Directive NIS2 : comment protéger vos applications web et API ?

État des lieux au 2 septembre 2026 : Le calendrier de transposition de NIS2 en France reste en mouvement. Les affirmations juridiques de cet article reflètent l’état du droit à cette date. Elles seront révisées à la promulgation effective de la loi Résilience et à la publication de ses décrets d’application.

La directive NIS2 marque une évolution majeure de la réglementation européenne en matière de cybersécurité. Elle élargit fortement le nombre d’organisations concernées et impose une véritable démarche de gestion des risques, plutôt qu’une simple conformité documentaire, allant au-delà des seules obligations légales déjà connues des grandes entreprises. Les applications web et les API, devenues des cibles privilégiées des cyberattaques, sont au cœur de ces nouvelles exigences, car elles concentrent les données des utilisateurs et des clients. Nous vous proposons de comprendre ce que change NIS2, qui est concerné, comment évaluer sa conformité, et comment une solution WAAP comme UBIKA permet de répondre à plusieurs de ses exigences techniques tout en protégeant l’expérience des utilisateurs.

Qu’est-ce que la directive NIS2 ? Signification

Adoptée par l’Union européenne en décembre 2022, NIS2 (directive UE 2022/2555) est l’évolution de la première directive NIS, conçue pour renforcer le niveau global de cybersécurité au sein de l’Union européenne. En France, c’est l’Agence nationale de la sécurité des systèmes d’information (ANSSI) qui pilote sa mise en œuvre. Elle élargit considérablement le champ des organisations concernées, qui ne se limitent plus aux grands opérateurs de services essentiels historiquement visés par NIS1, et impose une approche de gestion des risques plutôt qu’une simple conformité documentaire.

Pourquoi cette nouvelle réglementation est-elle importante ?

NIS2 répond à une réalité devenue incontournable : les cyberattaques touchent désormais autant les PME et ETI que les grands groupes ou les infrastructures critiques historiquement visées par NIS1. En élargissant son périmètre et en imposant une logique de gestion des risques plutôt qu’une conformité purement documentaire, la directive vise à relever le niveau de cybersécurité de l’ensemble du tissu économique européen, plutôt que de se concentrer sur un nombre restreint d’acteurs jugés stratégiques.

Au-delà des organisations elles-mêmes, c’est la sécurité des utilisateurs et des clients de ces services qui est visée en premier lieu.

ANSSI et NIS 2 : où en est la transposition en France ?

L’échéance de transposition fixée par l’Union européenne était le 17 octobre 2024, mais la France, comme la majorité des États membres, n’a pas respecté ce délai. La transposition doit se faire via le projet de loi Résilience, qui transpose NIS2 et la directive REC, et complète en droit national les dispositions d’application du règlement DORA pour le secteur financier. Son examen parlementaire a connu plusieurs reports, et la date d’entrée en vigueur définitive reste incertaine à ce stade. En attendant, l’ANSSI a publié le Référentiel Cyber France (ReCyF), dans une version de travail datée de mars 2026, qui constitue déjà une feuille de route utile pour anticiper sa mise en conformité.

Au niveau européen, le réseau CyCLONe assure par ailleurs la coordination de la gestion de crise en cas d’incident cyber majeur affectant plusieurs États membres.

Qui est concerné par la directive NIS2 ?

NIS2 distingue deux catégories d’entités régulées, selon le niveau de criticité de leur secteur d’activité.

Les entités essentielles et les entités importantes

Les entités essentielles relèvent de secteurs hautement critiques comme l’énergie, la santé, les transports ou l’eau. Les entités importantes couvrent des secteurs secondaires comme la chimie, l’alimentation ou la fabrication. Ces deux catégories n’obéissent pas au même régime de contrôle ni au même barème de sanctions, les entités essentielles étant soumises à des exigences et des contrôles plus stricts.

Ces services sont utilisés quotidiennement par des millions d’utilisateurs, ce qui justifie un tel niveau d’exigence.

