Directive NIS 2 · annexe I
NIS 2 et le secteur bancaire
Établissements de crédit : NIS 2 les vise, mais le règlement DORA s'applique en priorité pour la gestion du risque informatique.
Cadre réglementaire vérifié le 5 novembre 2026 · ReCyF v2.5
Qui est concerné ?
Grandes entreprises (250 salariés ou plus, ou CA > 50 M€ et bilan > 43 M€) : entités essentielles. Entreprises moyennes (50 à 249 salariés, ou CA et bilan > 10 M€) : entités importantes.
Sous-secteurs visés
- Établissements de crédit
Exemples d'organisations
- Banques de détail
- Banques d'investissement
- Établissements de crédit spécialisés
Les menaces principales
Les objectifs ANSSI à traiter en premier
Sélectionnés au regard des menaces du secteur, parmi les 20 objectifs du ReCyF.
Objectif 2
Mise en œuvre d'un cadre de gouvernance de la sécurité numérique
NIS 2 rend la direction responsable. Sans gouvernance écrite, aucune mesure technique n'est pilotée ni démontrable.
2.A.1-EI/EE2.B.1-EI/EE2.C.1-EI/EE2.C.2-EI/EE
Objectif 12
Identification et réaction aux incidents de sécurité
NIS 2 impose de signaler les incidents importants sous 24 h : impossible sans détection ni procédure prête.
12.1-EE12.3-EI/EE
Objectif 13
Continuité et reprise d'activité
Face à un rançongiciel, une sauvegarde hors ligne et testée fait la différence entre quelques jours et plusieurs mois d'arrêt.
13.1-EI/EE13.2-EI/EE13.3-EI/EE13.6-EE
Objectif 16 · EE
Mise en œuvre d'une approche par les risques
La conformité seule ne couvre pas les menaces propres à votre activité : l'analyse de risques les fait apparaître.
16.1-EE16.2-EE
Objectif 20 · EE
Supervision de la sécurité des systèmes d'information
Sans supervision, une intrusion reste en moyenne invisible pendant des semaines.
20.1-EE
Points d'attention
Le règlement DORA (UE 2022/2554), applicable depuis le 17 janvier 2025, est une loi spéciale : ses exigences priment sur celles de NIS 2 pour ces entités.
L'auto-évaluation ReCyF reste utile pour structurer la gouvernance et comparer les exigences.
Questions fréquentes
Les entités du secteur bancaire sont-elles soumises à NIS 2 ?
Oui, le secteur bancaire est visé par l'annexe I de la directive. Grandes entreprises (250 salariés ou plus, ou CA > 50 M€ et bilan > 43 M€) : entités essentielles. Entreprises moyennes (50 à 249 salariés, ou CA et bilan > 10 M€) : entités importantes.
Quelles mesures prioriser dans le secteur bancaire ?
Commencez par les objectifs ReCyF 2, 12, 13, 16, 20 : gouvernance, incidents, sauvegardes et continuité, analyse de risques, supervision. Ils répondent aux menaces les plus fréquentes du secteur.
Pour commencer
Le référentiel de l'ANSSI est publié depuis le 17 mars 2026.
Vous pouvez commencer l'évaluation dès maintenant : trois minutes pour connaître votre statut, une première séance pour voir vos écarts critiques.
Essai 14 jours, sans carte bancaire · Espace en ligne hébergé en France