# Directive sur la sécurité des réseaux et de l'information (NIS2) > Swiss GRC explique comment la SwissGRC® Platform aide les organisations soumises à NIS2 à appliquer les dix mesures minimales, à prouver leur conformité et à signaler les incidents. Avec vérification du périmètre et échéances DACH. - URL: https://swissgrc.com/fr/network-information-security-directive-nis2/ - Éditeur: SwissGRC® - Publié: 2024-06-18 - Dernière mise à jour: 2026-09-21 ## Points clés - La directive (UE) 2022/2555 (NIS2) est entrée en vigueur le 16.01.2023, remplace la directive NIS de 2016 et étend le périmètre à 18 secteurs. - L'art. 21(2) du NIS2 exige de chaque entité concernée dix mesures minimales, de l'analyse de risque à l'authentification multifacteur. - L'art. 23 impose pour les incidents importants une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final au plus tard un mois après l'alerte précoce. - La SwissGRC® Platform est livrée avec un contenu NIS2 pré-structuré. Les premiers résultats sont visibles en quelques jours, un déploiement type prend quelques semaines selon le périmètre et les modules. - Sur la SwissGRC® Platform, les preuves sont rattachées à l'exigence ou à la mesure, chaque version est conservée et chaque modification est journalisée avec l'utilisateur et l'horodatage. - En Suisse, la LSI impose depuis le 01.04.2025 de signaler les cyberattaques contre les infrastructures critiques à l'OFCS dans un délai de 24 heures. Directive (UE) 2022/2555 · NIS2 # Une conformité NIS2 que vous pouvez prouver. De l'analyse de périmètre aux dix mesures minimales, jusqu'au signalement à votre autorité de surveillance : la SwissGRC® Platform rend votre mise en œuvre du NIS2 structurée, traçable et prête pour l'audit. Vérifiez si vous êtes concerné Demander une démo Vérification du périmètre ## Le NIS2 s'applique-t-il à votre organisation ? Trois informations suffisent pour une première évaluation structurée : localisation, secteur et taille de l'entreprise. Directement ici, sans formulaire. 1 · Localisation 2 · Secteur 3 · Taille Résultat Où votre organisation opère-t-elle principalement ? Ce qui compte, c'est l'endroit où vous fournissez vos services ou où vous êtes établi. Dans quel secteur opérez-vous ? Le NIS2 distingue les secteurs hautement critiques (annexe I) et les autres secteurs critiques (annexe II). Annexe I · **Hautement critique** Annexe II · **Autres secteurs critiques** Ou Quelle est la taille de votre organisation ? Selon la définition PME de l'UE : effectif, chiffre d'affaires ou total de bilan. Cette première évaluation se base sur les critères principaux de la directive (UE) 2022/2555 et de ses transpositions nationales. Les cas particuliers, comme les entités couvertes indépendamment de leur taille (par ex. services de confiance, DNS, TLD, réseaux de communication publics) et la législation sectorielle spécifique (par ex. le DORA dans le secteur financier), nécessitent un examen séparé. Elle ne remplace pas un conseil juridique. Échéances et feuille de route ## Le NIS2 dans la région DACH : le compte à rebours est lancé. Trois pays, trois rythmes. Choisissez votre pays et découvrez quelles échéances sont déjà en cours et ce qui arrive ensuite. Compte à rebours : NISG 2026 en Autriche **0**Jours **0**Heures **0**Min **0**Sec 06.12.2025 La loi de transposition du NIS2 entre en vigueur Le NIS2UmsuCG s'applique sans période de transition. Les exigences sont ancrées dans la loi BSI révisée. Environ 29 500 entreprises sont concernées. En vigueur 06.03.2026 Enregistrement obligatoire auprès du BSI Le délai légal d'enregistrement auprès du BSI (portail actif depuis le 6 janv. 2026) est dépassé. Le BSI accorde aux retardataires une période de tolérance jusqu'au 31 juillet 2026, mais un enregistrement tardif reste passible d'amendes. Période de tolérance jusqu'au 31 juil. 2026 En continu Gestion des risques, obligations de signalement, preuves Les mesures au titre de l'art. 21 et l'obligation de signalement en trois étapes (24h, 72h, 1 mois) s'appliquent. L'autorité de surveillance peut exiger des preuves, et la direction est responsable de la mise en œuvre. Actif Décembre 2028 Échéance de preuve pour les entités particulièrement importantes Les entités