Statistiques de conformite NIS2 en 2026 : 50+ chiffres sur le perimetre, les amendes et l'etat de preparation

La directive NIS2 constitue la refonte la plus importante de la reglementation en matiere de cybersecurite dans l'histoire de l'Union europeenne. Elle remplace la directive NIS originale de 2016, elargissant son perimetre de quelques centaines d'operateurs de services essentiels par Etat membre a environ 160 000 entites a travers l'UE.

Cette page reunit des statistiques verifiees sur le perimetre de NIS2, l'etat de transposition, le cadre de sanctions, l'etat de preparation a la conformite, les couts et le paysage plus large de la cybersecurite auquel elle vise a repondre. Chaque chiffre est issu d'agences officielles de l'UE, d'organismes de regulation et de rapports sectoriels verifies.

Perimetre et envergure de NIS2

NIS2 a considerablement elargi le nombre d'organisations soumises aux exigences de cybersecurite de l'UE. La directive NIS originale couvrait un nombre restreint d'operateurs de services essentiels. NIS2 s'applique a toute entreprise moyenne ou grande operant dans 18 secteurs designes.

11 secteurs de haute criticite (Annexe I - Entites essentielles)

1. Energie (electricite, petrole, gaz, hydrogene, chauffage urbain)
2. Transports (aerien, ferroviaire, maritime, routier)
3. Banques
4. Infrastructures des marches financiers
5. Sante (hopitaux, laboratoires, industrie pharmaceutique, dispositifs medicaux)
6. Eau potable
7. Eaux usees
8. Infrastructures numeriques (IXPs, DNS, registres TLD, cloud, centres de donnees, CDN)
9. Gestion des services TIC (B2B - fournisseurs de services geres, fournisseurs de services de securite geres)
10. Administration publique (gouvernement central)
11. Espace

7 autres secteurs critiques (Annexe II - Entites importantes)

1. Services postaux et de messagerie
2. Gestion des dechets
3. Produits chimiques (fabrication, production, distribution)
4. Alimentation (production, transformation, distribution)
5. Fabrication (dispositifs medicaux, ordinateurs, electronique, machines, vehicules a moteur)
6. Fournisseurs numeriques (places de marche en ligne, moteurs de recherche, reseaux sociaux)
7. Organismes de recherche

Etat de transposition de NIS2

La date limite pour les Etats membres de l'UE pour transposer NIS2 en droit national etait le 17 octobre 2024. La majorite des Etats membres n'ont pas respecte cette echeance.

Pays ayant pleinement transpose NIS2

Source : Wavestone NIS2 Transposition Tracker (en date de janvier 2026)

Pays dont la legislation est approuvee mais le cadre reste en attente

Sweden, Denmark, Austria, Portugal, Malta, Finland, Estonia, Romania, Cyprus (9 pays)

Pays encore au stade de projet

Luxembourg, France, Spain, Netherlands, Poland, Bulgaria (6 pays)

Source : Wavestone NIS2 Transposition Tracker

Sanctions et amendes NIS2

NIS2 introduit un cadre de sanctions a deux niveaux base sur la classification des entites. Contrairement au RGPD, qui prevoit un maximum unique, NIS2 distingue les entites essentielles des entites importantes.

Comparaison des sanctions NIS2 et RGPD

Responsabilite personnelle des dirigeants

NIS2 introduit une responsabilite directe pour les organes de direction. Les membres du conseil d'administration et les cadres superieurs peuvent etre tenus personnellement responsables en cas de non-conformite. En cas de negligence grave, les autorites competentes peuvent imposer une interdiction temporaire d'exercer des fonctions de direction.

Source : DLA Piper NIS2 Directors' Personal Liability Analysis

Etat de preparation a la conformite NIS2

Les donnees sur l'etat de preparation dressent un tableau preoccupant. Une part significative des organisations concernees ignore l'existence de NIS2 ou n'est pas preparee a ses exigences.

Couts de conformite NIS2

Le cout de mise en oeuvre de NIS2 varie considerablement en fonction de la taille de l'entite, de son niveau de maturite existant et de son secteur. L'analyse d'impact de la Commission europeenne et les analyses independantes fournissent les estimations suivantes.

Exigences de notification des incidents NIS2

NIS2 introduit un cadre de notification des incidents en trois etapes avec des delais stricts, renforçant considerablement les exigences de la directive NIS originale.

Source : Directive NIS2, Article 23

Statistiques des incidents sous NIS1

Maturite sectorielle sous NIS2

L'evaluation NIS360 d'ENISA cartographie les secteurs en fonction de leur maturite en matiere de cybersecurite par rapport a leur criticite. Cela revele quels secteurs sont les plus exposes au risque de non-conformite.

Secteurs les plus matures (maturite correspondant a la criticite)

• Electricite
• Telecommunications
• Banques

Secteurs dans la "zone de risque" (criticite superieure a la maturite)

• Gestion des services TIC
• Espace
• Administrations publiques
• Transport maritime
• Sante
• Gaz

Source : ENISA NIS360 2024

Modele de supervision

Source : European Commission NIS2 FAQ

Paysage des cybermenaces dans l'UE

Les statistiques suivantes, issues du rapport ENISA Threat Landscape, contextualisent la necessite de NIS2.

