Se préparer à la mise en œuvre de la directive NIS 2

Face à l'augmentation des cyberattaques, l’Europe renforce sa cybersécurité via la directive NIS 2. La transposition de la directive dans le droit français est en cours. Les collectivités territoriales devront s’adapter pour se conformer à ces nouvelles obligations. En France, l'ANSSI sera en charge du respect de ces dernières.

Explications par Gaëtan Poncelin de Raucourt, sous-directeur stratégie de l'ANSSI.

Pouvez-vous rappeler les raisons qui ont amené le législateur européen à une V2 de la directive NIS ?

Dans sa première version remontant à 2016, la directive NIS (Network and Information System Security) ne concernait que les Opérateurs de Services Essentiels (OSE), les entités dans les secteurs de l’énergie, des transports, de la santé ... À l'époque, il s'agissait d'abord d'amener ces entités à protéger leurs systèmes les plus critiques contre des menaces étatiques. Depuis quelques années, le nombre de cyberattaques a fortement crû du fait de groupes criminels dont le principal objectif est financier.

Des hackers qui pêchent au filet, en d'autres termes, qui lancent des attaques opportunistes cherchant des failles. Toutes les structures en présentant sont de potentielles victimes en devenir. Les attaques réussies contre des hôpitaux, des conseils départementaux, des communes... au cours des dernières années l'ont malheureusement illustré. Le but de cette nouvelle version de la réglementation est d'étendre la cybersécurité à toutes ces structures, environ 20 000 en France et notamment les collectivités territoriales.

L'ANSSI est chargée de la mise en œuvre et du respect de la transposition en droit français de la directive. Pour l'heure, la loi va être étudiée à l'Assemblée nationale et d'un point de vue légal, elle sera applicable dès la parution du texte au JORF, même si un certain délai sera accepté pour le déploiement des mesures les plus longues à mettre en œuvre.

Toutes les collectivités territoriales sont-elles soumises aux mêmes contraintes ?

Le législateur a défini un socle d'exigences communes pour toutes. Il définit en complément deux catégories selon le nombre d'habitants avec des obligations différentes. Au-dessus de 30 000 habitants, les régions, départements, métropoles, communautés urbaines et les plus grandes communes, ainsi que leurs établissements publics dans des secteurs critiques, ont des obligations plus fortes.

En dessous de ce seuil, les communautés d’agglomération et communautés de communes, ainsi que leurs établissements publics administratifs ont des obligations moins importantes. Ces structures représentent une large majorité, environ 80% des entités concernées.

Quel sont les impacts majeurs de cette réglementation pour une collectivité territoriale ou les établissements concernés ?

La directive prévoit des sanctions financières en cas du non-respect des mesures. Dans la loi, ces amendes s'appliqueront pour les entreprises. En ce qui concerne les collectivités, le gouvernement a considéré dans le cadre des travaux conduisant au projet de loi qu’une sanction financière n’était pas nécessairement opportune.

Une logique qui repose sur une hypothèse, la perte de confiance des administrés en cas non-respect de la directive NIS2 serait une sanction suffisante pour motiver les responsables à mettre les choses en ordre.

L'Assemblée nationale aura à se prononcer sur ce point lors de son examen du texte.

En dehors des sanctions, l'impact le plus significatif porte sur un transfert de responsabilité des services techniques aux dirigeants, l'élu et le directeur général des services (DGS), dans le cas d'une collectivité territoriale. Globalement, ces derniers doivent désormais formaliser le niveau de risques acceptables pour leur structure. Une démarche qui passe bien sûr d'abord par la cartographie des risques encourus.

Pouvez-vous détailler les exigences de cette loi ?

Les objectifs de la réglementation sont d'abord de mettre en place une gouvernance claire de la cybersécurité. De préciser le rôle des dirigeants, la politique de sécurité et la formation des équipes.

