Quelles sont les missions de votre Avocat NIS2 ?
Avocat NIS2, Maître Jonathan POUGET accompagne les entreprises qui souhaitent déterminer si elles entrent dans le champ de la directive (UE) 2022/2555 et préparer leur conformité en France. Au 1er octobre 2026, la transposition française est toujours en cours. L’ANSSI invite les futures entités essentielles et importantes à s’engager dès maintenant dans une démarche de sécurisation cohérente avec NIS2 et met à disposition depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), encore présenté comme document de travail.
La mission juridique consiste à qualifier l’entité, identifier les activités et systèmes entrant dans le périmètre, organiser la gouvernance de la cybersécurité, contractualiser les obligations des prestataires, préparer la gestion et la notification des incidents et documenter les mesures retenues. Cette démarche est distincte d’une intervention après piratage ou d’une procédure liée à une violation de données personnelles.
I. Avocat NIS2 : vérifier si votre entreprise est concernée
NIS2 couvre dix-huit secteurs d’activité et distingue notamment des entités essentielles et des entités importantes. La qualification dépend du secteur, de la taille, du chiffre d’affaires, du bilan et de certaines règles particulières. Il ne suffit donc pas de constater qu’une société exerce dans le numérique pour conclure qu’elle est soumise à NIS2.
L’analyse doit porter sur l’entité juridique elle-même, son groupe, ses établissements, les services effectivement fournis et les éventuelles exceptions. Elle doit aussi identifier les services numériques qui peuvent relever de règles spécifiques, comme les fournisseurs de services cloud, centres de données, services gérés ou services de sécurité gérés.
II. Distinguer entité essentielle et entité importante
La distinction entre entité essentielle et entité importante a des conséquences sur le régime de supervision et doit être documentée. L’ANSSI présente notamment les seuils et catégories qui permettent aux organisations de préparer leur qualification, sous réserve du droit français de transposition définitif.
Une entreprise doit conserver les éléments utilisés pour sa qualification : effectifs, chiffre d’affaires, bilan, secteur, services fournis, implantations et rôle éventuel dans une infrastructure critique. Cette documentation facilite la mise à jour de l’analyse lorsque l’entreprise se développe, acquiert une filiale ou lance un nouveau service.
III. Mettre en place une gouvernance de la cybersécurité
NIS2 ne réduit pas la cybersécurité à un sujet purement technique. La direction doit être en mesure de comprendre les risques, d’organiser les responsabilités et de suivre les mesures de gestion mises en place. Il est donc nécessaire de formaliser les rôles de la direction, du responsable de la sécurité, de la DSI, des métiers et des prestataires.
Le dispositif doit permettre des décisions traçables : validation des politiques, suivi des incidents, arbitrage des risques résiduels, contrôle des plans d’action et information des organes de direction. Les procès-verbaux, politiques internes et reportings doivent refléter cette gouvernance réelle.
IV. Avocat NIS2 : cartographier les systèmes d’information et les risques
Le ReCyF diffusé par l’ANSSI propose un cadre de préparation fondé notamment sur le recensement des activités, services et systèmes d’information. L’entreprise doit identifier les actifs critiques, les dépendances techniques, les accès sensibles, les flux avec des tiers et les conséquences d’une indisponibilité, d’une altération ou d’une divulgation.
Cette cartographie n’a de valeur que si elle est tenue à jour. Les nouveaux outils SaaS, migrations cloud, intégrations API et changements de prestataires doivent être intégrés dans le dispositif afin d’éviter que des systèmes importants restent en dehors de l’analyse de risque.
V. Sécuriser la chaîne de sous-traitance et les fournisseurs
Les prestataires peuvent constituer un point d’entrée majeur pour un incident. Les contrats avec les hébergeurs, fournisseurs cloud, prestataires IT, éditeurs SaaS, infogérants et prestataires de cybersécurité doivent donc préciser les obligations de sécurité, les mécanismes d’audit, la gestion des vulnérabilités, la notification des incidents et la coopération en cas de crise.
La gestion du risque fournisseur doit être proportionnée à la criticité du service. Un prestataire qui héberge un système essentiel ou dispose d’un accès administrateur doit faire l’objet d’une analyse plus poussée qu’un outil secondaire sans accès aux systèmes sensibles.
VI. Avocat NIS2 : organiser la détection, le traitement et la notification des incidents
Une organisation soumise à NIS2 doit être capable d’identifier rapidement un incident, d’en mesurer la gravité et d’activer la chaîne de décision appropriée. La procédure interne doit déterminer qui reçoit l’alerte, qui qualifie l’incident, qui décide des mesures immédiates et qui centralise les informations nécessaires à une notification réglementaire.
Cette procédure doit être coordonnée avec les autres régimes applicables. Un même événement peut, selon les circonstances, déclencher des obligations au titre de NIS2, du RGPD, d’un contrat client ou d’une réglementation sectorielle. La cohérence des notifications est donc essentielle pour éviter des informations contradictoires adressées à plusieurs autorités ou partenaires.
VII. Préparer l’enregistrement et les échanges avec l’ANSSI
La directive prévoit l’identification de certaines entités auprès de l’autorité nationale compétente. Les modalités françaises seront fixées par les textes de transposition. L’ANSSI développe MonEspaceNIS2 afin de faciliter l’enregistrement et fournit déjà des informations pour aider les futures entités à préparer les données nécessaires.
L’entreprise peut anticiper en recensant ses coordonnées, secteurs et sous-secteurs d’activité, établissements, États membres dans lesquels certains services sont fournis et, lorsque cela est pertinent, les plages d’adresses IP exposées. L’objectif est d’éviter de découvrir ces exigences dans l’urgence une fois les textes français définitivement publiés.
