Directive (UE) 2022/2555 · NIS2

Une conformité NIS2 que vous pouvez prouver.

De l'analyse de périmètre aux dix mesures minimales, jusqu'au signalement à votre autorité de surveillance : la SwissGRC® Platform rend votre mise en œuvre du NIS2 structurée, traçable et prête pour l'audit.

Vérification du périmètre

Le NIS2 s'applique-t-il à votre organisation ?

Trois informations suffisent pour une première évaluation structurée : localisation, secteur et taille de l'entreprise. Directement ici, sans formulaire.

1 · Localisation
2 · Secteur
3 · Taille
Résultat
Où votre organisation opère-t-elle principalement ?
Ce qui compte, c'est l'endroit où vous fournissez vos services ou où vous êtes établi.

Cette première évaluation se base sur les critères principaux de la directive (UE) 2022/2555 et de ses transpositions nationales. Les cas particuliers, comme les entités couvertes indépendamment de leur taille (par ex. services de confiance, DNS, TLD, réseaux de communication publics) et la législation sectorielle spécifique (par ex. le DORA dans le secteur financier), nécessitent un examen séparé. Elle ne remplace pas un conseil juridique.

Échéances et feuille de route

Le NIS2 dans la région DACH : le compte à rebours est lancé.

Trois pays, trois rythmes. Choisissez votre pays et découvrez quelles échéances sont déjà en cours et ce qui arrive ensuite.

Compte à rebours : NISG 2026 en Autriche
0Jours
0Heures
0Min
0Sec
06.12.2025
La loi de transposition du NIS2 entre en vigueur
Le NIS2UmsuCG s'applique sans période de transition. Les exigences sont ancrées dans la loi BSI révisée. Environ 29 500 entreprises sont concernées.
En vigueur
06.03.2026
Enregistrement obligatoire auprès du BSI
Le délai légal d'enregistrement auprès du BSI (portail actif depuis le 6 janv. 2026) est dépassé. Le BSI accorde aux retardataires une période de tolérance jusqu'au 31 juillet 2026, mais un enregistrement tardif reste passible d'amendes.
Période de tolérance jusqu'au 31 juil. 2026
En continu
Gestion des risques, obligations de signalement, preuves
Les mesures au titre de l'art. 21 et l'obligation de signalement en trois étapes (24h, 72h, 1 mois) s'appliquent. L'autorité de surveillance peut exiger des preuves, et la direction est responsable de la mise en œuvre.
Actif
Décembre 2028
Échéance de preuve pour les entités particulièrement importantes
Les entités particulièrement importantes doivent démontrer au BSI la mise en œuvre des mesures de gestion des risques dans les trois ans suivant l'entrée en vigueur de la loi.
À préparer
23.12.2025
Promulgation de la NISG 2026
L'Autriche adopte sa transposition du NIS2. Une nouvelle autorité centrale est créée, l'Office fédéral de la cybersécurité. Environ 4 000 entreprises sont directement concernées.
Adoptée
01.10.2026
Entrée en vigueur : toutes les obligations s'appliquent
Les mesures de gestion des risques, les obligations de signalement et l'obligation de formation des organes de direction deviennent contraignantes. L'ancienne NISG 2018 est abrogée.
Date clé
31.12.2026
Délai d'enregistrement
Les entités essentielles et importantes doivent être enregistrées auprès de l'Office fédéral de la cybersécurité. La classification se fait par auto-évaluation, et il n'existe pas de privilège de groupe.
30.09.2027
Auto-déclaration
Dans les douze mois suivant la naissance de l'obligation d'enregistrement, une auto-déclaration structurée doit être soumise : mesures mises en œuvre, résultats de l'analyse de risque, sécurité de la chaîne d'approvisionnement.
01.10.2028
Audits réglementaires possibles
À partir de deux ans après l'entrée en vigueur, l'autorité de cybersécurité peut exiger des preuves et ordonner des audits par des organismes indépendants, pour les entités importantes sur une base réactive, déclenchée par des événements.
À préparer
01.04.2025
Obligation de signalement au titre de la LSI
Les cyberattaques contre les infrastructures critiques doivent être signalées à l'Office fédéral de la cybersécurité (OFCS) dans un délai de 24 heures. La Suisse suit sa propre voie, dans un esprit proche du NIS2.
En vigueur
En continu
Le NIS2 se transmet via la chaîne d'approvisionnement
Les entreprises suisses ayant des clients ou des établissements dans l'UE reçoivent les exigences du NIS2 de façon indirecte : via des questionnaires de sécurité, des clauses contractuelles et des obligations de preuve émanant de leurs partenaires commerciaux concernés.
Pertinent pour les exportateurs et fournisseurs
16.01.2023
La directive (UE) 2022/2555 entre en vigueur
Le NIS2 remplace la directive NIS de 2016, étend le périmètre à 18 secteurs et renforce la surveillance et les sanctions.
18.10.2024
Début de l'application
Les États membres devaient transposer la directive en droit national avant le 17 oct. 2024. Beaucoup s'y sont pris tardivement, et la mise en œuvre progresse depuis, pays par pays.
En continu
Transpositions nationales et actes d'exécution
Pour certains services numériques, le règlement d'exécution de la Commission précise en détail les exigences de sécurité. Au niveau national, les délais, les autorités et la terminologie diffèrent, ce qui est particulièrement exigeant pour les groupes présents dans plusieurs pays de l'UE.

