.png&w=3840&q=75&dpl=dpl_4WWtFHEr9P8wkcdWCGky2WYKjEiM)
Pourquoi NIS2 varie-t-il selon les pays ?
Réponse directe
NIS2 est une directive, et non un règlement, ce qui signifie qu’elle ne s’applique pas directement. Chaque État membre de l’UE doit la transposer en droit national, et c’est ce droit national que vous respectez réellement. Le délai de transposition était fixé au 17 octobre 2024, mais les États membres ont transposé à des rythmes et avec des spécificités différents.
En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, n’était pas encore définitivement adopté en octobre 2026 ; l’ANSSI y est désignée comme autorité nationale. Pour une organisation multi-pays, cette variation nationale est la caractéristique pratique déterminante de NIS2. C’est la différence de nature la plus marquante entre NIS2 et DORA. DORA, en tant que règlement, est uniforme dans toute l’UE et supervisé par l’AMF et l’ACPR pour les entités financières françaises. NIS2, en tant que directive, constitue un socle commun que chaque pays met en œuvre dans sa propre législation. Une directive fixe les objectifs que chaque État membre doit atteindre, mais laisse la forme et les modalités aux gouvernements nationaux. Deux organisations du même secteur dans des États membres différents peuvent faire face à des variations en matière d’enregistrement, de modalités de signalement et d’approche de supervision. Pour une organisation mono-pays en France : suivez l’adoption de la loi de transposition, préparez-vous avec l’ANSSI comme future autorité compétente, et conformez-vous à ce droit dès son entrée en vigueur. Pour une organisation multi-pays : cartographiez le socle commun NIS2 une fois, puis suivez les écarts nationaux par État membre.
NIS2 en Allemagne, en France et en Autriche
Situation vérifiée en octobre 2026 :
- Allemagne. La loi de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) est entrée en vigueur le 6 décembre 2025 et modifie la loi sur le BSI. L’Office fédéral de la sécurité de l’information (BSI) surveille les entités et reçoit les notifications d’incident. Les entités concernées devaient s’enregistrer sur le portail du BSI dans les trois mois, et aucune période de transition n’est prévue pour les mesures de sécurité.
- France. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, a été adopté par le Sénat le 12 mars 2025 mais n’était pas encore définitivement adopté. L’ANSSI est l’autorité nationale désignée par le texte. Tant que la loi n’est pas en vigueur, les entités françaises n’ont pas d’obligation nationale d’enregistrement ou de notification au titre de NIS2.
- Autriche. La loi de 2026 sur la sécurité des réseaux et des systèmes d’information (NISG 2026, BGBl. I n° 94/2025) s’applique depuis le 1er octobre 2026 et remplace la NISG 2018. Un nouvel Office fédéral de la cybersécurité, rattaché au ministère de l’Intérieur, surveille les entités, qui doivent s’enregistrer dans les trois mois.
Les délais de notification de l’article 23, 24 heures, 72 heures et un mois, sont les mêmes dans les trois pays. Ce qui change, c’est l’autorité, la procédure d’enregistrement et les règles nationales.
Comment Acuna GRC s’en charge
- Solution
NIS2
Mettez en place les mesures NIS2 avec des responsables, réutilisez vos contrôles ISO 27001, évaluez vos fournisseurs et suivez incidents et vulnérabilités.
- Espace de travail
Comply
Les référentiels que vous choisissez, les périmètres et étiquettes qui segmentent votre organisation, la bibliothèque de mesures communes et leur correspondance entre référentiels.
Sources
Cette page explique les règles en termes généraux et ne constitue pas un conseil juridique.
Découvrez comment Acuna GRC le pilote.
Dites-nous vos référentiels et votre équipe. Nous vous montrons comment Acuna GRC pilote le programme.
Hébergé en Suisse, dans l'UE ou aux États-Unis