VIII. Former les dirigeants et les équipes opérationnelles
Une politique de cybersécurité ne peut pas reposer uniquement sur la DSI. Les dirigeants doivent comprendre les principaux risques et les équipes opérationnelles doivent savoir reconnaître et remonter les incidents. Une formation ciblée peut porter sur les responsabilités internes, les règles d’accès, le phishing, les procédures de crise et les obligations réglementaires.
Le cabinet peut intervenir sur le volet juridique de cette sensibilisation, en particulier pour expliquer les responsabilités, les circuits de notification, la documentation à conserver et la coordination avec les autres obligations de l’entreprise.
IX. Articuler NIS2 avec le RGPD, DORA et le Cyber Resilience Act
Une entreprise peut être concernée par plusieurs textes européens. NIS2 porte principalement sur la cybersécurité des entités et de leurs systèmes d’information. Le RGPD protège les données personnelles. DORA concerne la résilience opérationnelle numérique de nombreuses entités financières. Le Cyber Resilience Act impose des exigences de cybersécurité à certains produits comportant des éléments numériques.
L’enjeu est d’éviter plusieurs dispositifs parallèles et incohérents. Une cartographie réglementaire permet d’identifier les obligations communes et les exigences spécifiques, puis de construire des politiques et procédures utilisables par les équipes.
X. Avocat NIS2 : audit et plan de mise en conformité
Une mission d’audit peut débuter par un questionnaire d’assujettissement et une revue documentaire, puis se poursuivre par l’analyse des contrats, politiques de sécurité, procédures d’incident, gouvernance et documentation des risques. Le résultat prend la forme d’un plan d’action hiérarchisé selon l’urgence, l’impact juridique et la difficulté opérationnelle.
Maître Jonathan POUGET peut accompagner l’entreprise dans la rédaction des politiques et contrats, la préparation des procédures internes, les échanges avec les prestataires et l’analyse des conséquences juridiques d’un incident.
XI. Préparer un plan de gestion de crise cyber
La conformité doit être testée dans des situations concrètes. Un plan de crise doit prévoir la composition de la cellule de crise, les canaux de communication de secours, la disponibilité des coordonnées utiles, la capacité à prendre des décisions lorsque certains systèmes sont indisponibles et la coordination avec les prestataires externes. Il doit aussi distinguer la réponse technique, la communication, les notifications réglementaires et la relation avec les clients.
Des exercices réguliers permettent de vérifier que les rôles prévus sur le papier correspondent aux personnes réellement disponibles et que les informations nécessaires peuvent être réunies rapidement. Les enseignements tirés de ces exercices doivent être documentés et intégrés au plan d’amélioration.
XII. Renforcer les contrats avec les prestataires critiques
Les contrats doivent permettre à l’entreprise d’obtenir les informations nécessaires en cas d’incident. Il peut être utile de prévoir des délais de notification plus courts que les délais réglementaires, une obligation de coopération, la transmission d’éléments techniques, des droits d’audit ou d’évaluation et une procédure de changement de prestataire en cas de risque grave.
Les clauses de responsabilité et de confidentialité doivent également être cohérentes avec ces obligations. Une clause interdisant au prestataire de communiquer certaines informations peut être incompatible avec les besoins de notification ou de contrôle de l’entreprise cliente.
XIII. Documenter les mesures de sécurité et les décisions de risque
Une organisation ne peut pas démontrer sa conformité uniquement en affirmant qu’elle dispose d’un antivirus ou d’un prestataire informatique. Elle doit pouvoir présenter une logique de gestion des risques : actifs identifiés, risques évalués, mesures choisies, responsables désignés, calendrier de correction et décisions relatives aux risques résiduels.
Le rôle de l’avocat consiste notamment à s’assurer que cette documentation est cohérente avec les responsabilités de la direction, les contrats et les procédures de notification. La technique et le juridique doivent se compléter sans dupliquer inutilement les documents.
XIV. Checklist de préparation NIS2
- vérifier l’assujettissement et la catégorie de l’entité ;
- cartographier les activités, services et systèmes d’information ;
- identifier les responsables et la gouvernance cyber ;
- évaluer les risques liés aux fournisseurs et sous-traitants ;
- mettre à jour les contrats critiques ;
- formaliser la détection et la notification des incidents ;
- préparer les informations nécessaires à l’enregistrement ;
- organiser des exercices de crise et conserver les comptes rendus.
FAQ – NIS2
La directive NIS2 est-elle déjà transposée en France ?
Au 1er octobre 2026, l’ANSSI indique que la transposition est en cours. Les futures entités concernées sont néanmoins invitées à préparer leur niveau de sécurité dès maintenant.
Une PME peut-elle être concernée ?
Oui, selon son secteur, sa taille et les règles particulières applicables. La qualification doit être réalisée au cas par cas.
NIS2 remplace-t-elle le RGPD en cas de cyberattaque ?
Non. Les obligations peuvent se cumuler lorsque l’incident affecte des données personnelles.
Conclusion : préparer NIS2 avant l’entrée en vigueur complète du cadre français
La conformité NIS2 suppose d’articuler qualification juridique, gouvernance, sécurité opérationnelle, contrats fournisseurs et gestion des incidents. Votre Avocat NIS2 accompagne l’entreprise afin d’anticiper ces obligations et de construire une documentation cohérente avec son activité réelle.
Avocat NIS2
Contacter le cabinet
0607625574
