Quelles sanctions prévoit NIS 2 ?

La directive prévoit des sanctions financières proportionnées qui peuvent aller jusqu'à 2 % du chiffre d'affaires mondial pour les entités essentielles et 1,4 % pour les entités importantes.

Le pré-diagnostic atteste-t-il ma conformité ?

Non. Il distingue ce qui est constaté de l'extérieur, sans contact avec vos systèmes, de ce que vous déclarez. Il vous donne un point de départ daté et vérifiable, pas une attestation.

Qu'est-ce que le ReCyF ?

Le Référentiel Cyber France, publié par l'ANSSI en version de travail le 17 mars 2026, liste les objectifs de sécurité et les mesures recommandées pour répondre à NIS 2. Les objectifs 1 à 15 s'appliquent aux entités importantes et essentielles, les objectifs 16 à 20 aux seules entités essentielles.

Loi NIS 2 : examen à l'Assemblée nationale reporté, nouvelle date attendue

Pré-diagnostic NIS 2 · gratuit · 10 minutes

NIS 2 arrive. Sachez aujourd'hui ce que l'ANSSI verra demain.

Un pré-diagnostic aligné sur le référentiel de l'ANSSI (ReCyF). Ce qui se voit depuis Internet, nous le vérifions nous-mêmes, sans toucher à vos systèmes. Le reste, vous le déclarez. Vous repartez avec un dossier daté, scellé et vérifiable par votre assureur, votre comité ou un auditeur.

Faire mon pré-diagnostic Suis-je concerné ? (simulateur ANSSI)

Gratuit, sans carte bancaire. Analyse passive : aucune requête n'est envoyée vers vos machines.

Ce que dit l'ANSSI

Trois obligations, 18 secteurs, des sanctions proportionnées

secteurs d'activité concernés, pour l'essentiel des moyennes et grandes entreprises, des collectivités et des administrations.

obligations : s'enregistrer auprès de l'ANSSI, gérer les risques cyber, déclarer les incidents importants.

2 %

du chiffre d'affaires mondial : plafond des sanctions pour une entité essentielle (1,4 % pour une entité importante).

objectifs de sécurité du ReCyF applicables à une entité importante ; 20 pour une entité essentielle.

Sources : ANSSI — MesServicesCyber, page NIS 2 ; ReCyF v2.5, version de travail du 17 mars 2026 ; dossier législatif, Assemblée nationale.

Comment ça marche

Deux parties, jamais mélangées

A. Constaté par nous

Ce qui se voit depuis Internet, rapproché des exigences ReCyF concernées : inventaire exposé (1.1, 5.A.1), prestataires visibles (3.A.1), correctifs sur les équipements exposés et failles activement exploitées (5.B.4, 5.B.7), services internes joignables (7.A.7, 7.B.4), accès chiffrés (8.1), accès distants (8.2), annuaires (11.B.1).

B. Déclaré par vous

12 questions en oui / non / je ne sais pas, sur la gouvernance, les sauvegardes, les comptes, la crise. Elles sont présentées comme déclarations, jamais comme des constats.

Scellé et daté

Le dossier reçoit une empreinte SHA-256, un rang dans un registre en ajout seul et un horodatage délivré par une autorité tierce (RFC 3161). Votre assureur peut le vérifier en ligne, sans vous croire sur parole.

Ce que ce dossier n'est pas : une attestation de conformité. De l'extérieur, on ne voit qu'une partie des exigences ; le ReCyF est encore une version de travail. Nous l'écrivons dans le dossier lui-même.

Votre pré-diagnostic

10 minutes, un dossier que vous pouvez montrer

1. Votre entreprise
2. 12 questions
3. Vos coordonnées

Votre entreprise Le nom de domaine de votre entreprise Le nom de votre entreprise Votre statut NIS 2

Pas sûr ? Le simulateur officiel de l'ANSSI vous répond en quelques minutes.

Ce domaine est celui de mon entreprise, ou je suis mandaté pour le faire analyser (conditions d'utilisation).

Questions fréquentes

Ce que les dirigeants nous demandent

Mon entreprise est-elle concernée ?

Selon l'ANSSI, plusieurs milliers d'entités réparties sur 18 secteurs sont concernées, pour l'essentiel des moyennes et grandes entreprises, des collectivités et des administrations. Une entité est « essentielle » à partir de 250 personnes ou 50 M€ de chiffre d'affaires et 43 M€ de bilan ; « importante » à partir de 50 personnes ou 10 M€. Le simulateur de l'ANSSI donne une première indication.

Quand la loi s'applique-t-elle ?

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 et par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Son examen en séance publique, prévu le 7 octobre 2026, a été reporté par l'Assemblée le 6 octobre ; la nouvelle date n'est pas encore fixée. L'ANSSI invite les futures entités concernées à s'engager dès maintenant.

Pourquoi un dossier « scellé » ?

Parce qu'un assureur, un client ou un contrôleur ne vous demandera pas ce que vous pensez avoir fait, mais ce que vous pouvez prouver, et à quelle date. L'empreinte SHA-256 garantit que le dossier n'a pas été modifié ; l'horodatage par une autorité tierce prouve sa date indépendamment de nous.

Est-ce que vous touchez à mes systèmes ?

Non. La partie A lit uniquement des sources publiques : registres de certificats, DNS public, base publique d'exposition, catalogue CISA des failles activement exploitées. Aucune requête n'est dirigée vers vos machines.

Et après le pré-diagnostic ?

Le dossier vous donne vos priorités. Pour les traiter, vous pouvez utiliser la plateforme seule ou accompagnée par Najib Bredaa, qui valide avec vous chaque action et en garde une trace opposable. Voir les formules.