particulièrement importantes doivent démontrer au BSI la mise en œuvre des mesures de gestion des risques dans les trois ans suivant l'entrée en vigueur de la loi. À préparer 23.12.2025 Promulgation de la NISG 2026 L'Autriche adopte sa transposition du NIS2. Une nouvelle autorité centrale est créée, l'Office fédéral de la cybersécurité. Environ 4 000 entreprises sont directement concernées. Adoptée 01.10.2026 Entrée en vigueur : toutes les obligations s'appliquent Les mesures de gestion des risques, les obligations de signalement et l'obligation de formation des organes de direction deviennent contraignantes. L'ancienne NISG 2018 est abrogée. Date clé 31.12.2026 Délai d'enregistrement Les entités essentielles et importantes doivent être enregistrées auprès de l'Office fédéral de la cybersécurité. La classification se fait par auto-évaluation, et il n'existe pas de privilège de groupe. 30.09.2027 Auto-déclaration Dans les douze mois suivant la naissance de l'obligation d'enregistrement, une auto-déclaration structurée doit être soumise : mesures mises en œuvre, résultats de l'analyse de risque, sécurité de la chaîne d'approvisionnement. 01.10.2028 Audits réglementaires possibles À partir de deux ans après l'entrée en vigueur, l'autorité de cybersécurité peut exiger des preuves et ordonner des audits par des organismes indépendants, pour les entités importantes sur une base réactive, déclenchée par des événements. À préparer 01.04.2025 Obligation de signalement au titre de la LSI Les cyberattaques contre les infrastructures critiques doivent être signalées à l'Office fédéral de la cybersécurité (OFCS) dans un délai de 24 heures. La Suisse suit sa propre voie, dans un esprit proche du NIS2. En vigueur En continu Le NIS2 se transmet via la chaîne d'approvisionnement Les entreprises suisses ayant des clients ou des établissements dans l'UE reçoivent les exigences du NIS2 de façon indirecte : via des questionnaires de sécurité, des clauses contractuelles et des obligations de preuve émanant de leurs partenaires commerciaux concernés. Pertinent pour les exportateurs et fournisseurs 16.01.2023 La directive (UE) 2022/2555 entre en vigueur Le NIS2 remplace la directive NIS de 2016, étend le périmètre à 18 secteurs et renforce la surveillance et les sanctions. 18.10.2024 Début de l'application Les États membres devaient transposer la directive en droit national avant le 17 oct. 2024. Beaucoup s'y sont pris tardivement, et la mise en œuvre progresse depuis, pays par pays. En continu Transpositions nationales et actes d'exécution Pour certains services numériques, le règlement d'exécution de la Commission précise en détail les exigences de sécurité. Au niveau national, les délais, les autorités et la terminologie diffèrent, ce qui est particulièrement exigeant pour les groupes présents dans plusieurs pays de l'UE. Situation en juillet 2026. Les échéances et la pratique réglementaire évoluent en continu ; les textes juridiques respectifs et les communications officielles font foi. Art. 21(2) · Les mesures obligatoires ## Dix mesures, un seul système. Le NIS2 exige de chaque entité concernée la mise en œuvre de dix mesures minimales, de l'analyse de risque à l'authentification multifacteur. Parcourez-les : ce que la directive exige et comment vous le mettez en œuvre sur la SwissGRC® Platform. Art. 23 · Obligation de signalement pour les incidents importants Trois délais à respecter le moment venu. 24h Alerte précoce Sans délai injustifié après en avoir eu connaissance : notification initiale à l'autorité compétente ou au CSIRT, y compris tout soupçon d'acte illicite ou d'impact transfrontalier. 72h Notification Évaluation structurée de l'incident : gravité, impact et, si disponibles, indicateurs de compromission. 