Êtes-vous concernépar NIS2 ?
On estime à 160 000 le nombre d'entités européennes concernées. Nombre d'entre elles l'ignorent encore.
Cette page va droit au but : ce que NIS2 exige, comment savoir où vous en êtes, et quelles exigences l'approche 360° de Stoïk vous aide à couvrir.
Réglons d'abord le point qui fâche.
Avant tout argument produit, deux choses doivent être claires : ce qu'est NIS2, et ce qu'un assureur peut - ou ne peut pas - faire pour vous.
Ce que NIS2 n'est pas
Ce n'est ni un produit, ni un certificat, ni quelque chose qu'un fournisseur peut vous remettre. L'assurance cyber n'est pas un produit de conformité, et aucun produit ne rend à lui seul une entreprise conforme à NIS2.
Ce que Stoïk fait vraiment pour vous
Une approche 360° de la gestion du risque : l'assurance combinée à la prévention, la détection, la formation et la réponse 24h/7j.
Cela couvre une large part des exigences opérationnelles de NIS2. La conformité en elle-même reste un chantier à la main de chaque entreprise.
Ce qu'est réellement NIS2.
La directive européenne révisée sur la cybersécurité. Elle remplace NIS1 et étend les obligations formelles de cybersécurité d'environ 1 500 entités à 160 000 estimées.
~1 500 → ~160 000
Entités concernées, de NIS1 à NIS2
18 secteurs
Annexe I, hautement critiques (11) et Annexe II, autres secteurs critiques (7)
24h / 72h / 1 mois
Alerte précoce sous 24 heures, notification d'incident sous 72 heures, rapport final sous 1 mois
€10M / 2%
Amendes maximales pour les entités essentielles, ou 2 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu
Deux types d'entités
Entités essentielles
Qui : les grandes entreprises des secteurs de l'Annexe I (énergie, transport, banque, santé…), ainsi que tous les opérateurs télécoms, les fournisseurs d'infrastructures internet critiques, les prestataires de services de confiance et les administrations publiques. « Grande » signifie plus de 250 collaborateurs ou plus de 50 M€ de chiffre d'affaires.
Exigences de sécurité : périmètre de sécurité NIS2 complet.
Supervision : proactive — un contrôle est possible sans incident préalable.
Sanctions : amendes jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, assorties de la responsabilité personnelle des dirigeants, pouvant aller jusqu'à l'interdiction d'exercer.
Entités importantes
Qui : les entreprises de taille moyenne des secteurs de l'Annexe I, ainsi que les entreprises des secteurs de l'Annexe II (agroalimentaire, industrie manufacturière, chimie…).
Exigences de sécurité : périmètre de sécurité NIS2 complet.
Supervision : réactive — principalement après détection d'un problème.
Sanctions : amendes jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, assorties de la responsabilité personnelle des dirigeants, pouvant aller jusqu'à l'interdiction d'exercer.
Une directive, pas un règlement.
NIS 2 a été publiée au niveau européen le 27 décembre 2022. Parce qu’il s’agit d’une directive, chaque État membre doit la transposer dans son droit national, et la seule source de droit applicable reste toujours la loi nationale de transposition.
- ItalieTransposée — 16 octobre 2024En vigueur
- BelgiqueTransposée — 18 octobre 2024En vigueur
- AllemagneTransposée — 6 décembre 2025En vigueur
- Pays-BasTransposée — 15 août 2026En vigueur
- AutricheAdoptée, pas encore en vigueur — 1 octobre 2026Adoptée
- FranceEn cours d’examen au ParlementNon transposée
- EspagneAvant-projet de loiNon transposée
Situation au 31 août 2026. Les États membres peuvent adapter le contenu de la directive lors de la transposition : le périmètre et le détail varient donc d’un pays à l’autre. Certaines échéances courent à compter de la date d’identification de l’entité, et non d’une date nationale unique.
NIS 2 en France
Où en est la France aujourd’hui.
NIS 2 ne devient contraignante qu’à travers la loi nationale : voici donc les éléments qui vous concernent réellement. Vérifié le 31 août 2026 — nous mettons cette page à jour à mesure que la France avance.
- Loi nationale
- Projet de loi résilience
- Statut
- En cours d’examen au Parlement
- Applicable à partir du
- Pas encore en vigueur
- Autorité de contrôle
- ANSSI
- Où déclarer un incident
- Formulaire de déclaration d’incident de l’ANSSI (club.ssi.gouv.fr)
- Référentiel de sécurité
- ReCyF — document de travail de l’ANSSI publié le 17 mars 2026
- Échéances clés
- Aucune échéance contraignante à ce jour
- Bon à savoir
- Renvoyée devant la CJUE le 8 juillet 2026
Pour presque toutes les entreprises, NIS2 se résume à trois questions.
Une fois le vocabulaire juridique mis de côté, voici ce qu'une équipe de direction doit réellement trancher.
Suis-je concerné ?
Le secteur, la taille et le rôle dans la chaîne en décident. Entité essentielle, importante, ou ni l'une ni l'autre.
