NIS 2 et infogérants : ce que l'on sait au 15/11/2026

NIS 2 est une directive européenne sur la cybersécurité. Au 15/11/2026, sa transposition en droit français est toujours en cours, selon la page NIS 2 de l'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information. Pour un infogérant, deux questions se posent : votre propre entreprise est-elle concernée, et lesquels de vos clients le sont ? Cette page s'en tient à ce que disent les pages officielles lues ce jour ; elle ne remplace pas l'avis d'un juriste.

Ce que dit la Commission européenne

Selon la page de la Commission européenne consacrée à NIS 2 (relevée le 15/11/2026) :

• la directive est entrée en vigueur en janvier 2023 ;
• les États membres avaient jusqu'au 17/10/2024 pour la transposer ;
• elle a abrogé la directive précédente (NIS 1) à compter du 18/10/2024 ;
• elle couvre 18 secteurs critiques ;
• les entités de taille moyenne et grande doivent appliquer des mesures de gestion des risques de cybersécurité et notifier les incidents importants aux autorités nationales ;
• elle introduit la responsabilité de la haute direction en cas de non-respect des mesures de gestion des risques.

Où en est la France

Conséquence pratique : les obligations précises qui s'appliqueront en France ne sont pas encore fixées dans un texte définitif. Méfiez-vous des listes d'obligations présentées comme acquises.

Qui est concerné : catégories et seuils

La page de l'ANSSI distingue deux catégories :

Des exceptions existent, notamment pour les prestataires de services de confiance, les fournisseurs de DNS (service de noms de domaine), les registres de noms de domaine de premier niveau, les opérateurs de communications électroniques et l'administration publique.

L'ANSSI parle de « plusieurs milliers d'entités » réparties sur 18 secteurs : 11 « hautement critiques » et 7 « autres critiques ».

Et les infogérants ?

Parmi les secteurs hautement critiques, la page de l'ANSSI cite la « Gestion des services Technologies de l'information et de la Communication (interentreprises) ». Ce libellé peut viser des activités de gestion informatique pour d'autres entreprises. Mais les pages lues ne donnent pas la définition des activités couvertes : avant de conclure pour votre entreprise, passez le test d'éligibilité et faites-vous confirmer le résultat par un juriste. Gardez en tête les seuils : une petite structure sous les seuils de l'entité importante ne relève pas de ces catégories, sauf exception que seul le texte définitif précisera.

Les démarches proposées par l'ANSSI

1. Le test d'éligibilité en ligne indique si l'entité est régulée et dans quelle catégorie.
2. L'enregistrement : une entité dans le périmètre devra s'enregistrer auprès de l'ANSSI. Un pré-enregistrement est déjà proposé en ligne via le service « Pré-enregistrer mon entité » sur club.ssi.gouv.fr.

Aider vos clients sans leur dire ce que vous ne savez pas

Pour chaque client, vous pouvez faire trois choses utiles dès maintenant :

• Trier : noter l'effectif, le chiffre d'affaires et le secteur, puis l'inviter à passer le test d'éligibilité.
• Documenter : tenir l'inventaire de ses services numériques, y compris son assistant IA : où il est hébergé, qui l'administre, quels journaux existent. Les réponses de l'éditeur à votre questionnaire de sécurité servent ici.
• Préparer la notification d'incident : savoir qui prévient qui. La directive prévoit de notifier les incidents importants ; les délais applicables en France seront fixés par le texte de transposition.

Tout cela sert aussi pour un client non concerné : c'est de l'hygiène de base, que vous retrouvez dans le plan de continuité, la journalisation et la gestion des départs de salariés.

Vérifiez la date en tête de cette page : tout ce qui précède décrit la situation au 15/11/2026.