Sources : Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), articles 20, 21 et 23 • Avis motivé de la Commission européenne adressé à la France pour défaut de transposition, mai 2025 • Projet de loi Résilience, adopté en commission spéciale de l’Assemblée nationale, septembre 2025 • Référentiel Cyber France (ReCyF), ANSSI, 17 mars 2026
La directive NIS2 (UE 2022/2555) est souvent présentée comme un texte à venir, dont les obligations n’entreraient en jeu qu’une fois la transposition nationale finalisée. Cette lecture est inexacte, et potentiellement coûteuse pour les organisations qui s’y fient.
La directive est entrée en vigueur au niveau européen le 16 janvier 2023, tandis que la date limite de transposition pour les États membres était fixée au 17 octobre 2024. La France n’a pas respecté cette échéance : la Commission européenne a engagé une procédure d’infraction et adressé un avis motivé à Paris en mai 2025. Le projet de loi Résilience, qui transpose NIS2 en droit français, a été adopté par la commission spéciale de l’Assemblée nationale en septembre 2025, mais n’est pas encore promulgué. Son vote en séance plénière est attendu au second semestre 2026.
Ce retard législatif ne crée pas un vide d’obligation. Il crée une zone grise dans laquelle les organisations exposées portent un risque croissant, sans cadre national précis pour s’en prémunir. L’ANSSI le rappelle : il ne faut pas attendre. Le Référentiel Cyber France (ReCyF), publié le 17 mars 2026 comme document de travail adossé au projet de loi, est déjà disponible et opérationnel pour initier une mise en conformité.
Ce qu’est NIS2 et à qui elle s’applique
NIS2 est la refonte majeure de la première directive sur la sécurité des réseaux et des systèmes d’information, adoptée en 2016. Son objectif est d’élever le niveau de cybersécurité à l’échelle de l’Union européenne, en élargissant considérablement le périmètre des entités concernées et en renforçant les obligations qui pèsent sur elles.
Là où NIS1 ciblait un nombre limité d’opérateurs de services essentiels, NIS2 couvre désormais 18 secteurs critiques et devrait concerner entre 15 000 et 18 000 entités en France une fois la transposition finalisée. La directive distingue deux catégories :
- Les entités essentielles (EE) : organisations opérant dans des secteurs jugés hautement critiques (énergie, transports, santé, eau, infrastructures numériques, administrations publiques centrales). Elles sont soumises au niveau d’exigence le plus élevé et à une supervision active de l’ANSSI.
- Les entités importantes (EI) : organisations issues d’autres secteurs critiques (services postaux, gestion des déchets, fabrication de produits critiques, services numériques, recherche). Elles sont soumises aux mêmes obligations de fond, avec un régime de contrôle a posteriori.
Les critères d’inclusion combinent un critère sectoriel et un critère de taille : les entreprises de taille intermédiaire (plus de 50 salariés ou 10 millions d’euros de chiffre d’affaires) évoluant dans les secteurs visés entrent dans le champ d’application. Certaines entités de taille inférieure peuvent également être désignées si elles constituent le seul fournisseur d’un service essentiel dans leur périmètre géographique.
L’article 21 : dix mesures obligatoires de gestion des risques
L’article 21 est le coeur opérationnel de NIS2. Il impose aux entités essentielles et importantes de mettre en oeuvre des mesures techniques, opérationnelles et organisationnelles proportionnées aux risques, en tenant compte de l’état des connaissances et des normes européennes et internationales applicables. Ces mesures couvrent dix domaines :
- Les politiques d’analyse des risques et de sécurité des systèmes d’information : chaque entité doit disposer d’une politique formelle de gestion des risques, documentée et approuvée par la direction.
- La gestion des incidents : des procédures doivent être en place pour détecter, qualifier, contenir et traiter les incidents de sécurité.
- La continuité d’activité : plans de sauvegarde, de reprise après sinistre et de gestion de crise doivent être formalisés et testés.
- La sécurité de la chaîne d’approvisionnement : les relations avec les fournisseurs et prestataires de services numériques doivent être encadrées par des exigences de sécurité contractuelles et vérifiées périodiquement.
- La sécurité de l’acquisition, du développement et de la maintenance des systèmes d’information, y compris le traitement des vulnérabilités.
- Les politiques et procédures d’évaluation de l’efficacité des mesures de gestion des risques.
- Les pratiques de cyberhygiène de base et la formation régulière des personnels à la cybersécurité.
- Les politiques relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement.
- La sécurité des ressources humaines, les politiques de contrôle d’accès et la gestion des actifs.
- L’utilisation de solutions d’authentification multifacteur ou d’authentification continue, de communications sécurisées et de systèmes de communication d’urgence sécurisés.
L’article 20 complète ce dispositif en posant une obligation de gouvernance au niveau de la direction : les organes de direction doivent approuver les mesures mises en oeuvre, superviser leur application et suivre une formation adaptée. La responsabilité personnelle des dirigeants peut être engagée en cas de manquement grave, y compris par des interdictions temporaires d’exercice.
