NIS2 et l'administration publique : pourquoi le périmètre de votre client public dépend de son code postal

Une commune néerlandaise de 180 agents et un Landkreis allemand de même taille peuvent se retrouver de part et d'autre de NIS2. Même secteur, mêmes données citoyennes, mêmes fournisseurs - obligations différentes, parce que la directive a laissé l'administration régionale et locale à l'appréciation des États membres.

Ce seul choix de conception fait de l'administration publique le secteur le plus difficile à délimiter dans NIS2. Tous les autres secteurs de l'Annexe I appliquent la même logique de seuils de taille dans les 27 États membres. Pas celui-ci.

Et cela pèse davantage cette année que l'an dernier. Le rapport NIS360 2026 de l'ENISA place l'administration publique en zone de risque : l'un des huit secteurs dont la maturité cyber reste en deçà de leur criticité, aux côtés de la santé, du ferroviaire, du maritime, du spatial, de l'eau potable et des eaux usées. Les autorités de contrôle lisent ce rapport, et il oriente l'attention en priorité. Nous avons décrit cette dynamique dans comment les régulateurs décident quels clients seront audités en premier.

Si vous conseillez des organismes publics - ou si vous les fournissez - voici ce qui détermine réellement l'obligation.

L'administration centrale est dans le périmètre partout, et l'effectif n'y change rien

L'Annexe I range les entités de l'administration publique du gouvernement central parmi les secteurs de haute criticité. Contrairement à un logisticien ou à un producteur alimentaire, ces entités ne peuvent pas s'en extraire par leur taille.

La règle de seuil - 50 agents ou 10 millions EUR de chiffre d'affaires pour les moyennes, 250 ou 50 millions EUR pour les grandes - constitue le filtre général du périmètre NIS2. Les entités de l'administration centrale y entrent indépendamment de ce filtre. Une direction ministérielle de 30 personnes porte les mêmes obligations au titre de Article 21 qu'une agence de 3 000.

Conséquence pratique : n'ouvrez pas un entretien de cadrage avec un organisme public par l'effectif. Posez plutôt deux questions. Quel instrument juridique a créé cet organisme, et à quel niveau d'administration se situe-t-il ? Ces réponses décident.

Notez aussi la définition retenue par NIS2. Une entité de l'administration publique est un organisme créé pour satisfaire des besoins d'intérêt général, sans caractère industriel ou commercial, doté de la personnalité juridique, et financé ou contrôlé par l'État. Cela englobe de nombreux organismes autonomes qui ne se voient pas comme « l'administration » - registres publics, caisses de sécurité sociale, instituts nationaux de statistique, autorités de délivrance d'agréments.

Le régional et le local sont un choix national, pas une règle européenne

La directive atteint les entités de l'administration publique aux niveaux NUTS 1 et 2 - en gros, administrations nationales et grandes administrations régionales. En dessous, Article 2 ouvre aux États membres la faculté d'étendre le périmètre aux collectivités locales. Beaucoup l'ont fait. Plusieurs non.

Il en résulte une carte de périmètre qui ne correspond à aucun autre secteur NIS2. La DSI d'une ville dans un État membre est une entité essentielle régulée, avec obligation d'enregistrement, délais de notification et responsabilité des dirigeants. La ville équivalente de l'autre côté de la frontière est hors périmètre et achète de la sécurité sur une base purement volontaire.

C'est aussi pourquoi l'état de transposition nationale pèse davantage ici qu'ailleurs. Avec 22 États membres sur 27 ayant transposé à la mi-2026, et la Commission ayant saisi la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas, la question du niveau local reste juridiquement ouverte sur certains marchés. Notre suivi de transposition pays par pays donne l'état actuel.

Statut de Mise en Œuvre NIS2 par Pays (2025–2026)
✅
Pleinement en vigueur
🇧🇪Belgique
🇭🇷Croatie
🇭🇺Hongrie
🇱🇹Lituanie
🇱🇻Lettonie
🇮🇹Italie
6 pays
📋
Adopté — fin 2025
🇩🇪Allemagne
🇨🇿République tchèque
🇫🇮Finlande
3 pays
⏳
En cours — prévu 2026
🇳🇱Pays-Bas
🇫🇷France
🇪🇸Espagne
🇵🇱Pologne
🇦🇹Autriche
🇸🇪Suède
🇮🇪Irlande
7 pays

Ne présumez jamais d'une réponse valable pour tout un groupe chez un client transfrontalier. Une structure de services partagés desservant des communes dans trois États membres peut être régulée dans l'un et pas dans les autres, avec un seul système d'information en dessous.

