Elles disent, à une date donnée, comment votre locataire est réglé au regard des mesures que la directive et l'ANSSI décrivent, ce qui est déjà une base de travail pour l'analyse des risques.

Et ensuite

L'enregistrement dit que votre entité entre dans le périmètre de NIS2, pas où en est la sécurité de vos outils. Si votre messagerie et vos documents sont dans Microsoft 365, SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de votre locataire et vous donnera des faits datés utiles pour la gestion des risques que demande l'article 21. Pour vous faire une première idée, lisez comment savoir si votre Microsoft 365 est bien sécurisé et comment vérifier que votre prestataire a bien configuré Microsoft 365.

Ce diagnostic ne garantit pas la conformité à NIS2, ne remplace pas un audit par un organisme tiers et ne couvre pas à lui seul les obligations de la directive.

SYAGA Audit pour votre Microsoft 365 : le diagnostic gratuit

Les sujets voisins : PSSI, charte, RGPD, AIPD

NIS2 ne vit pas seule. La politique de sécurité, la charte d'utilisation et la protection des données personnelles en sont les compagnons habituels, et chacun a sa propre page de référence :

• Comment mettre en place une PSSI dans son entreprise ? (la politique écrite que demande l'article 21, paragraphe 2, point a)
• Que doit contenir la PSSI d'une PME ?
• La charte informatique, adoptée dans les formes (les règles d'usage que la cyberhygiène du point g) suppose)
• Que doit faire une PME pour respecter le RGPD ?
• Quand une AIPD est-elle obligatoire ?

Sources

• Directive (UE) 2022/2555, articles 3, 20, 21, 23, 34 et 41, annexes I et II : EUR-Lex.
• ANSSI, page NIS 2, pré-enregistrement, test en ligne et comparateur ReCyF : MesServicesCyber ; ReCyF version 2.5 : document de travail du 17 mars 2026.
• Assemblée nationale : dossier législatif et relevé de conclusions du 6 octobre 2026.
• Commission européenne : communiqué IP/26/1499 du 8 juillet 2026.
• Microsoft Learn : paramètres de sécurité par défaut, rôles d'administration, audit.

Faits relus le 30/10/2026 sur les sources officielles citées (EUR-Lex, ANSSI, Assemblée nationale, Commission européenne, Microsoft Learn). Cette page informe ; elle ne constitue pas un conseil juridique.