L’article 23 : un régime de notification d’incidents structuré et contraignant
L’article 23 organise l’obligation de signalement des incidents significatifs aux autorités compétentes, en France l’ANSSI. Un incident est considéré comme significatif s’il a causé ou est susceptible de causer une perturbation opérationnelle grave, une perte financière importante, ou s’il affecte d’autres personnes en causant des dommages matériels ou immatériels considérables.
Le régime de notification est structuré en trois temps :
- Alerte précoce sous 24 heures : dès la découverte d’un incident significatif, l’entité doit notifier l’ANSSI, en précisant notamment si l’incident résulte d’un acte malveillant ou présente un risque transfrontalier.
- Notification intermédiaire sous 72 heures : une mise à jour doit être transmise, incluant une évaluation de la gravité de l’incident, de son impact et des indicateurs de compromission disponibles.
- Rapport final dans le mois suivant la notification : ce rapport détaille la nature de l’incident, sa cause probable, les mesures d’atténuation appliquées et son impact éventuel sur d’autres États membres.
Ces délais sont stricts. Ils supposent que l’organisation dispose, avant même qu’un incident survienne, de processus de détection opérationnels, d’une chaîne de responsabilité claire pour déclencher la notification, et d’outils permettant de qualifier rapidement la gravité d’un événement.
En résumé, une organisation qui découvre un incident un vendredi soir a moins de 24 heures pour en notifier l’ANSSI. Sans procédure préétablie et sans visibilité en temps réel sur son parc informatique, ce délai est intenable.
Ce que cela implique concrètement pour les terminaux mobiles
Les terminaux mobiles constituent un vecteur d’exposition souvent sous-estimé dans les démarches de mise en conformité NIS2. Pourtant, ils concentrent des données professionnelles sensibles, accèdent aux systèmes d’information de l’organisation, et représentent des points d’entrée potentiels pour des attaques ciblées.
Au regard des dix mesures de l’article 21, les terminaux mobiles interviennent directement dans plusieurs domaines :
- La gestion des risques : un terminal non géré, non chiffré ou exécutant des applications non validées constitue un risque identifiable que la politique de sécurité doit couvrir.
- La continuité d’activité : la capacité à effacer à distance un terminal perdu ou compromis, à révoquer ses accès et à rétablir une configuration saine conditionne la résilience opérationnelle.
- La sécurité de la chaîne d’approvisionnement : les applications déployées sur les terminaux, qu’elles soient internes ou issues de stores publics, font partie de l’écosystème de prestataires que l’organisation doit évaluer.
- Le contrôle d’accès et l’authentification : les politiques de mots de passe, de chiffrement des données et d’authentification multifacteur doivent s’appliquer aux terminaux mobiles au même titre qu’aux postes de travail fixes.
Pour l’article 23, la visibilité en temps réel sur l’état du parc mobile est une condition préalable à toute capacité de notification dans les délais. Sans console de gestion centralisée, il est impossible de savoir en moins de 24 heures si un incident a affecté des terminaux mobiles, combien d’appareils sont concernés et quelles données ont pu être exposées.
PushManager comme brique de mise en conformité NIS2
PushManager, solution éditée par ITS Ibelem, répond directement à plusieurs des exigences posées par les articles 21 et 23 de NIS2 dans le périmètre des terminaux mobiles.
Concernant la gestion des risques, PushManager permet de définir et d’appliquer des politiques de sécurité centralisées sur l’ensemble du parc Android, iOS et ChromeOS : chiffrement des appareils, politique de mots de passe, restriction des applications, configuration des accès réseau. Les règles de conformité permettent de détecter en continu les appareils qui s’écartent de la politique définie et de déclencher des actions correctives.
Sur le volet continuité d’activité, la solution offre la capacité d’effacement à distance des terminaux, de révocation des accès et de redéploiement silencieux des configurations et applications, y compris sans intervention de l’utilisateur final.
Côté visibilité et détection, la console PushManager centralise en temps réel l’état de conformité de chaque appareil, l’historique des derniers contacts serveur et les non-conformités actives. Cette visibilité est un prérequis opérationnel pour respecter les délais de notification imposés par l’article 23.
PushManager est par ailleurs hébergée sur une infrastructure souveraine qualifiée SecNumCloud 3.2, ce qui répond aux exigences de sécurité de la chaîne d’approvisionnement que NIS2 impose aux entités concernées vis-à-vis de leurs propres fournisseurs de services numériques. Choisir un outil de gestion de flotte mobile hébergé en France, par un éditeur français indépendant de toute juridiction extraeuropéenne, fait partie intégrante d’une stratégie de mise en conformité.
Parlons de votre projet
NIS2 est déjà une réalité juridique européenne et son application en France est une question de mois.
Les articles 21 et 23 posent des obligations concrètes qui engagent la direction, structurent la gestion des risques et imposent une capacité de réaction rapide en cas d’incident. Les terminaux mobiles sont pleinement dans ce périmètre. Commencer par les sécuriser, les superviser et les inscrire dans une politique de conformité documentée est une première étape structurante, et immédiatement actionnable.
L’équipe PushManager est disponible pour évaluer votre niveau de couverture NIS2 et définir avec vous l’approche adaptée à votre organisation
