NIS 2 et NISG 2026

Qu'est-ce que NIS 2 et qu'est-ce que le NISG 2026 ?

La directive NIS 2 (directive (UE) 2022/2555, « Network and Information Security Directive 2 ») est le cadre juridique central de l'UE pour atteindre un niveau élevé commun de cybersécurité dans l'Union. Elle remplace la première directive NIS de 2016 et corrige ses faiblesses connues : un champ d'application trop étroit, une transposition hétérogène et une mise en application insuffisante. NIS 2 est entrée en vigueur le 16 janvier 2023 ; le délai de transposition en droit national a expiré le 17 octobre 2024.

En tant que directive, NIS 2 ne s'applique pas directement aux entreprises : les États membres doivent la transposer en droit national. L'Autriche l'a fait avec la loi de 2026 sur la sécurité des réseaux et des systèmes d'information (NISG 2026). Le Conseil national l'a adoptée le 12 décembre 2025 et elle a été promulguée le 23 décembre 2025 sous la référence BGBl. I Nr. 94/2025. Elle s'applique depuis le 1er octobre 2026 et remplace le NISG 2018. L'Allemagne a transposé NIS 2 avec la loi de transposition de la directive NIS 2 (BGBl. 2025 I Nr. 301), applicable depuis le 6 décembre 2025. Les deux pays ont ainsi dépassé le délai de l'UE de plus d'un an. La Suisse suit sa propre voie, indépendante de NIS 2 (notamment avec une obligation de signalement pour les infrastructures critiques inscrite dans la loi sur la sécurité de l'information).

L'enjeu stratégique : NIS 2 fait passer la cybersécurité du statut de tâche informatique facultative à celui d'exigence de gouvernance légalement obligatoire, qui relève de la direction, avec une responsabilité personnelle des organes de direction.

Ce que le NISG 2026 règle concrètement en Autriche

Le NISG 2026 reprend les obligations de la directive et fixe l'autorité compétente, les délais et les sanctions pour l'Autriche. Les points clés selon le texte de loi publié dans le RIS :

• Autorité : la compétence revient à l'Office fédéral de la cybersécurité, placé directement sous l'autorité du ministre fédéral de l'Intérieur (§ 3a).
• Enregistrement : les entités essentielles et importantes s'enregistrent auprès de l'autorité dans un délai de trois mois à compter de l'entrée en vigueur (§ 29, al. 3). Elles doivent notamment indiquer le secteur, le type d'entité, leurs coordonnées et les seuils dont découle leur classification.
• Autodéclaration : dans les douze mois suivant la naissance de l'obligation d'enregistrement, les entités transmettent des informations sur leurs mesures de gestion des risques, dont la sécurité de la chaîne d'approvisionnement et les résultats de l'analyse des risques (§ 33, al. 1).
• Obligations de notification : alerte précoce dans les 24 heures et notification dans les 72 heures après la prise de connaissance d'un incident de cybersécurité important, rapport final au plus tard un mois après cette notification (§ 34, al. 2).
• Organes de direction : ils doivent garantir et superviser le respect des mesures de gestion des risques et suivre des formations en cybersécurité (§ 31). Si une entité essentielle ne se conforme pas à une décision, l'autorité peut interdire temporairement à ses organes de direction d'exercer des fonctions de direction (§ 39, al. 4).
• Sanctions : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial de l'exercice précédent pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes. Pour les autres infractions visées au § 45, al. 4, l'amende peut atteindre 50 000 EUR, et 100 000 EUR en cas de récidive (§ 45).

La vérification de l'assujettissement au NISG montre comment évaluer la classification de ton organisation. L'article NISG 2026 et la supervision institutionnelle de la cybersécurité décrit comment la supervision est organisée.

Qui est concerné ? Entités essentielles et entités importantes

NIS 2 élargit considérablement le champ d'application par rapport à l'ancienne directive. L'assujettissement dépend en principe de deux critères : le secteur et la taille.

NIS 2 distingue les entités essentielles (« essential entities ») et les entités importantes (« important entities »). Les secteurs sont définis dans deux annexes : l'annexe I couvre les secteurs hautement critiques (notamment énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC en B2B, administration publique, espace). L'annexe II couvre d'autres secteurs critiques (notamment services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, industrie manufacturière/fabrication, fournisseurs numériques tels que places de marché en ligne, moteurs de recherche et plateformes de réseaux sociaux, recherche).

Pour le seuil de taille, c'est en principe la règle du « size cap » qui s'applique : sont concernées les moyennes et grandes entreprises, c'est-à-dire à partir de 50 salariés ou avec un chiffre d'affaires annuel ou un total de bilan supérieur à 10 millions d'euros. En dessous de ce seuil, NIS 2 ne s'applique généralement pas, sauf pour certains fournisseurs critiques (par exemple les services DNS, les registres de TLD, les prestataires de services de confiance qualifiés, certains fournisseurs de réseaux de communications électroniques publics), qui peuvent être concernés quelle que soit leur taille.

