NIS 2 et collectivités territoriales : qui est concerné et par quoi commencer
La directive NIS 2 vise d'office les administrations publiques centrales et, après une évaluation des risques, les administrations régionales ; elle laisse chaque État libre de l'étendre au niveau local. La France a fait ce choix dans son projet de loi : régions, départements, communes de plus de 30 000 habitants, métropoles, communautés urbaines et services départementaux d'incendie et de secours seraient entités essentielles, les communautés de communes entités importantes. Au 20 octobre 2026, ce projet n'est pas voté, mais l'ANSSI invite les futures entités à s'engager dès à présent. Une petite équipe peut commencer par cinq chantiers.
Les administrations publiques dans l'annexe I
La directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex, consultée le 20 octobre 2026) range l'« administration publique » parmi les secteurs hautement critiques (annexe I, point 10). Elle s'applique, quelle que soit leur taille, aux entités de l'administration publique des pouvoirs publics centraux et à celles du niveau régional qui, « à la suite d'une évaluation basée sur les risques », fournissent des services dont la perturbation pourrait avoir un impact important (article 2, paragraphe 2, point f). Les premières sont entités essentielles (article 3, paragraphe 1, point d) ; les secondes relèvent des entités importantes (article 3, paragraphe 2).
Le niveau local n'est pas imposé : l'article 2, paragraphe 5, permet aux États de l'inclure. La directive exclut en revanche les administrations qui exercent dans la sécurité nationale, la sécurité publique, la défense ou l'application de la loi (article 2, paragraphe 7). Le seuil de population cité plus haut ne vient donc pas de la directive : il est propre au projet de loi français.
Ce que la transposition française prévoit pour les collectivités
Deux versions du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité existent : le texte adopté par le Sénat le 12 mars 2025 (n° 78) et le texte de la commission spéciale de l'Assemblée nationale du 10 septembre 2025 (n° 1779). Le projet a été retiré de l'ordre du jour des séances des 7 et 9 octobre 2026 (Conférence des présidents du 6 octobre 2026), sans nouvelle date au relevé du 13 octobre 2026.
| Entité | Texte du Sénat (12 mars 2025) | Texte de la commission (10 septembre 2025) |
|---|---|---|
| Régions, départements, communes de plus de 30 000 habitants, et leurs établissements publics administratifs actifs dans un secteur visé | Essentielle | Essentielle |
| Métropoles et communautés urbaines | Essentielle | Essentielle |
| Communautés d'agglomération | Essentielle si elle comprend une commune de plus de 30 000 habitants, sinon importante | Essentielle |
| Communautés de communes, et leurs établissements publics administratifs actifs dans un secteur visé | Importante | Importante |
| Syndicats actifs dans un secteur visé et couvrant plus de 30 000 habitants | Essentielle | Essentielle |
| Services départementaux d'incendie et de secours, centres de gestion | Essentielle | Essentielle |
Les deux versions excluent les collectivités, leurs groupements et leurs établissements publics administratifs des amendes administratives (article 37) et écartent pour les administrations l'interdiction de diriger. Pour les élus, la directive renvoie au droit national de la responsabilité (article 20, paragraphe 1).
Les obligations, résumées
- S'enregistrer auprès de l'ANSSI, qui tiendra la liste des entités (projet, article 12) ; un pré-enregistrement est déjà ouvert sur MesServicesCyber.
- Impliquer l'exécutif : les organes de direction approuvent et supervisent les mesures et sont formés (directive, article 20 ; projet, article 14, 1°).
- Appliquer les mesures de gestion des risques : les dix familles de l'article 21, déclinées par l'ANSSI dans la version de travail du Référentiel Cyber France (ReCyF).
- Notifier les incidents importants à l'ANSSI dans les 24 heures, puis 72 heures, puis un mois (directive, article 23 ; projet, article 17).
- Accepter le contrôle : inspections, audits, scans de sécurité (projet, article 29).