Que dois-je faire concrètement ?
Dix domaines de cybersécurité, plus des obligations de notification. Alerte précoce sous 24 heures, notification d'incident sous 72 heures, rapport final sous 1 mois.
Où en suis-je aujourd'hui?
L'écart entre les dix domaines et la réalité. Le mesurer, c'est tout le point de départ du travail.
Suis-je concerné par NIS 2 ?
Répondez à quelques questions pour savoir si la directive NIS 2 s’applique à votre organisation et découvrir les axes de conformité qui vous concernent.
Quel est le nombre de collaborateurs de votre entreprise ?
Cette auto-évaluation vous donne une vision rapide de votre situation au regard de NIS 2. Elle ne constitue pas un audit de conformité ni une preuve recevable par l’ANSSI. Une conformité réelle nécessite des preuves documentées et l’avis d’un expert. Cet outil reste indicatif.
Compliance Check : trois questions, un seul écran.
Le module Compliance Check est gratuit pour tous les assurés Stoïk, dans Stoïk Protect. C'est une auto-évaluation, pas un audit ni un avis juridique, et il ne constitue pas une preuve opposable à une autorité nationale.
Trois champs, déjà remplis
Secteur d'activité, effectif, chiffre d'affaires consolidé : pré-remplis à partir de ce que nous savons déjà via le contrat d'assurance, et modifiables en un clic. Pas de questionnaire, pas de consultant, pas de tableur.
Un verdict, pas un peut-être
Si NIS2 s'applique, et à quel titre : entité essentielle, entité importante, ou hors périmètre. Et avec lui, les cinq choses qui changent : supervision, responsabilité personnelle, sanction maximale, échéances, compte à rebours de notification.
Quarante actions concrètes.
Dix domaines, quatre tâches chacun, chacune rattachée à son article NIS2. Celles que Stoïk assure déjà arrivent pré-cochées : vous voyez exactement les axes qu'il vous reste à travailler.
Après l'attaque : quand le régulateur entre en jeu
Jusqu'ici, nos garanties réglementaires concernaient principalement le RGPD et les notifications à la CNIL. Notre wording évolue pour concerner désormais les obligations et conséquences liées à NIS2 et DORA. Lorsqu'une attaque malveillante contre vos systèmes déclenche une enquête réglementaire, l'expertise juridique en gestion de crise, les frais liés à l'enquête et les sanctions qui en découlent potentiellement sont couverts par la police.
Au-delà de la protection des données
La couverture réglementaire ne se limite plus au régime de protection des données. Une enquête ouverte après une attaque par une autorité de contrôle au titre de NIS2 ou DORA est désormais couverte, et plus seulement une enquête ouverte par l'autorité de protection des données.
L'enquête, et ce qui en découle
Les frais juridiques et techniques engagés dans le cadre de l'enquête sont couverts, de même que les amendes et sanctions réglementaires qui en découlent (à condition que l'enquête ait été déclenchée par une attaque malveillante contre vos systèmes, et que l'amende soit légalement assurable).
Frais d'expertise juridique
L'assistance juridique que prévoit votre garantie de gestion de crise couvre désormais l'évaluation et le suivi de vos obligations de notification NIS2.
Cinq piliers. Chacun répond à des exigences NIS2 différentes.
C'est ce qui rend la couverture ci-dessus possible. Stoïk offre une approche cyber complète pour les PME et ETI européennes : assurance, cybersécurité et CERT interne sous un même toit, au lieu de trois prestataires à coordonner.
Risque technique
Scan externe, d'Active Directory, de Cloud et de fuite d'identifiants en continu sur votre exposition.
50 000+ vulnérabilités élevées et critiques remontées sur l'ensemble du portefeuille l'an dernier
Human Security
Formation de sensibilisation et simulations de phishing pour tous les collaborateurs, avec une progression mesurable.
Défense managée
Détection et réponse managées qui stoppent malwares et fraudes avant qu'ils ne se propagent.
SOC interne 24h/7j
Réponse à incident
Un CERT interne 24h/7j, du confinement au rétablissement complet.
1 000+ incidents gérés l'an dernier, moins de 5 jours de rétablissement en moyenne
Couverture d'assurance
Couverture des pertes d'exploitation, des frais de restauration, de la responsabilité et de la fraude cyber.
Couverture d'assurance pour les entreprises jusqu'à 2 Md€ de chiffre d'affaires
Par où voulez-vous commencer ?
Deux portes d'entrée vers la même conversation.
Une pour les courtiers, une pour les entreprises qu'ils accompagnent.
Vous êtes courtier ? NIS2 est la meilleure raison qu'ont eue vos clients depuis des années de parler cyber.
Vos clients se demandent déjà si NIS2 les concerne, et la plupart n'ont personne à qui poser la question. Cette question ouvre une conversation sur le risque plutôt que sur la prime.
Vous êtes client ? Commencez par la réponse honnête à « est-ce que ça me concerne ? »
Pas besoin d'une mission de conseil pour le savoir. Partez de la question, puis construisez à partir de ce que vous avez déjà en place.