Alors que la directive NIS2 n’est pas encore transposée dans l’ensemble des États membres, la Commission européenne a publié, le 20 janvier 2026, une proposition de directive visant à la modifier. Explications.

Les cyberattaques se multiplient et touchent désormais des organisations de toute taille, publiques comme privées, tandis que le cadre réglementaire de cybersécurité devient toujours plus dense, technique… et instable. C’est dans ce contexte que la Commission européenne a publié, le 20 janvier 2026, une proposition de directive^[1] visant à modifier la directive (UE) 2022/2555, dite directive « NIS2 », dans le cadre de la révision du règlement (UE) 2019/881 relatif à la cybersécurité (Cybersecurity Act 2).

La démarche peut surprendre : la directive NIS2 n’est pas encore transposée dans l’ensemble des États membres — y compris en France — que sa révision est déjà engagée. Pour la Commission européenne, cette modification se justifie par les difficultés d’application rencontrées par les entités concernées, notamment l’incertitude entourant le champ d’application du texte, ou encore la complexité des obligations de notification d’incident. La proposition ne comporte que cinq articles. Elle n’en amorce pas moins plusieurs évolutions majeures du régime NIS2.

 

Les points clés à retenir

• Une révision anticipée de NIS 2 : la Commission européenne propose de modifier la directive alors que sa transposition reste inachevée dans plusieurs États membres, dont la France.
• Un champ d’application clarifié et élargi : la proposition vise à faciliter l’identification des entités concernées et à intégrer de nouvelles catégories d’acteurs.
• Des obligations renforcées en cas de ransomware : les organisations devront transmettre des informations plus détaillées sur les attaques, notamment sur les éventuels paiements de rançon.
• Une simplification des démarches de conformité : le texte prévoit une harmonisation des exigences documentaires, une reconnaissance des certifications et un rôle accru de l’ENISA.
• Une anticipation des menaces quantiques : les États membres sont encouragés à préparer leur transition vers la cryptographie post-quantique pour renforcer la protection des données sensibles.

 

1- Le champ d’application NIS2 précisé et étendu à de nouveaux acteurs

En pratique, la principale difficulté d’application de la directive NIS2 tient à la détermination des entités concernées, et notamment à l’identification des organisations susceptibles d’être qualifiées d’« entités essentielles » ou d’« entités importantes ». Ces qualifications reposent en effet aujourd’hui sur un faisceau de critères (taille, secteur d’activité, criticité), dont l’interprétation demeure incertaine. Consciente de cette difficulté, l’Agence nationale de la sécurité des systèmes d’information (Anssi), autorité nationale compétente désignée pour la mise en œuvre de la directive NIS2 en France, propose par ailleurs un questionnaire d’auto-évaluation afin d’accompagner les organisations dans cette démarche de qualification^[2].

Dans cette optique de simplification et de réduction des coûts de conformité, le projet introduit une nouvelle catégorie d’acteurs, les « small mid-cap enterprises »^[3]. Ces entreprises, dès lors qu’elles exercent une activité relevant d’un secteur figurant à l’annexe I de la directive NIS2, seraient automatiquement qualifiées d’entités importantes. La Commission cherche ainsi à réduire les incertitudes d’interprétation qui ont conduit de nombreuses organisations à réaliser des analyses juridiques lourdes pour déterminer leur statut.

Par ailleurs, la proposition étend explicitement le champ d’application de la directive à plusieurs catégories d’acteurs indépendamment de leur taille. Seraient ainsi inclus les fournisseurs de portefeuilles européens d’identité numérique^[4], qualifiés d’entités essentielles, ainsi que les services dits « European Business Wallets ». Entreraient également dans le périmètre les exploitants d’infrastructures sous-marines de transmission de données, y compris lorsque l’entité exploitante ne répond pas, par ailleurs, aux critères classiques d’assujettissement. Ces ajouts confirment une évolution de NIS2 : la criticité d’une entité se détermine désormais davantage par son impact sur la continuité des services numériques que par sa taille.

 

2- Attaque par ransomware: une obligation d’information renforcée

Les attaques par ransomware comptent parmi les incidents les plus fréquents, notamment dans des secteurs sensibles comme la santé. La proposition de directive modifie l’article 23 de la directive NIS2 pour y ajouter une obligation renforcée d’information pesant sur les organismes en cas d’attaque par ransomware. Les organismes devront indiquer dans leur notification initiale si une attaque par ransomware a été détectée, son vecteur d’intrusion et les mesures d’atténuation mises en œuvre. Le nouveau paragraphe 13 est quant à lui plus sensible. Sur demande du CSIRT^[5], l’entité devra indiquer si une rançon a été exigée, identifier son auteur lorsqu’il est connu, et préciser si un paiement a été effectué, ainsi que, le cas échéant, son montant, ses modalités et l’identité du destinataire ou du bénéficiaire final.

La notification d’incident évolue ainsi vers un véritable outil d’investigation administrative : les autorités ne cherchent plus seulement à être informées de l’attaque, mais également à en comprendre les mécanismes et les modalités de financement, avec pour objectif le démantèlement des groupes criminels.