1 mois Rapport final Description détaillée de l'incident, de ses causes et des mesures correctives prises. Rapports intermédiaires sur demande. FAQ ## Foire aux questions Les questions que les entreprises nous posent le plus souvent lors de la mise en place de leur solution NIS2. Des réponses directes, sans détour. En principe, les moyennes et grandes entreprises (50 employés ou plus, ou plus de 10 millions d'euros de chiffre d'affaires) des **18 secteurs des annexes I et II**, de l'énergie et de la santé à l'industrie manufacturière. Certains services tels que le DNS, les TLD ou les services de confiance sont couverts quelle que soit leur taille, et les obligations relatives à la chaîne d'approvisionnement étendent aussi les exigences aux fournisseurs qui ne sont pas directement réglementés. Le moyen le plus rapide de vous situer est la vérification du périmètre en haut de cette page. Les incidents importants doivent être signalés en trois étapes (art. 23) : une **alerte précoce dans les 24 heures**, une notification détaillée dans les 72 heures et un rapport final au plus tard un mois après l'alerte précoce. Sur la SwissGRC® Platform, vous définissez le processus de signalement sous forme de workflow avec délais, responsables et modèles, afin que le moment venu, personne n'ait à se demander qui signale quoi et à quelle échéance. Plus vite que ce que la plupart imaginent. La SwissGRC® Platform est livrée avec un **contenu NIS2 pré-structuré**, vous ne partez donc pas de zéro. Les premiers résultats, comme l'évaluation de référence et un plan d'action priorisé, sont visibles en quelques jours, et un déploiement type prend quelques semaines selon le périmètre et les modules. Notre onboarding vous guide étape par étape. Les preuves sont rattachées **directement à l'exigence ou à la mesure** : documents, comptes-rendus, captures d'écran, références. Chaque version est conservée, et chaque modification est journalisée avec l'utilisateur et l'horodatage. Le résultat est une piste complète, à l'épreuve de l'audit. Lorsque l'autorité de surveillance ou un auditeur demande des preuves, vous exportez l'état actuel en un clic au lieu de fouiller dans des dossiers et des boîtes mail. La licence est **modulaire et transparente** : vous payez pour les modules que vous utilisez, à l'échelle de la taille de votre organisation. Il n'y a pas de coûts cachés ni d'obligation d'acheter la suite complète. Comme la configuration adaptée dépend du point de départ, nous préparons un devis concret après un court entretien. [Contacter les ventes](https://swissgrc.com/fr/fr/sales/) Pour la directive elle-même, y compris les secteurs, les sanctions et les délais, consultez la vérification du périmètre et la feuille de route ci-dessus. ## N'implémentez pas seulement NIS2. Prouvez-le. Découvrez comment des organisations à travers l'Europe structurent, mettent en œuvre et documentent leurs obligations NIS2 avec la SwissGRC® Platform, prêtes pour les autorités et les auditeurs. [Demander une démo](https://swissgrc.com/fr/fr/demo/) [Contacter les ventes](https://swissgrc.com/fr/fr/sales/) ## Questions fréquentes ### Qui est concerné par la directive NIS2 ? En principe, les moyennes et grandes entreprises (50 employés ou plus, ou plus de 10 millions d'euros de chiffre d'affaires) des 18 secteurs des annexes I et II. Certains services comme le DNS, les TLD ou les services de confiance sont couverts quelle que soit leur taille. ### Quels sont les délais de signalement d'un incident selon NIS2 ? Selon l'art. 23, une alerte précoce est requise dans les 24 heures, une notification détaillée dans les 72 heures et un rapport final au plus tard un mois après l'alerte précoce. Sur la SwissGRC® Platform, le processus se définit sous forme de workflow avec délais, responsables et modèles. ### Combien de temps faut-il pour mettre en place NIS2 avec la SwissGRC® Platform ? La plateforme est livrée avec un contenu NIS2 pré-structuré. L'évaluation de référence et un plan d'action priorisé sont visibles en quelques jours, et un déploiement type prend quelques semaines selon le périmètre et les modules. ### Comment prouver sa conformité NIS2 à une autorité ou à un auditeur ? Les documents, comptes-rendus, captures d'écran et références sont rattachés directement à l'exigence ou à la mesure. Chaque version est conservée et les modifications sont journalisées, ce qui permet d'exporter l'état actuel en un clic. ### Comment la licence de la SwissGRC® Platform est-elle calculée ? La licence est modulaire : le client paie les modules utilisés, à l'échelle de la taille de son organisation, sans obligation d'acheter la suite complète. Swiss GRC prépare un devis concret après un court entretien.