La directive européenne NIS 2 est souvent présentée comme un sujet réservé aux équipes informatiques. C'est une erreur : elle demande aussi de protéger l'environnement physique des systèmes d'information. Salles serveurs, locaux techniques, baies réseau, accès des prestataires : la sûreté électronique fait partie de la réponse. Voici ce qu'il faut savoir, et ce que vous pouvez préparer dès maintenant.
NIS 2 en quelques mots
La directive (UE) 2022/2555, dite NIS 2, renforce le niveau de cybersécurité des organisations qui jouent un rôle important dans l'économie et la société européennes. Elle succède à la première directive NIS et élargit fortement son périmètre.
Selon l'ANSSI, plusieurs milliers d'entités réparties dans 18 secteurs d'activité seront concernées en France : énergie, transports, santé, eau, infrastructures numériques, administrations, gestion des déchets, fabrication de certains produits, industrie agroalimentaire, services postaux, et d'autres encore. Il s'agit pour l'essentiel de moyennes et grandes entreprises, de collectivités et d'administrations.
Où en est la France ?
Les États membres devaient transposer la directive avant le 17 octobre 2024. En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive sur la résilience des entités critiques (REC) et des dispositions liées au règlement DORA pour le secteur financier.
Adopté par le Sénat en 2025, le texte est toujours en cours d'examen à l'Assemblée nationale à la date de rédaction de cet article (octobre 2026). Les textes d'application, qui préciseront les mesures exigées, ne sont pas encore définitifs. L'ANSSI a toutefois ouvert la plateforme MonEspaceNIS2 et publié un document de travail sur le futur référentiel d'objectifs de sécurité.
Autrement dit, le calendrier exact n'est pas fixé, mais la direction est connue. Les organisations concernées ont tout intérêt à se préparer sans attendre la publication des décrets.
Mon entreprise est-elle concernée ?
La directive distingue deux catégories, selon le secteur et la taille :
- les entités essentielles : dans les secteurs les plus critiques, les organisations d'au moins 250 personnes, ou dont le chiffre d'affaires dépasse 50 millions d'euros et le bilan 43 millions d'euros ;
- les entités importantes : les autres organisations des secteurs visés qui comptent au moins 50 personnes, ou dont le chiffre d'affaires et le bilan dépassent 10 millions d'euros.
Certaines entités sont concernées quelle que soit leur taille, selon leur activité. Les organisations désignées opérateurs de services essentiels sous la première directive deviennent des entités essentielles. Pour vérifier votre situation, l'ANSSI propose un test d'éligibilité sur son site MesServicesCyber.
Même si votre entreprise n'est pas directement visée, NIS 2 peut vous concerner indirectement : la directive demande aux entités de sécuriser leur chaîne d'approvisionnement. Vos clients soumis à NIS 2 pourront donc exiger des garanties de votre part.
Ce que la directive exige
L'article 21 de la directive impose aux entités de prendre des mesures techniques, opérationnelles et organisationnelles pour gérer les risques pesant sur leurs réseaux et systèmes d'information. Ces mesures reposent sur une approche « tous risques », qui vise à protéger les systèmes d'information et leur environnement physique. Parmi les thèmes listés :
- l'analyse des risques et les politiques de sécurité ;
- la gestion des incidents et la continuité d'activité ;
- la sécurité de la chaîne d'approvisionnement ;
- la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs ;
- l'authentification multifacteur lorsque c'est approprié.
L'article 23 organise par ailleurs la notification des incidents importants : une alerte précoce dans les 24 heures, une notification dans les 72 heures, puis un rapport final dans un délai d'un mois.
Les sanctions prévues par la directive peuvent atteindre, pour les entités essentielles, 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et pour les entités importantes, 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Le volet physique : là où la sûreté entre en jeu
Une cyberattaque ne passe pas toujours par Internet. Un accès non autorisé à une salle serveurs, une clé USB branchée dans une baie réseau ou un prestataire laissé seul dans un local technique peuvent suffire à compromettre un système d'information.
Le document de travail de l'ANSSI sur le futur référentiel, publié en version provisoire, prévoit d'ailleurs un objectif dédié à la maîtrise des accès physiques : mécanismes de contrôle d'accès, gestion des droits d'accès et des visiteurs, notamment pour les locaux techniques et les salles serveurs, droits attribués selon le besoin strictement nécessaire. Il cite aussi la protection physique des locaux, par exemple par la vidéosurveillance, le gardiennage ou l'alarme. Ce document n'est pas définitif, mais il indique clairement les attentes.
Le contrôle d'accès des zones sensibles
Un contrôle d'accès électronique permet d'attribuer des droits nominatifs, limités dans le temps, et de garder la trace des passages. C'est l'outil le plus direct pour répondre à l'exigence de maîtrise des accès physiques. Pour les zones les plus sensibles, une architecture conforme aux recommandations de l'ANSSI, avec des échanges chiffrés entre lecteurs et contrôleurs, apporte un niveau de confiance supérieur.
La vidéosurveillance et la détection d'intrusion
Une vidéosurveillance bien placée et un système anti-intrusion sur les locaux techniques permettent de détecter et de documenter un accès anormal, utile notamment pour l'analyse d'un incident.
Des systèmes de sûreté eux-mêmes sécurisés
Caméras, contrôleurs et serveurs de supervision sont des équipements connectés. Mal configurés, ils deviennent eux-mêmes une porte d'entrée sur le réseau. Mises à jour, segmentation réseau, suppression des mots de passe par défaut et comptes nominatifs font partie des bonnes pratiques à appliquer.
La traçabilité
Journaux d'accès, historique des alarmes, enregistrements vidéo : ces données aident à reconstituer un incident et à le notifier dans les délais. Une plateforme unifiée comme Genetec Security Center permet de centraliser ces informations.
Par où commencer ?
- Vérifier votre statut avec le test d'éligibilité de l'ANSSI, et identifier vos clients soumis à NIS 2.
- Recenser vos zones sensibles : salles serveurs, locaux techniques, baies réseau, locaux d'archives.
- Évaluer la protection physique actuelle : qui a accès, comment les droits sont gérés, ce qui est tracé.
- Auditer la sécurité de vos systèmes de sûreté : versions logicielles, réseau, comptes.
- Bâtir un plan d'action priorisé, en lien avec votre responsable informatique ou votre RSSI.
- Prévoir la maintenance pour garder des équipements à jour dans la durée.
Faites le point avec Safnest
Safnest accompagne les professionnels à Aix-en-Provence et dans toute la région PACA sur le volet physique de leur sécurité : contrôle d'accès, vidéosurveillance, détection d'intrusion et plateformes unifiées Genetec. Nos équipes s'appuient sur plus de 15 ans de pratique sur des sites sensibles, militaires, industriels et d'importance vitale.
Vous préparez NIS 2 et voulez faire le point sur la protection de vos locaux techniques ? Contactez-nous ou appelez le 04 83 43 10 44.