NIS2 : Comment se préparer en environnement mouvant ?

Découvrez le replay de votre webinaire :

Merci de l’intérêt que vous portez à notre webinaire sur la directive européenne NIS2.

 

Vous trouverez sous la vidéo une FAQ regroupant les principales questions posées par les participants pendant le live avec des réponses claires de nos intervenants.

 

Vous recevrez également prochainement le lien vers la vidéo dans votre boîte e-mail.

FAQ – Vos questions, nos réponses
Sofian : Si nous sommes certifiés ISO 27001, peut-on savoir à quel pourcentage nous répondons à NIS2 ?

Non. Il n’existe aucun mécanisme officiel d’équivalence ou de “scoring” entre ISO 27001 et NIS2.
En revanche, le niveau de couverture dépend directement de l’alignement des périmètres :

  • plus le périmètre de votre SMSI ISO 27001 est proche du périmètre réglementaire NIS2,
  • plus l’écart à combler pour être conforme à NIS2 sera limité.

👉 ISO 27001 constitue donc une base solide, mais le niveau de conformité NIS2 dépendra toujours d’une analyse de périmètre et d’écart spécifique.

Stéphane : Les entreprises certifiées ISO 27001 peuvent-elles considérer qu’elles répondent à NIS2 ?
Non. Pas automatiquement. ISO 27001 et NIS2 poursuivent des objectifs proches, mais avec des logiques différentes :
  • ISO 27001 repose sur une démarche volontaire de gouvernance du risque et d’amélioration continue.
  • NIS2 est une réglementation contraignante, avec : des contrôles par l’autorité compétente, des sanctions potentielles, et une responsabilité accrue des dirigeants.

Autre différence clé :

  • en ISO 27001, l’entreprise choisit le périmètre de son SMSI ;
  • en NIS2, le périmètre est imposé par la réglementation, en fonction des activités (entités essentielles ou importantes).
Enfin, NIS2 introduit des obligations renforcées sur :
  • la notification des incidents,
  • la gestion de la chaîne d’approvisionnement,
  • les tests de résilience.
👉 Aligner le périmètre ISO 27001 sur celui de NIS2 est une excellente stratégie, mais c’est bien NIS2 qui fixe le cadre, pas l’entreprise.
Yohann : Les experts-comptables et commissaires aux comptes sont-ils soumis à NIS2 (y compris dans de grands cabinets) ?
Non. NIS2 ne s’applique pas directement aux experts-comptables ou aux commissaires aux comptes, quelle que soit la taille du cabinet.
En revanche, ils peuvent être fortement impactés indirectement :
  • s’ils interviennent pour des entités soumises à NIS2,
  • notamment en tant que prestataires ou partenaires critiques.
Yohann : Les critères “taille” et “secteur” doivent-ils se cumuler ?
Oui, c’est le principe posé par la directive européenne NIS2.
La directive NIS2 définit les entités concernées sur la base de deux critères cumulatifs :
  1. l’appartenance à un secteur d’activité listé par la directive,
  2. l’atteinte des seuils de taille européens (effectif, chiffre d’affaires ou total de bilan).
Une organisation est donc soumise à NIS2 si et seulement si ces deux critères sont réunis.
En pratique :
  • Secteur NIS2 sans atteindre les seuils de taille → ❌ généralement non concerné
  • Taille importante hors secteur NIS2 → ❌ non concerné
  • Secteur NIS2 + seuils atteints → ✅ concerné (entité essentielle ou importante)
👉 Exception prévue par la directive : certains acteurs numériques critiques (cloud, DNS, télécommunications, etc.) sont soumis à NIS2 indépendamment de leur taille, en raison de leur rôle critique.
Elisabeth : Comment s’apprécie le critère du nombre de salariés ?
Le seuil NIS2 s’apprécie sur l’effectif moyen annuel dans sa définition Européenne:
  • CDD et alternants inclus
  • stagiaires exclus
Si l’effectif diminue en cours d’année, cela ne fait pas sortir automatiquement du périmètre :
  • c’est la situation structurelle de l’organisation qui est prise en compte.
👉 En revanche, si la baisse est confirmée sur l’année suivante, une requalification hors périmètre NIS2 peut être envisagée.
Florian : Le simulateur MonEspaceNIS2 n’est pas fonctionnel pour les administrations publiques
Le simulateur MonEspaceNIS2 n’est pas encore pleinement opérationnel pour les acteurs publics.
Cela ne bloque pas la démarche :
  • le positionnement NIS2 des administrations se fait aujourd’hui via
            – une analyse réglementaire,
            – en s’appuyant sur les textes officiels et les guides de l’ANSSI.