NIS2 et objets connectés : qui est concerné et que faire

Par Aurélie, M2M Network.

Publié le 21 octobre 2026. État de la transposition vérifié à cette date sur les sites de l’Assemblée nationale, du Sénat, de Légifrance, de l’ANSSI et de la Commission européenne.

En bref : NIS2 (directive (UE) 2022/2555) impose des mesures de cybersécurité et le signalement des incidents aux entités « essentielles » et « importantes » de 18 secteurs, en général à partir de 50 salariés ou de 10 millions d’euros de chiffre d’affaires et de bilan, et sans seuil de taille pour certaines activités comme les réseaux et services de communications électroniques publics. Au 21 octobre 2026, la France n’a pas encore transposé la directive : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, attend toujours son examen en séance à l’Assemblée nationale. Pour un exploitant de parc d’objets connectés dans l’énergie, l’eau, les transports, la santé ou l’industrie, les mesures attendues se préparent déjà : inventaire, cloisonnement, accès distants maîtrisés, exigences envers les fournisseurs.

Cet article présente les textes et leur état d’avancement ; il ne remplace ni leur lecture ni l’avis d’un juriste. En France, l’ANSSI pilote la transposition et la mise en œuvre de la directive, et propose un test d’éligibilité en ligne.

NIS2 en bref : une directive qui vise les organisations

La directive (UE) 2022/2555 du 14 décembre 2022, publiée au JOUE le 27 décembre 2022, remplace la première directive NIS (2016/1148), abrogée le 18 octobre 2024. Les États membres devaient adopter leurs textes de transposition au plus tard le 17 octobre 2024 et les appliquer à partir du 18 octobre 2024 (article 41). Elle impose quatre familles d’obligations aux entités concernées : gouvernance, les organes de direction approuvant les mesures et suivant une formation (article 20) ; mesures de gestion des risques (article 21) ; notification des incidents importants (article 23) ; supervision et sanctions (articles 32 à 34).

NIS2 ne certifie aucun produit. Les objets connectés eux-mêmes relèvent d’autres textes, que le tableau ci-dessous situe :

TexteQui est viséObjetApplication
NIS2, directive (UE) 2022/2555Entités essentielles et importantes de 18 secteursSécurité des réseaux et systèmes d’information de l’entité, incidentsDépend de la loi de transposition
Cyber Resilience Act, règlement (UE) 2024/2847Fabricants, importateurs, distributeursCybersécurité des produits comportant des éléments numériquesSignalement depuis le 11 septembre 2026, ensemble du texte le 11 décembre 2027
Directive RED, règlement délégué (UE) 2022/30Fabricants, importateurs, distributeurs d’équipements radioProtection du réseau, des données et contre la fraudeDepuis le 1er août 2025, jusqu’au 11 décembre 2027

Où en est la transposition de NIS2 en France

Les dossiers législatifs de l’Assemblée nationale et du Sénat permettent de suivre précisément le texte :

  • 15 octobre 2024 : dépôt au Sénat du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, avec engagement de la procédure accélérée. Son titre II, « Cybersécurité », transpose la directive (UE) 2022/2555 ;
  • 12 mars 2025 : adoption par le Sénat, puis transmission à l’Assemblée nationale le 13 mars (texte n° 1112) ;
  • 10 septembre 2025 : dépôt du rapport et du texte de la commission spéciale de l’Assemblée (n° 1779) ;
  • 22 septembre 2026 : la Conférence des présidents inscrit le texte en séance les 7 et 9 octobre ;
  • 6 octobre 2026 : la Conférence des présidents retire le projet de loi de l’ordre du jour des 7 et 9 octobre ;
  • 13 et 20 octobre 2026 : les relevés de la Conférence des présidents ne le réinscrivent pas ; celui du 20 octobre complète l’ordre du jour avec les projets de loi de finances et de financement de la sécurité sociale pour 2027.

Aucune loi n’a donc été promulguée, et une recherche dans le Journal officiel sur Légifrance ne renvoie aucun texte portant ce titre. L’ANSSI l’indique elle-même : « la transposition de la directive NIS 2 en France est en cours », et elle invite les futures entités essentielles et importantes à s’engager dès à présent. Du côté européen, la Commission a adressé une lettre de mise en demeure à la France le 28 novembre 2024, puis un avis motivé le 7 mai 2025, et a annoncé le 8 juillet 2026 saisir la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas, en demandant une somme forfaitaire et une astreinte journalière.

Conséquence pratique : les obligations de NIS2 ne s’appliquent pas encore en droit français, et la date d’entrée en vigueur comme les modalités précises dépendront de la loi et de ses décrets. Le contenu de la directive, lui, est connu.