Un périmètre bien plus large que sous NIS1

Sont désormais concernés, au-delà des secteurs critiques historiques :

• Le secteur public : administrations publiques, collectivités territoriales.
• Les secteurs numériques et industriels : services numériques, industrie, chimie, fabrication.
• Les infrastructures des marchés financiers et les acteurs de la distribution des eaux potables, désormais couverts par le texte.
• De nombreuses entreprises privées, y compris des PME et ETI qui n’étaient pas couvertes par NIS1.

Le changement d’échelle est important : l’ANSSI estime le nombre d’entités concernées en France entre 15 000 et 18 000, contre environ 500 sous NIS1. Le critère de taille retenu s’appuie généralement sur un chiffre d’affaires annuel supérieur à 10 millions d’euros ou un effectif dépassant 50 salariés, sauf exceptions sectorielles.

Quelles sont les principales obligations pour les entreprises ?

NIS2 ne se limite pas à une liste de cases à cocher : elle impose une approche de gestion des risques, avec des mesures adaptées à l’activité et à l’exposition de chaque organisation.

L’objectif final reste la protection des utilisateurs et la continuité des services qu’ils utilisent au quotidien.

Les grandes familles d’obligations

NIS2 structure ses exigences autour de plusieurs grandes familles d’obligations, que chaque organisation doit décliner selon son contexte :

• La gestion des risques cyber, avec une analyse de risques continue face à la menace cyber, plutôt qu’un audit ponctuel.
• La protection des systèmes d’information, incluant les mesures techniques et organisationnelles adaptées, comme le contrôle d’accès et la protection des données.
• La détection des incidents, avec une capacité de surveillance continue du système d’information.
• La continuité d’activité, avec un plan de continuité formalisé pour limiter l’impact d’une attaque sur le fonctionnement de l’organisation.
• La gestion des vulnérabilités, avec un suivi régulier des failles logicielles.
• La sécurisation de la chaîne d’approvisionnement (supply chain), y compris les prestataires et fournisseurs tiers.
• La sensibilisation des équipes, via un programme de sensibilisation régulier destiné à l’ensemble du personnel, de la direction générale aux équipes opérationnelles.

Ces obligations se déclinent différemment selon la taille et la criticité de chaque organisation, mais elles partagent toutes une même logique : anticiper les risques plutôt que réagir après une attaque.

L’enregistrement et la notification d’incidents

Les entités concernées devront s’enregistrer auprès de l’ANSSI, et notifier tout incident important selon un mécanisme précis : une alerte précoce sous 24 heures après détection, suivie d’une notification complète sous 72 heures.

Cette obligation suppose une véritable capacité de réaction aux incidents, incluant un plan de communications de crise et des exercices réguliers de gestion de crise pour tester la réactivité des équipes.

Comment réaliser un audit de conformité NIS2 ?

Réaliser un audit de conformité NIS2, au-delà des obligations légales minimales, suit généralement une progression en plusieurs étapes clés :

• Déterminer son statut (entité essentielle ou importante) et son périmètre d’application, notamment via les outils de simulation mis à disposition par l’ANSSI.
• Cartographier les systèmes d’information critiques, incluant les applications, API et prestataires impliqués dans l’activité.
• Évaluer les écarts (gap analysis) entre les pratiques existantes et les objectifs du ReCyF ou de la directive, à l’aide d’une comparaison de référentiels lorsque plusieurs approches coexistent (ISO 27001, ReCyF, etc.).
• Prioriser un plan d’action, en tenant compte des ressources disponibles et du niveau de risque de chaque écart identifié.
• Mettre en place des indicateurs de suivi, pour mesurer dans le temps la progression de sa mise en conformité.
• Documenter la démarche, pour être en mesure de justifier ses choix en cas de contrôle par l’autorité compétente.

Cette démarche structurée permet d’aborder sa mise en conformité de façon méthodique, plutôt que de multiplier des actions ponctuelles sans vision d’ensemble.

Même sans obligation légale immédiate, réaliser cet état des lieux dès aujourd’hui permet d’anticiper un délai de mise en conformité souvent estimé à plusieurs mois, voire plusieurs années pour les organisations les moins matures sur ces sujets.