Point essentiel en pratique : il n'existe pas de classification préalable par l'autorité pour chaque organisation. Les entités concernées doivent déterminer elles-mêmes si elles sont assujetties et s'enregistrer dans le délai national. En Autriche, ce délai est de trois mois à compter du 1er octobre 2026. Cette obligation d'autoévaluation touche de nombreuses entreprises qui ne se considéraient pas jusqu'ici comme des « infrastructures critiques », par exemple des fabricants, des acteurs de l'agroalimentaire ou des organismes de recherche.

Obligations de cybersécurité et de gestion des risques (art. 21)

Le cœur de NIS 2 est l'article 21 : les entités concernées doivent prendre « des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées » pour gérer les risques qui menacent leurs réseaux et systèmes d'information. L'approche est fondée sur les risques et s'aligne sur l'état de l'art. NIS 2 fixe explicitement un socle de mesures qui comprend au minimum :

• Analyse des risques et politiques de sécurité des systèmes d'information
• Gestion des incidents de sécurité (incident handling)
• Continuité d'activité et gestion de crise (sauvegardes, restauration)
• Sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires de services
• Sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités
• Procédures d'évaluation de l'efficacité des mesures
• Cyberhygiène et formations
• Cryptographie et chiffrement
• Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
• Authentification multifacteur (MFA), communications sécurisées et communications d'urgence

L'exploitation d'agents IA entre dans ce cadre à plusieurs titres : un agent IA est un système de réseau et d'information au sens de la directive, il accède généralement à d'autres systèmes via des outils, des API et des connexions MCP, et il traite des données potentiellement sensibles. Le contrôle d'accès, le chiffrement, la journalisation, la gestion des vulnérabilités et l'évaluation de la chaîne d'approvisionnement sont donc directement concernés. Toute organisation qui exploite en production des agents IA dans un secteur concerné doit intégrer ces composants à sa gestion des risques NIS 2, non comme un module ajouté après coup, mais comme partie intégrante de son dispositif de sécurité courant.

Obligations de notification : le régime des 24/72 heures

NIS 2 instaure une procédure de notification par étapes, aux délais serrés, pour les incidents de sécurité importants (« significant incidents »), à destination de l'autorité compétente ou du CSIRT national (Computer Security Incident Response Team). Pour simplifier, un incident est considéré comme important lorsqu'il a causé ou peut causer de graves perturbations opérationnelles, des pertes financières ou des dommages considérables à des tiers.

Pour l'exploitation d'agents IA, cela signifie qu'il faut une capacité de détection et d'escalade suffisamment rapide pour respecter l'alerte précoce sous 24 heures. Des incidents comme une attaque par prompt injection réussie qui pousse un agent à effectuer des appels d'outils non autorisés ou à exfiltrer des données, un endpoint de modèle compromis ou une fuite de données via une connexion d'outil mal configurée peuvent être soumis à notification. La journalisation, la supervision et un processus de réponse aux incidents défini pour les systèmes d'agents sont donc des prérequis concrets de NIS 2.

Sécurité de la chaîne d'approvisionnement : l'effet en cascade sur les fournisseurs d'IA et de cloud

L'une des nouveautés les plus lourdes de conséquences est l'obligation explicite de sécuriser la chaîne d'approvisionnement. Les entités concernées doivent évaluer la sécurité de leurs fournisseurs et prestataires directs et intégrer les résultats dans leur gestion des risques et leurs contrats. Il faut notamment tenir compte de la qualité des pratiques de sécurité du fournisseur, de ses processus de développement et de son profil de risque spécifique.

Pour l'exploitation d'agents IA, c'est un point central, car la stack typique repose largement sur des composants externes : fournisseurs de LLM, fournisseurs de cloud et d'hébergement, bases de données vectorielles, services d'outils et d'API, serveurs MCP, frameworks d'orchestration. Souvent, ces fournisseurs ne sont pas eux-mêmes directement soumis à NIS 2, mais l'obligation relative à la chaîne d'approvisionnement de l'organisation cliente régulée leur répercute de fait les exigences de NIS 2. Concrètement : des engagements de sécurité dans les contrats (accord de sous-traitance/DPA, droits d'audit, transparence sur les sous-traitants ultérieurs, clauses de notification d'incidents), des justificatifs comme ISO/IEC 27001 ou des rapports SOC 2, et une évaluation documentée des fournisseurs.

On trouve aussi ici un point de rencontre avec le débat européen sur l'IA souveraine : les charges de travail dans des secteurs régulés ou critiques, comme les services financiers soumis à DORA ou les infrastructures critiques soumises à NIS 2, profitent structurellement de plateformes d'IA souveraines hébergées dans l'UE, car elles simplifient la résidence des données, la transparence sur les sous-traitants ultérieurs et l'évaluation de la chaîne d'approvisionnement. McKinsey estime que les exigences de souveraineté influenceront 30 à 40 % des dépenses en IA et évalue ce marché à environ 500 à 600 milliards de dollars dans le monde d'ici 2030 (McKinsey, « Sovereign AI: Building ecosystems for strategic resilience and impact », mars 2026). Les réglementations comme NIS 2, DORA, le règlement européen sur l'IA et le RGPD font partie des moteurs de cette demande.