Secteurs les plus cibles

Source : ENISA Threat Landscape 2025

Securite de la chaine d'approvisionnement sous NIS2

NIS2 impose la securite de la chaine d'approvisionnement comme l'une des 10 mesures de gestion des risques requises au titre de l'Article 21. Cela reflete la menace croissante des attaques basees sur la chaine d'approvisionnement a travers l'Europe.

Main-d'oeuvre en cybersecurite dans l'UE

La conformite NIS2 necessite des professionnels qualifies en cybersecurite. La penurie actuelle de talents a travers l'Europe en fait l'un des aspects les plus difficiles de la mise en conformite.

10 mesures de securite minimales NIS2

L'Article 21 de la directive NIS2 exige que les entites mettent en oeuvre au minimum ces 10 categories de mesures de securite :

1. Politiques d'analyse des risques et de securite des systemes d'information
2. Procedures de gestion des incidents
3. Continuite des activites et gestion de crise (y compris la gestion des sauvegardes et la reprise apres sinistre)
4. Securite de la chaine d'approvisionnement (y compris les aspects lies a la securite des relations entre les entites et leurs fournisseurs ou prestataires directs)
5. Securite dans l'acquisition, le developpement et la maintenance des reseaux et systemes d'information (y compris le traitement et la divulgation des vulnerabilites)
6. Politiques et procedures pour evaluer l'efficacite des mesures de gestion des risques de cybersecurite
7. Pratiques de base en matiere de cyber-hygiene et formation a la cybersecurite
8. Politiques et procedures relatives a l'utilisation de la cryptographie et, le cas echeant, du chiffrement
9. Securite des ressources humaines, politiques de controle d'acces et gestion des actifs
10. Utilisation de solutions d'authentification multi-facteur ou d'authentification continue, de communications vocales, video et textuelles securisees, et de systemes de communications d'urgence securises

Source : Directive NIS2, Article 21(2)

Dates cles et chronologie de NIS2

Questions frequentes

Q : Combien d'entreprises sont concernees par NIS2 ?

R : La Commission europeenne estime qu'environ 160 000 entites a travers l'UE entrent dans le perimetre de NIS2. Cela inclut les entreprises de taille moyenne comptant 50 employes ou plus ou ayant un chiffre d'affaires de EUR 10M+ et les grandes entreprises comptant 250 employes ou plus ou ayant un chiffre d'affaires de EUR 50M+ operant dans l'un des 18 secteurs designes.

Q : Quelles sont les amendes maximales prevues par NIS2 ?

R : Les entites essentielles s'exposent a des amendes pouvant atteindre EUR 10 000 000 ou 2 % du chiffre d'affaires annuel mondial, le montant le plus eleve etant retenu. Les entites importantes s'exposent a des amendes pouvant atteindre EUR 7 000 000 ou 1,4 % du chiffre d'affaires annuel mondial. Les Etats membres peuvent fixer des amendes maximales plus elevees dans leur transposition nationale.

Q : Quels pays de l'UE ont transpose NIS2 ?

R : En janvier 2026, 20 des 27 Etats membres de l'UE ont acheve la transposition de NIS2. Croatia a ete le premier (fevrier 2024), suivi de Latvia, Belgium, Italy, Lithuania, Greece, Slovakia, Hungary, Slovenia, Czech Republic et Germany. Six pays restent au stade de projet, dont France, Spain et Netherlands.

Q : Combien coute la conformite NIS2 ?

R : Les couts varient considerablement en fonction de la taille de l'entite et de sa maturite existante. Les entites deja conformes a NIS1 peuvent depenser environ EUR 107 000 pour s'adapter. Les entites importantes partant de zero font face a un cout moyen d'environ EUR 180 000. Le cout total de mise en oeuvre a l'echelle de l'UE est estime a EUR 31,2 milliards par an.

Q : Quels sont les delais de notification des incidents NIS2 ?

R : NIS2 impose une approche en trois etapes : une alerte precoce dans les 24 heures suivant la prise de connaissance d'un incident significatif, une notification complete dans les 72 heures avec une evaluation de la gravite et de l'impact, et un rapport final dans un delai d'un mois detaillant l'analyse des causes profondes et les mesures d'attenuation.

Q : Les membres du conseil d'administration peuvent-ils etre tenus personnellement responsables en vertu de NIS2 ?

R : Oui. NIS2 introduit une responsabilite directe pour les organes de direction. Les membres du conseil d'administration et les cadres superieurs peuvent etre tenus personnellement responsables en cas de non-respect des obligations de gestion des risques de cybersecurite. En cas de negligence grave, les autorites peuvent imposer une interdiction temporaire d'exercer des fonctions de direction.

Toutes les statistiques de cette page proviennent d'agences officielles de l'UE, d'organismes de regulation et de rapports sectoriels verifies. Les sources principales incluent les rapports ENISA NIS Investments (2024, 2025), ENISA Threat Landscape 2025, ENISA NIS360 2024, la FAQ NIS2 de la Commission europeenne, Wavestone NIS2 Transposition Tracker, Frontier Economics, ISC2 et le texte de la directive NIS2. Cette page est regulierement mise a jour a mesure que de nouvelles donnees sont disponibles.

Derniere mise a jour : mars 2026