Quels sont les meilleurs logiciels pour se conformer à la directive NIS2 ?

Il n’existe pas un logiciel unique permettant d’être conforme à NIS2.

La conformité repose plutôt sur une combinaison d’outils, couvrant différents volets de la directive :

• Les outils de gestion des risques (GRC), pour structurer et documenter sa démarche de conformité, incluant un programme de sensibilisation du personnel.
• Les solutions de détection et de réponse (SIEM, EDR/XDR), pour la surveillance continue et la détection d’incidents.
• Les solutions de gestion des identités et des accès (IAM), en lien avec les exigences d’authentification renforcée.
• Les plateformes de protection des applications et API (WAAP), véritables pare-feu applicatifs nouvelle génération, pour sécuriser les surfaces d’attaque exposées sur Internet et assurer la protection des données des utilisateurs.
• Les outils de gestion des vulnérabilités, pour le suivi régulier des failles logicielles.

Chacune de ces catégories répond à un volet spécifique de la directive, et c’est généralement leur combinaison qui permet de couvrir l’ensemble des exigences attendues.

Pourquoi les applications web et les API sont-elles au cœur de NIS2 ?

Les applications web et les API constituent aujourd’hui les principales surfaces d’attaque des organisations, pour plusieurs raisons :

• Une exposition directe sur Internet, qui en fait des points d’entrée facilement accessibles pour un attaquant.
• Une multiplication des points d’entrée, chaque nouvelle application ou API représentant un vecteur d’accès potentiel pour l’entreprise.
• Une richesse de données transitant par ces canaux, notamment des données personnelles des utilisateurs, ce qui en fait des cibles privilégiées pour l’exfiltration.
• Un rôle central dans la continuité de service, une interruption prolongée pouvant directement affecter l’activité de l’organisation et l’expérience des utilisateurs.

Protéger ces surfaces d’attaque n’est donc pas une option annexe dans une démarche NIS2, mais un point central pour répondre aux exigences de prévention, de détection et de résilience imposées par la directive. Ces exigences rejoignent celles de la souveraineté numérique : savoir où sont traitées les données, et sous quelle juridiction, conditionne aussi la capacité à démontrer sa conformité.

Comment un WAAP aide-t-il à répondre aux exigences de NIS2 ?

Une plateforme WAAP comme UBIKA Cloud Protector ou UBIKA WAAP Gateway contribue à répondre à plusieurs objectifs de NIS2, sans pour autant constituer à elle seule une conformité complète. Le choix de la plateforme compte : une certification CSPN de l’ANSSI apporte une validation indépendante du niveau de sécurité réel de la solution retenue.

Elle agit en filtrant les menaces avant qu’elles n’atteignent les applications, sans dégrader l’expérience des utilisateurs légitimes.

Les fonctionnalités d’un WAAP au service de la conformité NIS2

Concrètement, une plateforme WAAP répond à plusieurs volets techniques de la directive :

• La protection des applications web, grâce à un pare-feu applicatif (Web Application Firewall ou WAF) qui filtre le trafic malveillant avant qu’il n’atteigne les utilisateurs.
• La sécurité des API, avec une validation stricte des échanges, une protection des données transmises et une protection contre les vulnérabilités connues (OWASP API Top 10).
• La protection contre les bots et les attaques automatisées, pour limiter les tentatives d’intrusion ou de fraude à grande échelle.
• La protection contre les attaques DDoS applicatives, pour préserver la continuité de service exigée par la directive.
• L’analyse comportementale du trafic, qui contribue directement à l’exigence de détection des incidents et renforce la réaction aux incidents.
• La visibilité sur les attaques, via des tableaux de bord et des journaux de sécurité exploitables en cas de contrôle ou d’audit.

Ces fonctionnalités couvrent ainsi plusieurs volets techniques de la directive, de la prévention à la détection, en passant par la protection en temps réel.