Responsabilité de la direction et sanctions

NIS 2 vise expressément les organes de direction. Ceux-ci doivent approuver et superviser la mise en œuvre des mesures de gestion des risques, et ils répondent des manquements. Des formations obligatoires sont en outre prévues pour les organes de direction, afin qu'ils puissent évaluer les cyberrisques et en mesurer l'impact. En cas d'infractions graves, les autorités nationales peuvent aussi, selon la transposition, ordonner la suspension temporaire de fonctions de direction.

Le régime des amendes est conséquent : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les entités essentielles, jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes. La cybersécurité atteint ainsi, pour la direction, un niveau de risque comparable à celui du RGPD. Le NISG 2026 autrichien reprend ces montants maximaux (§ 45). La supervision, les procédures et les autres sanctions relèvent de chaque loi nationale ; en Allemagne, de la loi BSI, refondue dans le cadre de la transposition de NIS 2.

Cybersécurité propre aux agents IA dans le cadre de NIS 2

Les agents IA autonomes élargissent la surface d'attaque par rapport aux applications classiques, car ils interprètent des entrées, prennent des décisions et agissent réellement sur des systèmes via des outils. Dans le cadre d'une gestion des risques NIS 2, il convient donc de traiter au minimum les aspects suivants :

• Prompt injection et empoisonnement des données, principale catégorie de menace. Des contenus issus d'e-mails, de documents ou de pages web peuvent pousser un agent à des actions involontaires. Contre-mesures : validation des entrées, séparation du contexte d'instructions et du contexte de données, filtrage des sorties.
• Accès aux outils selon le moindre privilège. Ne doter les agents que des autorisations strictement nécessaires ; sécuriser les appels d'outils sensibles (paiements, suppressions, communication externe) par un human-in-the-loop.
• Guardrails et application des politiques, garde-fous techniques pour les actions autorisées, limites de débit (rate limits) et listes d'autorisation et de blocage pour les outils et les domaines.
• Gestion des identités et des accès, authentification forte (MFA), jetons à courte durée de vie et gestion rigoureuse des secrets pour les identités des agents.
• Journalisation exhaustive et auditabilité. Traçabilité de chaque décision de l'agent et de chaque appel d'outil, pour satisfaire aux obligations de notification et aux besoins d'investigation forensique.
• Durcissement de la chaîne d'approvisionnement. Sécurisation des endpoints de modèles, des serveurs MCP et des outils tiers.

Ces mesures recoupent des référentiels de sécurité établis, comme le Top 10 OWASP pour les applications LLM et la liste OWASP pour les systèmes agentiques. NIS 2 n'impose pas directement ces référentiels, mais fournit la base juridique pour les ancrer de manière contraignante dans le dispositif de sécurité.

Articulation avec le règlement européen sur l'IA, le RGPD et DORA

NIS 2 est un régime de cybersécurité et ne se confond pas avec les cadres européens parallèles. Une délimitation claire évite à la fois les lacunes et les doublons :

Dans les secteurs régulés, plusieurs régimes s'appliquent simultanément. En tant que réglementation sectorielle spécifique au secteur financier, DORA prime dans une large mesure sur les exigences de NIS 2, tout en allant parfois au-delà. Sur le plan pratique, il est recommandé d'utiliser des normes de management établies comme socle commun de mise en œuvre : ISO/IEC 27001 pour le système de management de la sécurité de l'information (SMSI) et ISO/IEC 42001 (système de management de l'IA, décembre 2023) pour la gouvernance de l'IA. Norme de management certifiable, ISO/IEC 42001 n'est liée à aucun ordre juridique et peut donc servir de base commune à plusieurs régimes.

Perspectives pratiques et recommandations

La situation en octobre 2026 : le contenu des obligations NIS 2 est clairement défini par la directive, et les lois nationales s'appliquent, en Allemagne depuis le 6 décembre 2025, en Autriche depuis le 1er octobre 2026. Les entités autrichiennes concernées doivent maintenant s'enregistrer dans le délai de trois mois, et l'autodéclaration suit dans les douze mois après la naissance de l'obligation d'enregistrement. Il n'y a plus de report possible : les exigences s'appliquent, et une gestion des risques solide ne se construit pas en quelques semaines.

Concrètement, une démarche en trois étapes est recommandée : premièrement, une analyse honnête de l'assujettissement et de la taille par secteur (y compris l'obligation d'auto-enregistrement) ; deuxièmement, une analyse d'écarts (gap assessment) par rapport au catalogue de mesures de l'art. 21, qui intègre explicitement les agents IA et leur chaîne d'approvisionnement ; troisièmement, la mise en place d'un processus de réponse aux incidents capable de respecter la fenêtre de notification de 24/72 heures. Pour les agents IA, cela veut dire penser dès le départ aux guardrails, à l'accès aux outils selon le moindre privilège, à une journalisation exhaustive et à une évaluation documentée des fournisseurs, idéalement dans le cadre d'un SMSI (ISO/IEC 27001) et d'un système de management de l'IA (ISO/IEC 42001).