Entités essentielles et importantes : qui est concerné

La directive s’applique aux entités des secteurs listés à ses annexes I (secteurs hautement critiques) et II (autres secteurs critiques) qui sont au moins des entreprises moyennes. L’ANSSI résume ainsi les seuils :

  • entité essentielle : au moins 250 personnes, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions d’euros de bilan, dans un secteur hautement critique ;
  • entité importante : au moins 50 personnes, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan, sans être entité essentielle.

Certaines entités sont visées quelle que soit leur taille, notamment les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public (article 2, paragraphe 2). Voici les secteurs où les objets connectés pèsent le plus :

Secteur (annexe)Entités citées par la directiveObjets connectés typiques
Énergie (I)Fournisseurs d’électricité, gestionnaires de réseau de distribution et de transport, producteurs, exploitants de points de recharge, réseaux de chaleur et de froid, gaz, hydrogènePostes de distribution, compteurs, bornes de recharge, capteurs de réseau
Eau potable et eaux usées (I)Fournisseurs et distributeurs d’eau destinée à la consommation humaine, entreprises de collecte et de traitement des eaux uséesStations de pompage, postes de relevage, télérelève
Transports (I)Transports aérien, ferroviaire, par eau et routier, dont autorités routières chargées de la gestion de la circulation et exploitants de systèmes de transport intelligentsSignalisation, capteurs de trafic, panneaux à messages variables
Santé (I)Prestataires de soins de santé, laboratoires de référence de l’Union européenne, fabricants de dispositifs médicaux critiques en cas d’urgence de santé publiqueÉquipements biomédicaux et techniques connectés des établissements
Fabrication (II)Dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules et autres matériels de transportAutomates, machines et lignes de production connectées

Un point mérite attention : un fabricant d’objets connectés d’au moins 50 salariés dont l’activité relève de la fabrication de produits informatiques, électroniques et optiques ou d’équipements électriques est en principe lui-même une entité importante au titre de l’annexe II. Il cumule alors NIS2 pour ses propres systèmes et le Cyber Resilience Act pour ses produits.

NIS2 et IoT : les mesures attendues sur un parc d’objets connectés

L’article 21 impose des mesures « techniques, opérationnelles et organisationnelles appropriées et proportionnées », fondées sur une approche tous risques. Elles couvrent au moins l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, la sécurité de l’acquisition et de la maintenance des systèmes, y compris le traitement des vulnérabilités, la cyberhygiène, la cryptographie, le contrôle d’accès et la gestion des actifs, et l’authentification à plusieurs facteurs. Pour les entités établies en France, l’ANSSI a publié une version de travail de son Référentiel Cyber France (ReCyF), « susceptible d’ajustements » ; les références ci-dessous renvoient à ses mesures.

1. Inventaire : objets, cartes SIM et interconnexions

L’entité tient une cartographie de ses systèmes d’information assez détaillée pour identifier les ressources vulnérables après un bulletin d’alerte (mesure 5.A.1), et une cartographie de son écosystème : prestataires, fournisseurs et interconnexions (mesure 3.A.1). Pour un parc, cela revient à relier chaque objet à son site, à sa version de micrologiciel, à sa carte SIM et au chemin réseau qu’il emprunte (APN, adresse IP, serveur joint).

2. Cloisonnement et filtrage

Les systèmes d’information sont cloisonnés physiquement ou logiquement vis-à-vis des systèmes tiers (7.A.1), seules les interconnexions nécessaires sont mises en œuvre (7.A.7) et les flux non identifiés sont bloqués par défaut (7.B.3). Pour des objets cellulaires, un APN privé qui isole le parc de l’Internet public, ou un VPN vers le serveur de supervision, et un filtrage qui ne laisse passer que les flux attendus traduisent directement ces mesures.

3. Accès distants et télémaintenance

Les accès passant par un système tiers sont chiffrés selon les recommandations de l’ANSSI, par exemple par un VPN TLS ou IPsec ou par SSH (8.1), et authentifiés (8.2) ; pour une entité essentielle, l’authentification est multifacteur (8.3). Notre article sur la télémaintenance 4G des automates décrit une architecture conforme à ces principes, sans port ouvert sur l’internet.

4. Mises à jour et objets difficiles à corriger

L’entité assure une veille sur les vulnérabilités, notamment celles diffusées par le CERT-FR (5.B.3), maintient ses logiciels, y compris les logiciels embarqués, dans des versions supportées (5.B.7), et isole ou protège autrement les ressources qu’elle ne peut pas corriger (5.B.6). Choisir des équipements dont la date de fin de support est connue, ce que le Cyber Resilience Act imposera, facilite cette mesure.