Il s'agit également d'assurer la résilience, la continuité des services. Ce qui passe par la compréhension du rôle de chacun dans un contexte de crise, par la définition de procédures internes et, phase récurrente, par des exercices démontrant la capacité à délivrer le service dans un contexte de crise cyber. En résumé, de démontrer la capacité à travailler en mode dégradé, comme ce fût le cas lors de l’exercice de crise massifié REMPAR25 organisé par l'ANSSI en septembre dernier. Soulignons que ce type de fonctionnement n'est pas une nouveauté pour les collectivités. Elles connaissent déjà ce type de dispositifs de sécurité pour le risque incendie, par exemple.

La politique de sécurité doit prévoir la gestion des risques, la protection des systèmes et la sécurisation de la chaîne d'approvisionnement. La réglementation n'impose pas de logiciels spécifiques, mais précise l’objectif à atteindre.

Un autre volet de la législation porte sur la notification initiale, qui doit intervenir dans les 24 heures suivant la découverte de l'attaque et sur la production d'un premier rapport sous 72 heures et, enfin, d'un rapport final. L'objectif du premier est d'apporter des éléments pour orienter la remédiation. Les deux rapports servent également à détailler et mieux comprendre les attaques (techniques employées...) et à en tirer des enseignements. En parallèle, chaque entité assujettie devra s’enregistrer auprès de l’autorité nationale.

Les collectivités les plus petites n'ont pas forcément les moyens, humains et financiers, de mettre en place ces mesures. Que préconisez-vous ?

L'ANSSI a publié un référentiel précisant l'ensemble des actions (formation...), procédures et outils (IAM, MFA...) à mettre en place. Baptisée ReCyF (Référentiel Cyber France), la version 2.5 de ce guide, publiée en mars 2026, décrit toutes les mesures à implémenter pour atteindre les objectifs de sécurité fixés par NIS 2. Bien sûr, toutes les entités n'ont pas les moyens de s'outiller en propre ou d'embaucher les compétences nécessaires.

Pour répondre à cette problématique, la mutualisation des ressources ou des moyens financiers pourra s'imposer. Une mutualisation à l'échelle intercommunale ou départementale devrait permettre d'apporter les moyens nécessaires. Autre aspect, si les grandes organisations ont souvent leur propre DSI, les plus modestes doivent faire appel au secteur privé. Pour garantir le niveau de sécurité de ces entreprises, l'ANSSI travaille sur un label destiné à être attribué à ces prestataires garantissant leur qualité.

Quel est le rôle de l'ANSSI dans l'accompagnement des entités publiques ?

L'Agence est l’autorité nationale compétente chargée de piloter la mise en œuvre et le respect de la directive NIS2 en France. Elle a pour mission d'accompagner et aussi de contrôler la mise en place effective des mesures liées à NIS2, ce qui passe par des audits, inspections et contrôles.

À terme, elle peut demander des sanctions administratives et correctives en cas de non-conformité. Des évaluations régulières des dispositifs de sécurité seront menées. En parallèle, l'accompagnement se décline sous différentes formes. Comme je l'ai dit, le référentiel Recyf liste notamment les actions à mener, en d'autres mots, trace un chemin pour être conforme. Une collectivité peut choisir un autre chemin et démontrer par d'autres moyens qu'elle respecte la réglementation. Des guides techniques visant à illustrer Recyf seront prochainement publiées.

Quels conseils donneriez-vous aux collectivités ?

Il est vivement conseillé de se préenregistrer sur le site club.ssi.gouv.fr. La démarche consiste en un formulaire guidé d'une durée de cinq à dix minutes qui collecte notamment les informations de contact, le secteur d'appartenance et les coordonnées pour la gestion d'incidents de cybersécurité. La démarche deviendra obligatoire une fois la loi Résilience votée et promulguée au JORF.

Pour les entités ne sachant pas de quel régime elles dépendent, l'agence met à disposition un simulateur leur permettant d'évaluer leur statut potentiel. En parallèle, en cas d’incident, il ne faut pas hésiter à appeler le 3218, le centre de veille de l'agence ouvert 24/7. En interne, les collectivités doivent se préparer sans attendre par des actions de sensibilisation de leurs dirigeants et de leurs agents. Le niveau de sécurité actuel doit également être évalué.

Et le dernier grand chantier, particulièrement important pour les plus petites collectivités, est de lancer une réflexion sur l’éventuelle mutualisation des moyens à l'échelle intercommunale ou départementale.