État de la transposition de la directive NIS2 par pays : où en est chaque État membre de l'UE en 2025

Points clés : Tracker de l'état de la transposition de la directive NIS2

La directive NIS2 (directive (UE) 2022/2555) imposait à l'ensemble des 27 États membres de l'UE de transposer ses exigences en matière de cybersécurité en droit national d'ici au 17 octobre 2024. À la mi-2025, seul un petit nombre de pays ont achevé entièrement la transposition. La Commission européenne a engagé des procédures d'infraction à l'encontre de 23 États membres. Ce tracker suit l'avancement législatif de chaque pays, ses autorités compétentes et ses écarts par rapport au socle de la directive, actualisé chaque mois par l'équipe de veille réglementaire de Priverion.

Qu'est-ce que la directive NIS2 ?

La directive NIS2 (formellement directive (UE) 2022/2555) est le cadre révisé de l'Union européenne visant à atteindre un niveau commun élevé de cybersécurité dans l'ensemble des États membres. Elle a remplacé la directive NIS initiale (2016/1148) et a été publiée au Journal officiel de l'Union européenne le 27 décembre 2022. La directive NIS2 élargit considérablement le périmètre des secteurs réglementés, de 7 à 18, introduit des seuils de classification des entités fondés sur la taille et impose des délais de notification des incidents plus stricts ainsi qu'une responsabilité accrue des organes de direction. Source : EUR-Lex, Directive (UE) 2022/2555

Qu'est-ce que la transposition en droit de l'UE ?

La transposition est le processus par lequel les États membres de l'UE intègrent les dispositions d'une directive européenne dans leurs cadres juridiques nationaux. Contrairement aux règlements de l'UE, qui sont directement applicables, les directives exigent que chaque État membre adopte une législation nationale atteignant les objectifs de la directive tout en laissant une marge de manœuvre quant aux modalités de mise en œuvre. Source : EUR-Lex, Types de droit de l'UE

Quelle était l'échéance de transposition de la directive NIS2 ?

L'article 41 de la directive NIS2 fixait au 17 octobre 2024 l'échéance pour l'ensemble des 27 États membres de l'UE afin d'adopter et de publier les mesures nationales nécessaires pour s'y conformer. Les États membres étaient également tenus d'appliquer ces mesures à compter du 18 octobre 2024. En novembre 2024, la Commission européenne a adressé des lettres de mise en demeure à 23 États membres qui n'avaient pas notifié de transposition complète. Source : EUR-Lex, Directive NIS2, article 41

Combien d'entités sont concernées par la directive NIS2 ?

Selon l'analyse d'impact de la Commission européenne de 2023, plus de 160'000 entités dans l'ensemble de l'UE entrent dans le champ d'application élargi de la directive NIS2. La directive couvre 18 secteurs, dont l'énergie, les transports, la banque, la santé, l'eau potable, les infrastructures numériques, la gestion des services TIC, l'administration publique et l'espace. Le rapport NIS Investments 2024 de l'ENISA indiquait que le budget médian de cybersécurité des entités relevant de la directive NIS2 s'élevait à environ 1,4 million d'euros, soit environ 9 % de l'ensemble des dépenses informatiques. Source : ENISA, Rapport NIS Investments 2024

Quelles sont les exigences de notification des incidents au titre de la directive NIS2 ?

L'article 23 de la directive NIS2 établit un cadre de notification des incidents en plusieurs étapes : les entités doivent émettre une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, puis une notification complète de l'incident dans les 72 heures, et un rapport final dans un délai d'un mois. L'ENISA coordonne la réponse transfrontalière aux incidents au travers du réseau EU-CyCLONe. Selon le rapport Threat Landscape 2024 de l'ENISA, les rançongiciels et les attaques par DDoS sont restés les deux principales catégories de menaces affectant les secteurs réglementés par la directive NIS. Source : ENISA, Threat Landscape 2024

Que se passe-t-il si un État membre ne transpose pas la directive NIS2 dans les délais ?

En vertu de l'article 258 du traité sur le fonctionnement de l'Union européenne (TFUE), la Commission européenne peut engager des procédures d'infraction à l'encontre des États membres qui ne transposent pas les directives dans les délais impartis. En novembre 2024, la Commission a adressé des lettres de mise en demeure à 23 des 27 États membres pour défaut de notification de la transposition complète de la directive NIS2. Si le manquement persiste, la Commission peut saisir la Cour de justice de l'Union européenne, qui peut imposer des sanctions financières. Source : EUR-Lex, Directive NIS2

La directive NIS2 s'applique-t-elle aux entreprises établies hors de l'UE ?

Oui. La directive NIS2 a une portée extraterritoriale. L'article 26 impose aux entités établies hors de l'UE qui fournissent des services au sein de l'UE et entrent dans son champ d'application de désigner un représentant dans l'un des États membres où elles opèrent. Cela reflète l'exigence de représentant prévue à l'article 27 du RGPD. Le défaut de désignation d'un représentant n'exonère pas l'entité de ses obligations au titre de la directive NIS2. Source : EUR-Lex, Directive NIS2, article 26

Quelle est la différence entre entités essentielles et entités importantes au titre de la directive NIS2 ?

La directive NIS2 classe les entités en deux catégories selon leur secteur et leur taille. Les entités essentielles incluent les opérateurs de secteurs tels que l'énergie, les transports, la banque, la santé, l'eau potable, les infrastructures numériques et l'administration publique. Les entités importantes couvrent des secteurs tels que les services postaux, la gestion des déchets, les produits chimiques, la production alimentaire et la fabrication. Les deux catégories doivent respecter les mêmes obligations de gestion des risques de cybersécurité et de notification des incidents (articles 21 et 23). Toutefois, les entités essentielles sont soumises à une surveillance proactive, a priori (comprenant des audits réguliers et des inspections sur site), tandis que les entités importantes font l'objet d'une surveillance réactive, a posteriori, déclenchée par des éléments attestant d'un manquement. Source : EUR-Lex, Directive NIS2, articles 32 à 33

Statistiques et calendrier de la transposition de la directive NIS2

• 17 octobre 2024 : Échéance de transposition pour l'ensemble des 27 États membres de l'UE (article 41 de la directive NIS2)
• Novembre 2024 : La Commission européenne adresse des lettres de mise en demeure à 23 États membres pour défaut de transposition
• 160'000+ entités estimées dans le champ d'application dans l'ensemble de l'UE (Commission européenne, 2023)
• 18 secteurs couverts par la directive NIS2, contre 7 sous la directive NIS initiale
• 24 heures : délai d'alerte précoce pour les incidents importants (article 23 de la directive NIS2)
• 72 heures : délai de notification complète de l'incident (article 23 de la directive NIS2)
• 10 millions d'euros ou 2 % du chiffre d'affaires mondial : amende administrative maximale pour les entités essentielles (article 34 de la directive NIS2)
• 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial : amende administrative maximale pour les entités importantes (article 34 de la directive NIS2)

NIS2 par rapport à la directive NIS initiale : Comparaison

Sources et références faisant autorité

• EUR-Lex, Directive (UE) 2022/2555 (texte intégral de la directive NIS2)
• ENISA, Rapport NIS Investments 2024
• ENISA: Threat Landscape 2024
• EUR-Lex, Types de législation de l'UE
• Comité européen de la protection des données (CEPD)
• Agence de l'Union européenne pour la cybersécurité (ENISA)