 

3- Une logique de simplification administrative pour l’écosystème concerné et accroissement du rôle de l’ENISA

La proposition de directive vise explicitement à réduire la charge administrative pesant sur les entités essentielles et importantes ainsi que sur leurs sous-traitants. D’une part, la Commission européenne entend encadrer les exigences documentaires imposées aux sous-traitants, aujourd’hui confrontés à une multiplication de questionnaires de sécurité et d’exigences contractuelles hétérogènes, en annonçant la publication de lignes directrices précisant un niveau approprié de détails et de format des demandes d’informations. D’autre part, afin d’éviter la répétition de démarches de conformité pour les groupes opérant dans plusieurs États membres, le texte introduit un mécanisme fondé sur la reconnaissance d’une certification, permettant aux entités concernées de ne plus avoir à justifier séparément leur conformité auprès de chaque autorité nationale compétente. Par ces deux leviers (harmonisation des exigences et reconnaissance mutuelle fondée sur la certification), la Commission cherche à alléger la pression normative globale sur les organisations soumises à la directive NIS2 comme sur leurs sous-traitants.

Enfin, dans la même logique d’harmonisation, la Commission prévoit d’élargir les compétences de l’ENISA, l’Agence de l’Union européenne pour la cybersécurité. Le nouvel article 37a lui confierait notamment la capacité d’analyser les risques cyber transfrontaliers affectant les entités essentielles et importantes, d’établir des rapports d’évaluation et d’élaborer des lignes directrices sur cette base. L’objectif est de renforcer la coordination européenne afin de permettre une réaction plus rapide et cohérente face aux incidents affectant plusieurs États membres.

 

4- Dans la continuité de l’Anssi : le développement d’une cryptographie résistante aux menaces quantiques

Selon la Commission européenne, les attaques dites HNDL (« Harvest now – decrypt later »), consistant à collecter aujourd’hui des données chiffrées afin de pouvoir les déchiffrer ultérieurement, ainsi que les perspectives d’attaques liées au développement de l’informatique quantique, justifient d’engager dès à présent la transition vers une cryptographie post-quantique (Post-Quantum Cryptography – PQC).

La proposition de directive invite ainsi les États membres à intégrer, au sein de leur stratégie nationale de cybersécurité, des politiques de migration vers la PQC. Il s’agit d’anticiper un risque futur mais crédible, susceptible d’affecter des données sensibles, notamment industrielles, financières ou de santé.

Concrètement, ces politiques devraient s’accompagner d’outils permettant d’évaluer l’exposition des actifs cryptographiques aux capacités futures des ordinateurs quantiques. Elles impliqueraient également l’élaboration de plans de migration, la conduite d’expérimentations et le déploiement progressif de solutions de cryptographie post-quantique au sein des applications et des réseaux.

Ces orientations doivent s’articuler avec les travaux européens existants, en particulier la feuille de route coordonnée adoptée en juin 2025 par le groupe de coopération NIS, qui fixe un calendrier indicatif de transition : migration des cas d’usage critiques à l’horizon 2030, puis des usages de sensibilité moyenne ou faible d’ici 2035.

Cette approche rejoint les recommandations déjà formulées par l’Anssi^[6], laquelle préconise, pour les systèmes destinés à protéger durablement des informations — notamment au-delà de 2030 — la définition d’une stratégie de transition progressive et, lorsque cela est pertinent, le recours à des mécanismes hybrides intégrant des briques post-quantiques.

La proposition confirme ainsi une évolution de la politique européenne de cybersécurité : au-delà de la gestion des incidents actuels, elle intègre la préparation aux menaces futures.

En conclusion, au-delà d’un simple ajustement technique, cette initiative révèle une tension désormais classique du droit de la cybersécurité : concilier un niveau élevé d’exigence en matière de sécurité avec la capacité des organisations à appliquer la norme en pratique.

L’initiative est louable, et vise clairement à corriger certaines lourdeurs administratives de NIS2, mais son calendrier interroge, alors même que la directive n’est pas encore transposée dans plusieurs États membres, dont la France. Dans l’intervalle, les acteurs devront continuer à se conformer au cadre actuel tout en anticipant ses évolutions. Plus que jamais, l’enjeu sera d’adopter une lecture pragmatique des textes afin que la conformité ne devienne pas un frein à leurs activités.

 

Sources

1. Commission européenne, Proposition de directive du Parlement européen et du Conseil modifiant la directive (UE) 2022/2555 en ce qui concerne des mesures de simplification et l’alignement avec la proposition de règlement relatif à la cybersécurité (Cybersecurity Act 2), 20 janvier 2026. ↩
2. Anssi, Simulateur NIS 2 : questionnaire d’auto-évaluation. ↩
3. Commission européenne, Commission Recommendation (EU) 2025/1099 of 21 May 2025 on the definition of small mid-cap enterprises. ↩
4. « European Digital Identity Wallets », tels que définis dans le règlement (UE) n° 910/2014. ↩
5. Computer Security Incident Response Team, l’équipe chargée de la gestion et de la coordination des incidents de cybersécurité ; en France, le CSIRT national est le CERT-FR, opéré par l’Anssi. ↩
6. Anssi, Avis sur la migration vers la cryptographie post-quantique. ↩

 

À propos de l’auteur

Alexandra Iteanu est avocate au Barreau de Paris et responsable du pôle Data et RGPD du cabinet ITEANU Avocats. Elle est spécialisé dans les domaines du numérique,  de la cybersécurité, de la data  et de l’IA.