Quatre exclusions que les consultants lisent régulièrement de travers

NIS2 ne s'applique pas à tout ce qui porte un en-tête public. Quatre exclusions comptent, et toutes les quatre sont plus étroites qu'on ne le suppose.

Sécurité nationale, sécurité publique, défense et application de la loi. L'exclusion s'attache à l'activité, pas à l'organisation. Un ministère de l'intérieur n'est pas exempté en bloc parce qu'une partie exerce des missions de police. Les parties exerçant d'autres fonctions peuvent rester dans le périmètre.

Le pouvoir judiciaire. Les juridictions sont exclues. Les services d'administration judiciaire constitués en personnes morales distinctes ne le sont pas automatiquement.

Les parlements. Les organes législatifs sont exclus. Les structures informatiques parlementaires constituées séparément, peut-être pas.

Les banques centrales. Exclues au titre de NIS2 - mais nombre de ces mêmes institutions sont saisies par DORA. Si vous avez sorti un client de NIS2 sur ce fondement, vérifiez ce qui l'a remplacé dans NIS2 vs DORA.

Deux points méritent d'être dits clairement. Premièrement, une exclusion n'est pas une étape dont on peut faire l'économie de la documentation : si l'on demande plus tard à l'entité pourquoi elle n'est pas enregistrée, quelqu'un devra présenter le raisonnement. Deuxièmement, les États membres peuvent appliquer malgré tout les exigences NIS2 à des entités exclues, et plusieurs l'ont fait précisément pour des pans du secteur public.

Les organismes publics dans le périmètre sont des entités essentielles, ce qui change le modèle de supervision

Lorsqu'une entité de l'administration publique est dans le périmètre, elle est traitée comme entité essentielle. Ce n'est pas un détail d'étiquette. Cela détermine le comportement du régulateur.

Les entités essentielles relèvent d'une supervision ex ante. L'autorité n'a besoin ni d'incident ni de plainte pour agir : elle peut mener des inspections, exiger des preuves et ordonner des audits de sécurité aux frais de l'entité, de façon routinière. Les entités importantes relèvent d'une supervision ex post, le régulateur agissant généralement une fois qu'un problème est survenu.

Pour un client public, l'audit est donc un rendez-vous programmé, pas une éventualité. Les preuves doivent exister en continu, non être assemblées après un appel téléphonique. Nous détaillons ce que les superviseurs demandent réellement dans la checklist des preuves d'audit NIS2.

Les dispositions sur la responsabilité des dirigeants s'appliquent aussi. Directeurs, secrétaires généraux et directions générales de collectivités doivent approuver les mesures de gestion des risques et en superviser la mise en oeuvre, et peuvent être tenus personnellement responsables. Dans plusieurs transpositions, la personne responsable est désignée par la loi plutôt que laissée à la délégation interne.

Les données sectorielles indiquent que l'administration publique est le secteur hautement critique le moins préparé

L'évaluation NIS360 2026 de l'ENISA est la référence externe la plus utile face à un client public qui conteste l'urgence.

L'administration publique se situe en zone de risque : criticité élevée, maturité qui n'a pas suivi. L'ENISA cadre explicitement le sujet autour des secteurs nouvellement régulés et de leur capacité à monter en puissance plus vite que leur criticité n'augmente. L'administration publique est l'illustration la plus nette de cet écart.

Les causes sont familières à quiconque a travaillé sur un compte public. Des cycles d'achat qui se comptent en trimestres. Des parcs hérités que personne ne pilote de bout en bout. Des budgets de sécurité en concurrence directe avec des missions de service obligatoires. Une responsabilité fragmentée entre une DSI centrale et des dizaines de services semi-autonomes exploitant leurs propres applications.

Rien de tout cela n'est une excuse recevable pour un superviseur. C'est en revanche un argument solide pour lancer l'analyse d'écarts maintenant plutôt qu'après la première lettre d'inspection. Notre guide pas à pas de l'analyse d'écarts fonctionne pour une commune comme pour un industriel.