Par où commencer avec une DSI de deux personnes
Exemple fictif : une communauté de communes dont la DSI compte deux agents, avec un infogérant pour les serveurs et un éditeur pour les logiciels métiers. Un ordre de travail possible :
- Qualifier la structure avec le test en ligne de MesServicesCyber, en gardant une copie datée du résultat. La méthode générale est détaillée dans comment savoir si votre organisation est concernée.
- Informer l'exécutif et désigner un référent par un acte écrit, avec un point d'étape inscrit à l'ordre du jour du bureau.
- Recenser activités, systèmes et prestataires : le ReCyF demande la liste des activités et des systèmes qui les supportent (mesure 1.1) et celle des prestataires informatiques (mesure 3.A.1), qui peut s'appuyer sur les déclarations de sous-traitance des marchés publics.
- Traiter les gestes à fort effet : sauvegardes protégées et restaurations testées au moins une fois par an (mesures 13.1 à 13.3), accès distants chiffrés et authentifiés (mesures 8.1 et 8.2), mots de passe par défaut changés (mesure 10.B.2).
- Écrire la procédure d'incident avec les contacts utiles, puis bâtir le plan d'action, comme dans l'exemple de plan d'action sur 90 jours.
Le niveau de départ se mesure avec une auto-évaluation NIS 2 sur Excel, à rejouer après six mois pour suivre l'écart.
Les aides et ressources publiques
- MesServicesCyber (ANSSI) : test en ligne, pré-enregistrement, ReCyF et un programme d'accompagnement gratuit (page NIS 2 consultée le 20 octobre 2026).
- Les CSIRT territoriaux : selon le CERT-FR, ils traitent les demandes d'assistance des « PME, ETI, collectivités territoriales et associations » et fournissent localement « un service de réponse à incident de premier niveau gratuit » (page consultée le 20 octobre 2026).
- Le CERT-FR, joignable 24 heures sur 24 pour les entités essentielles et importantes.
- Cybermalveillance.gouv.fr, dont la mission inclut l'assistance aux collectivités victimes, la sensibilisation et l'information.
Le texte du Sénat prévoit en outre que la stratégie nationale de cybersécurité comporte « les modalités de soutien aux collectivités territoriales et à leurs groupements » (article 5 bis) ; aucun montant n'y figure.
Sources consultées
- Directive (UE) 2022/2555, articles 2, 3, 20, 21 et 23, annexe I, EUR-Lex, consultée le 20 octobre 2026.
- Sénat, texte adopté n° 78 du 12 mars 2025 ; Assemblée nationale, texte de la commission spéciale n° 1779 du 10 septembre 2025 et relevés de la Conférence des présidents des 6 et 13 octobre 2026.
- ANSSI, MesServicesCyber, page NIS 2 et ReCyF ; CERT-FR, pages Contact et CSIRT territoriaux ; Cybermalveillance.gouv.fr, consultés le 20 octobre 2026.
Questions fréquentes
Une commune de moins de 30 000 habitants est-elle concernée ?
Pas en tant que telle dans les deux versions du projet de loi. Des structures liées peuvent l'être : une régie ou un établissement public industriel et commercial d'un secteur visé atteignant les seuils de taille (articles 8 et 9), un syndicat couvrant plus de 30 000 habitants, l'intercommunalité dont elle est membre. Le Premier ministre peut aussi désigner une entité d'un secteur visé, quelle que soit sa taille (article 10).
Les élus peuvent-ils être sanctionnés personnellement ?
La directive laisse au droit national la responsabilité des élus et des agents publics (article 20, paragraphe 1) et écarte l'interdiction de diriger pour l'administration publique (article 32, paragraphe 5). Le projet de loi exclut aussi les administrations de cette interdiction.
Une collectivité risque-t-elle une amende ?
Le projet de loi l'exclut des amendes administratives (article 37). Les autres mesures restent prévues : avertissement, injonctions, éventuellement assorties d'une astreinte (article 31 du texte du Sénat).