Les limites d’un WAAP dans une démarche NIS2

Un WAAP ne couvre pas l’ensemble des exigences de NIS2. Les volets organisationnels, la gouvernance ou la sécurisation complète de la chaîne d’approvisionnement restent hors de son périmètre, et nécessitent d’autres briques (GRC, IAM, politiques internes) pour être traités correctement. Un simple pare-feu périmétrique ne suffit plus : chaque entreprise doit combiner plusieurs approches complémentaires pour couvrir l’ensemble des exigences de la directive. Il constitue néanmoins un élément technique important sur les volets prévention, détection et protection applicative, qui restent centraux dans la directive.

Pourquoi anticiper sa mise en conformité dès aujourd’hui ?

Plusieurs éléments concrets incitent à ne pas attendre la promulgation de la loi française pour se mettre en ordre de marche :

• Un délai de mise en conformité conséquent : la conformité complète est attendue pour fin 2027, mais le travail nécessaire est estimé à plusieurs mois, voire plusieurs années pour les organisations les moins matures sur ces sujets.
• Des sanctions financières significatives : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, un montant suffisant pour justifier d’anticiper plutôt que de subir.
• Une responsabilité personnelle des dirigeants, engagée en cas de manquement avéré, ce qui dépasse le seul enjeu financier pour l’organisation.
• Une échéance qui approche : dès la promulgation de la loi Résilience (attendue courant automne 2026 sous réserve du calendrier parlementaire), les entités concernées devront s’enregistrer auprès de l’ANSSI et pourront être soumises à des obligations de notification d’incidents. Anticiper permet d’éviter l’effet ciseau entre publication de la loi et délai réel de mise en conformité.

En cas de non-respect de ces obligations, au-delà des sanctions financières déjà mentionnées, la confiance des clients peut également être affectée durablement.

Une organisation concernée qui subirait une attaque aujourd’hui, sans dispositif de réaction aux incidents adapté, s’expose donc à un constat immédiat de non-conformité, bien avant l’échéance de fin 2027. Dans les faits, ce sont souvent les utilisateurs eux-mêmes qui subissent en premier les conséquences d’une telle défaillance.

Questions fréquentes

Directive SRI 2 : est-ce la même chose que NIS2 ?

Oui, « directive SRI 2 » et « NIS2 » désignent exactement la même directive. SRI signifie « Sécurité des Réseaux et de l’Information », c’est l’appellation officielle en français, tandis que « NIS2 » reprend l’acronyme anglais (Network and Information Security 2). Les deux termes sont donc interchangeables et font référence au même texte européen, la directive (UE) 2022/2555.

Quelle est la date d’application de NIS2 ?

L’échéance de transposition fixée par l’Union européenne était le 17 octobre 2024, mais la France, comme la majorité des États membres, n’a pas respecté ce délai. La transposition doit se faire via le projet de loi Résilience, dont l’examen parlementaire a connu plusieurs reports, la date d’entrée en vigueur définitive restant incertaine à ce stade. En attendant la promulgation, le Référentiel Cyber France (ReCyF) publié par l’ANSSI constitue déjà une feuille de route opérationnelle pour anticiper sa mise en conformité.

Qu’est-ce que le ReCyF de l’ANSSI ?

Le ReCyF (Référentiel Cyber France) est un document publié par l’ANSSI qui détaille les objectifs de sécurité attendus dans le cadre de NIS2, ainsi que des moyens acceptables de conformité pour les atteindre. Il applique un principe de proportionnalité, adapté à la taille et à la criticité de chaque organisation. En l’absence de loi définitivement promulguée en France, c’est aujourd’hui le document le plus concret pour structurer sa démarche de mise en conformité.

Où trouver le texte officiel de la directive NIS2 ?

Plutôt que de multiplier les recherches sur les moteurs de recherche, mieux vaut consulter directement les sources officielles. Le texte officiel de la directive (UE) 2022/2555 est publié sur le site EUR-Lex, le portail d’accès au droit de l’Union européenne. Sa lecture reste toutefois complexe pour un non-juriste : pour une mise en conformité opérationnelle en France, mieux vaut s’appuyer sur les publications de l’ANSSI (notamment le ReCyF), qui traduisent ces exigences en objectifs concrets et adaptés au contexte français.