Fournir l'administration vous intègre à une chaîne d'approvisionnement régulée

Voici la partie que la plupart des consultants IT et des MSP manquent. Vous n'avez pas besoin d'être vous-même dans le périmètre pour que NIS2 vous atteigne. Il suffit que votre client le soit.

Article 21(2)(d) impose aux entités concernées de maîtriser la sécurité de leurs fournisseurs et prestataires directs, en tenant compte des vulnérabilités propres à chacun et de leurs pratiques de sécurité globales. Lorsqu'un ministère ou une autorité régionale applique cela à sa base fournisseurs, l'obligation retombe sur vous contractuellement - dans les exigences des appels d'offres, dans les accords-cadres, dans des annexes sécurité qui survivent au contrat.

L'achat public rend cela plus tranchant que le marché privé. Les exigences sont inscrites dans des documents de consultation standardisés et réutilisées sur des centaines de contrats. Dès qu'une centrale d'achat nationale ajoute des clauses fournisseurs NIS2 à son modèle, tous les soumissionnaires en héritent d'un coup.

Escalade des sanctions NIS2 — Au-delà de l'amende
!
Déclencheur
Non-conformité détectée ou incident survenu
Une autorité de contrôle identifie une lacune de conformité ou une organisation ne respecte pas les exigences NIS2
Les autorités peuvent imposer
▼
Sanctions non financières
1
Ordres de mise en conformité avec délais contraignants
2
Audits de sécurité obligatoires à vos frais
3
Divulgation publique des violations
4
Instructions contraignantes sur des mesures de sécurité spécifiques
Escalade vers
▼
Conséquences opérationnelles et personnelles
1
Suspension de certifications ou licences d'exploitation
2
Interdiction temporaire de fonctions de direction pour les individus
3
Désignation publique des personnes physiques responsables
Déclencheur
Non financier
Opérationnel / personnel

Si vous détenez déjà des marchés publics, lisez les obligations contractuelles fournisseurs au titre de Article 21 avant votre prochain renouvellement. Ces clauses entreront, que vous les négociiez ou non.

Ce qu'une évaluation de maturité pour un organisme public doit établir en premier

Avant tout travail sur les mesures, tranchez quatre questions par écrit :

1. Niveau et base juridique. Central, régional (NUTS 1 ou 2) ou local - et quel instrument a créé l'entité. C'est cela qui décide du périmètre, pas l'effectif.
2. Extension nationale. L'État membre a-t-il étendu NIS2 aux collectivités locales, et à quelles conditions ? C'est du droit national, pas la directive.
3. Analyse des exclusions. Quelles activités relèvent éventuellement des exclusions sécurité nationale, justice, parlement ou banque centrale - et quelles parties de l'entité restent dans le périmètre malgré tout.
4. Autorité compétente. Quel régulateur supervise cette entité, et publie-t-il des lignes directrices sectorielles ? L'administration publique est souvent supervisée par une autorité différente de celle des secteurs commerciaux du même pays. Voir quel régulateur supervise réellement votre client.

Ce n'est qu'ensuite que le travail d'écarts contre Article 21 prend son sens. Les erreurs de périmètre coûtent cher dans les deux sens : soit vous montez un programme de conformité pour une entité qui n'en avait pas besoin, soit vous laissez une entité essentielle non enregistrée et non préparée à une inspection ex ante.

Pour un point de départ rapide et structuré sur un client public - ou sur votre propre position de fournisseur - lancez le quick scan NIS2. Quelques minutes suffisent pour obtenir une base de maturité défendable sur laquelle bâtir l'évaluation.

En résumé

L'administration centrale est dans le périmètre dans chaque État membre, quelle que soit sa taille. Les administrations régionales NUTS 1 et 2 y sont. Le niveau local dépend entièrement du droit national. Les exclusions sont liées à l'activité et plus étroites qu'elles n'en ont l'air. Les organismes publics concernés sont des entités essentielles, ce qui implique supervision ex ante et responsabilité dirigeante nommée.

Et si vous vendez à l'un d'eux, leurs obligations deviennent vos conditions contractuelles.