Situation en juillet 2026. Les échéances et la pratique réglementaire évoluent en continu ; les textes juridiques respectifs et les communications officielles font foi.

Art. 21(2) · Les mesures obligatoires

Dix mesures, un seul système.

Le NIS2 exige de chaque entité concernée la mise en œuvre de dix mesures minimales, de l'analyse de risque à l'authentification multifacteur. Parcourez-les : ce que la directive exige et comment vous le mettez en œuvre sur la SwissGRC® Platform.

Art. 23 · Obligation de signalement pour les incidents importants
Trois délais à respecter le moment venu.
24h
Alerte précoce

Sans délai injustifié après en avoir eu connaissance : notification initiale à l'autorité compétente ou au CSIRT, y compris tout soupçon d'acte illicite ou d'impact transfrontalier.

72h
Notification

Évaluation structurée de l'incident : gravité, impact et, si disponibles, indicateurs de compromission.

1 mois
Rapport final

Description détaillée de l'incident, de ses causes et des mesures correctives prises. Rapports intermédiaires sur demande.

FAQ

Foire aux questions

Les questions que les entreprises nous posent le plus souvent lors de la mise en place de leur solution NIS2. Des réponses directes, sans détour.

En principe, les moyennes et grandes entreprises (50 employés ou plus, ou plus de 10 millions d'euros de chiffre d'affaires) des 18 secteurs des annexes I et II, de l'énergie et de la santé à l'industrie manufacturière. Certains services tels que le DNS, les TLD ou les services de confiance sont couverts quelle que soit leur taille, et les obligations relatives à la chaîne d'approvisionnement étendent aussi les exigences aux fournisseurs qui ne sont pas directement réglementés. Le moyen le plus rapide de vous situer est la vérification du périmètre en haut de cette page.
Les incidents importants doivent être signalés en trois étapes (art. 23) : une alerte précoce dans les 24 heures, une notification détaillée dans les 72 heures et un rapport final au plus tard un mois après l'alerte précoce. Sur la SwissGRC® Platform, vous définissez le processus de signalement sous forme de workflow avec délais, responsables et modèles, afin que le moment venu, personne n'ait à se demander qui signale quoi et à quelle échéance.
Plus vite que ce que la plupart imaginent. La SwissGRC® Platform est livrée avec un contenu NIS2 pré-structuré, vous ne partez donc pas de zéro. Les premiers résultats, comme l'évaluation de référence et un plan d'action priorisé, sont visibles en quelques jours, et un déploiement type prend quelques semaines selon le périmètre et les modules. Notre onboarding vous guide étape par étape.
Les preuves sont rattachées directement à l'exigence ou à la mesure : documents, comptes-rendus, captures d'écran, références. Chaque version est conservée, et chaque modification est journalisée avec l'utilisateur et l'horodatage. Le résultat est une piste complète, à l'épreuve de l'audit. Lorsque l'autorité de surveillance ou un auditeur demande des preuves, vous exportez l'état actuel en un clic au lieu de fouiller dans des dossiers et des boîtes mail.
La licence est modulaire et transparente : vous payez pour les modules que vous utilisez, à l'échelle de la taille de votre organisation. Il n'y a pas de coûts cachés ni d'obligation d'acheter la suite complète. Comme la configuration adaptée dépend du point de départ, nous préparons un devis concret après un court entretien. Contacter les ventes

Pour la directive elle-même, y compris les secteurs, les sanctions et les délais, consultez la vérification du périmètre et la feuille de route ci-dessus.

N'implémentez pas seulement NIS2.
Prouvez-le.

Découvrez comment des organisations à travers l'Europe structurent, mettent en œuvre et documentent leurs obligations NIS2 avec la SwissGRC® Platform, prêtes pour les autorités et les auditeurs.