Directive NIS2 en 2026 : obligations et responsabilités des dirigeants

Contexte et application en 2026

En 2026, la cybersécurité est officiellement devenue un enjeu réglementaire majeur pour les dirigeants européens.

La Directive (UE) 2022/2555, dite NIS2, est désormais entrée dans sa phase d’application opérationnelle dans les États membres.
En France, sa transposition est engagée et les premières campagnes d’identification et de mise en conformité sont en cours sous la supervision de l’Agence nationale de la sécurité des systèmes d'information (ANSSI)

Pour les dirigeants, le sujet n’est plus théorique :

• Les obligations sont applicables
• Les contrôles commencent
• La responsabilité personnelle peut être engagée
• Les sanctions peuvent atteindre 10 M€ ou 2 % du CA mondial

En 2026, la question n’est plus “Suis-je concerné ?”
Mais plutôt : “Puis-je démontrer que je suis conforme ?”

Un enjeu stratégique pour les dirigeants

La mise en application de la directive NIS2 en Bretagne concerne directement les PME, collectivités et structures structurantes du territoire.

Dans un écosystème économique composé d’acteurs industriels, agroalimentaires, numériques et publics, la conformité NIS2 devient un facteur de crédibilité stratégique.

Les entreprises bretonnes doivent désormais :

• Structurer leur gouvernance cyber
• Démontrer leur capacité de détection et de réaction
• Sécuriser leur chaîne de sous-traitance
• Intégrer la cybersécurité dans leur pilotage stratégique

En Bretagne, la cybersécurité n’est plus uniquement un sujet technique :
elle devient un pilier de gouvernance.

Pour les PME bretonnes, la conformité NIS2 devient un facteur déterminant dans l’accès aux marchés publics et aux grands donneurs d’ordre.

Secteurs et seuils applicables

La directive couvre 18 secteurs, notamment :

• Santé
• Énergie
• Transport
• Eau
• Infrastructures numériques
• Administration publique
• Industrie manufacturière
• Agroalimentaire
• Services numériques
• Recherche

Si votre organisation dépasse :

• 50 salariés ou
• 10 M€ de chiffre d’affaires annuel

Vous êtes potentiellement classé :

• Entité Essentielle (EE)
• ou Entité Importante (EI)

Certaines structures sont concernées indépendamment de leur taille (ex : opérateurs télécoms, fournisseurs DNS).

En France, l’ANSSI pilote la supervision nationale.

NIS2 introduit une dimension nouvelle :

Obligations des organes de direction

• Approuver les mesures de cybersécurité
• Suivre leur mise en œuvre
• Être formés aux risques cyber

Risques en cas de négligence

• Interdiction temporaire d’exercice
• Mise en cause individuelle
• Impact assurantiel

La cybersécurité devient un sujet comparable à la conformité financière ou au devoir de vigilance.

Étape 1 : Vérifier son statut

• Confirmation de votre classification (EE ou EI)
• Analyse contractuelle de vos relations fournisseurs
• Audit de maturité rapide
   

Étape 2 : Sécuriser les fondamentaux

Priorités observées en 2026 :

• Sécurisation des sauvegardes (ransomware-proof)
• Supervision continue
• Procédure de notification formalisée
• Tests de gestion de crise

Étape 3 : Intégrer la gouvernance cyber

• Point cyber trimestriel en CODIR
• Reporting formalisé
• Indicateurs de performance sécurité
• Documentation complète

Dans ce contexte réglementaire désormais opérationnel,
KERIONIS accompagne les entreprises et collectivités dans une mise en conformité pragmatique et structurée.

Nous accompagnons les organisations bretonnes dans une démarche structurée de conformité NIS2 Bretagne, adaptée aux réalités locales et sectorielles.

Audit et diagnostic stratégique

• Identification de votre statut NIS2
• Cartographie des risques
• Plan d’action priorisé
  
  

Mise en conformité opérationnelle

• Supervision proactive des infrastructures
• Gestion des vulnérabilités
• Sécurisation avancée des sauvegardes
• Assistance à la notification auprès de l’ANSSI

Structuration de la gouvernance

• Sensibilisation des CODIR
• Structuration des comités de crise
• Documentation réglementaire

Basée en Bretagne, KERIONIS intervient auprès des PME, collectivités et structures structurantes souhaitant transformer la conformité NIS2 en avantage stratégique durable.

Nous sommes une PME dans l’agroalimentaire. 

Sommes-nous concernés ?

Très probablement oui.

L’agroalimentaire fait partie des secteurs couverts par la Directive (UE) 2022/2555.
En Bretagne, ce secteur est particulièrement concerné en raison du poids économique régional.
Si vous dépassez 50 salariés ou 10 M€ de chiffre d’affaires, vous entrez dans le périmètre des Entités Importantes (EI).

Même si vous êtes sous les seuils, vos clients peuvent exiger contractuellement des garanties équivalentes.

Nous n’avons pas été contactés par l'ANSSI. 

Sommes-nous tranquilles ?

Non.

L’absence de contact formel ne signifie pas absence d’obligation.

La conformité repose sur une logique déclarative et de responsabilité proactive. En cas d’incident majeur, l’ANSSI examinera votre niveau de préparation, indépendamment d’une notification préalable.

L’ISO 27001 suffit-elle ?

Non.

La norme ISO/IEC 27001 constitue une excellente base méthodologique, mais :

• Elle ne couvre pas intégralement les obligations de notification NIS2
• Elle ne traite pas directement de la responsabilité des organes de direction
• Elle ne remplace pas l’obligation légale

Elle facilite la conformité, mais ne s’y substitue pas.

Quels risques pour un dirigeant ?

En cas de manquement grave :

• Sanctions financières importantes pour l’organisation
• Mesures correctives imposées
• Interdiction temporaire d’exercer certaines fonctions
• Mise en cause personnelle en cas de négligence caractérisée

Au-delà des sanctions, l’impact réputationnel et assurantiel peut être déterminant.

Une cyberattaque entraîne-t-elle une sanction ?

Non.

Ce n’est pas l’attaque qui est sanctionnée, mais :

• L’absence de mesures adaptées
• Le défaut de gouvernance
• Le non-respect des obligations de notification
• La négligence démontrée

Une organisation préparée, documentée et transparente réduit considérablement son risque réglementaire.

Faut-il internaliser un RSSI ?

Pas nécessairement.

La directive impose une responsabilité claire, mais pas obligatoirement un poste interne dédié.

Selon votre taille, vous pouvez :

• Nommer un responsable interne formé
• Externaliser la fonction
• Mettre en place un accompagnement spécialisé

L’essentiel est la compétence, la traçabilité et la supervision réelle.

Pourquoi les assureurs exigent-ils NIS2 ?

En 2026, les assureurs cyber intègrent la maturité NIS2 dans :

• La tarification
• Les plafonds d’indemnisation
• Les exclusions de garantie

Une gouvernance cyber structurée améliore votre position assurantielle.

Combien de temps pour se conformer ?

Pour une PME structurée :

• 3 à 6 mois pour sécuriser les fondamentaux
• 6 à 12 mois pour une conformité robuste et documentée

Tout dépend de votre niveau de maturité initial.