1C'est quoi ?
NIS2 (directive sur la sécurité des réseaux et des systèmes d'information, version 2) est une législation européenne en matière de cybersécurité entrée en vigueur en janvier 2023, que les États membres devaient transposer en droit national avant octobre 2024. Elle contraint des milliers d'organisations — hôpitaux, services d'eau, fournisseurs cloud, industriels de l'agroalimentaire — à respecter des exigences strictes sous peine de lourdes sanctions financières. Concrètement, elle impose des mesures de gestion des risques, une obligation de signalement des incidents dans des délais serrés (alerte initiale sous 24 heures, rapport complet sous 72 heures), des contrôles de sécurité sur les chaînes d'approvisionnement, et la responsabilité personnelle des dirigeants. Par rapport à sa prédécesseure NIS1, la directive élargit considérablement son périmètre : ce sont quelque 160 000 nouvelles entités qui se retrouvent soumises à une réglementation obligatoire à travers l'Europe.
2Objectifs officiels
L'objectif affiché est de rehausser le niveau général de cybersécurité au sein de l'Union européenne, en rendant les secteurs critiques et importants plus résistants face à des cyberattaques dont la fréquence et la gravité n'ont cessé de croître. La Commission européenne présente NIS2 comme la réponse aux lacunes de NIS1, dont l'application hétérogène par les États membres avait laissé des failles dangereuses. La directive vise à harmoniser les capacités nationales, à renforcer la coopération transfrontalière via l'ENISA (l'agence européenne de cybersécurité) et le groupe de coopération NIS, et à garantir des réponses plus rapides et mieux coordonnées face aux incidents majeurs. Les organisations de la société civile et les défenseurs des droits numériques partagent globalement les objectifs sécuritaires, mais alertent sur deux points : la charge de conformité est écrasante pour les structures de taille modeste, et des obligations formulées au nom de la « sécurité » peuvent devenir des vecteurs d'infrastructure de surveillance si le contrôle démocratique fait défaut.
3Ce que ça change pour les citoyens
Pour les citoyens, NIS2 est une réalité largement invisible mais aux conséquences bien concrètes : elle est conçue pour protéger les hôpitaux, réseaux électriques, systèmes d'eau et plateformes numériques dont chacun dépend au quotidien contre des cyberattaques paralysantes. Quand elle fonctionne, cela se traduit par moins de fermetures d'hôpitaux causées par des rançongiciels, moins de fuites de données de santé ou financières, et des services publics plus robustes. Mais des critiques légitimes méritent d'être entendues : la directive pousse les organisations vers des architectures informatiques centralisées et auditables qui facilitent techniquement la surveillance de masse ; les obligations de signalement d'incidents pourraient normaliser des échanges massifs de données avec les gouvernements et des organismes proches du renseignement ; enfin, des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial risquent d'accélérer la concentration du marché au détriment des acteurs plus petits et davantage respectueux de la vie privée. Les citoyens ne disposent d'aucun droit direct ni d'aucun mécanisme de recours au titre de NIS2 — la directive régule les organisations, non les droits individuels.