5. Fournisseurs : fabricants, intégrateurs, opérateurs

La directive demande de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité de ses produits et de ses pratiques de cybersécurité (article 21, paragraphe 3). Le ReCyF demande des garanties contractuelles, par exemple une charte de télémaintenance (3.B.1), et une vérification périodique (3.B.2). L’opérateur de connectivité du parc fait partie de ces fournisseurs, avec un point de contact identifié (3.A.2).

6. Incidents : 24 heures, 72 heures, un mois

Un incident important se notifie au CSIRT ou à l’autorité compétente par une alerte précoce dans les 24 heures, une notification dans les 72 heures puis un rapport final au plus tard un mois après la notification (article 23). L’ANSSI indique que les entités concernées devront lui signaler leurs incidents. Sur un parc d’objets, une hausse anormale de la consommation de données d’une carte SIM ou des connexions inhabituelles font partie des signaux à superviser.

Sanctions prévues par la directive

L’article 34 impose aux États membres de prévoir, pour les manquements aux articles 21 et 23, des amendes dont le plafond atteint au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, et au moins 7 millions d’euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Les montants applicables en France seront fixés par la loi de transposition.

Que faire avant la loi

  1. Faire le test d’éligibilité de l’ANSSI et, si l’entité est concernée, utiliser le service de pré-enregistrement en ligne.
  2. Inventorier les parcs d’objets connectés et leurs cartes SIM, avec leurs versions logicielles et leurs flux.
  3. Lire le ReCyF et comparer ses mesures à l’existant, en commençant par le cloisonnement et les accès distants.
  4. Revoir les contrats avec les fabricants, intégrateurs et opérateurs de connectivité.
  5. Désigner qui notifie un incident et préparer la procédure en 24 heures et 72 heures.
  6. Suivre le dossier législatif à l’Assemblée nationale.

Les bonnes pratiques générales sont rappelées dans notre guide pour sécuriser les appareils connectés et sur la page sécurité M2M.

Ce que propose M2M Network

Pour la connectivité d’un parc, M2M Network fournit des cartes SIM M2M sur le réseau Orange, SFR ou Bouygues Telecom au choix et des cartes SIM IoT multi-opérateurs, en SIM physique ou en eSIM, avec les options APN privé, IP fixe publique dédiée et 5G. L’APN privé permet de relier les objets à un serveur hébergé en France par Guardis, sur une infrastructure certifiée ISO 27001 et HDS, sans passer par l’Internet public, ce qui sert le cloisonnement décrit plus haut. La conformité NIS2 reste de la responsabilité de l’entité. Les forfaits se commandent sur la boutique ; un projet de parc se cadre via le formulaire de contact.

À lire aussi

Questions fréquentes

NIS2 s’applique-t-elle déjà en France ?

Pas encore en droit français au 21 octobre 2026. Le projet de loi de transposition, adopté par le Sénat le 12 mars 2025, n’a pas été examiné en séance à l’Assemblée nationale, et la Commission européenne a annoncé le 8 juillet 2026 saisir la Cour de justice contre la France. L’ANSSI invite les futures entités à se préparer dès maintenant.

Une entreprise de 30 salariés est-elle concernée par NIS2 ?

En général non, car la directive vise les entreprises au moins moyennes. Des exceptions existent : certaines activités sont visées quelle que soit la taille, comme les réseaux et services de communications électroniques publics, et l’État peut désigner une entité. Le test en ligne de l’ANSSI permet de vérifier.

Les objets connectés doivent-ils être « certifiés NIS2 » ?

Non. NIS2 impose des obligations aux organisations, pas une certification des produits. La cybersécurité des objets relève du Cyber Resilience Act et, pour les équipements radio, de la directive RED ; une entité NIS2 doit en revanche tenir compte de la qualité des produits de ses fournisseurs.

Quels sont les délais pour signaler un incident sous NIS2 ?

La directive prévoit une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures et un rapport final au plus tard un mois après. Les modalités françaises seront fixées par la loi de transposition ; l’ANSSI indique que les incidents lui seront signalés.

Un APN privé suffit-il pour être conforme à NIS2 ?

Non. Il répond à une partie des mesures, le cloisonnement et la réduction de l’exposition à l’Internet public. NIS2 demande aussi une gouvernance, un inventaire, la gestion des vulnérabilités, des accès distants authentifiés, des exigences envers les fournisseurs et une procédure de notification des incidents.

Sources