Directive NIS 2 · annexe I
NIS 2 et le secteur des infrastructures numériques
Télécoms, cloud, centres de données, DNS, services de confiance : certains acteurs sont concernés quelle que soit leur taille.
Cadre réglementaire vérifié le 5 novembre 2026 · ReCyF v2.5
Qui est concerné ?
Grandes entreprises (250 salariés ou plus, ou CA > 50 M€ et bilan > 43 M€) : entités essentielles. Entreprises moyennes (50 à 249 salariés, ou CA et bilan > 10 M€) : entités importantes.
Sous-secteurs visés
- Points d'échange internet
- Fournisseurs de services DNS
- Registres de noms de domaine de premier niveau
- Fournisseurs de services d'informatique en nuage
- Fournisseurs de services de centres de données
- Réseaux de diffusion de contenu (CDN)
- Prestataires de services de confiance
- Réseaux et services de communications électroniques publics
Exemples d'organisations
- Opérateurs télécoms
- Hébergeurs et fournisseurs cloud
- Opérateurs de centres de données
- Prestataires de signature électronique
Les menaces principales
Les objectifs ANSSI à traiter en premier
Sélectionnés au regard des menaces du secteur, parmi les 20 objectifs du ReCyF.
Objectif 7
Sécurisation de l'architecture des systèmes d'information
Un réseau à plat permet à un attaquant de passer d'un poste compromis à tout le SI en quelques heures.
7.A.1-EI/EE7.B.3-EI/EE7.B.4-EI/EE
Objectif 10
Gestion des identités et des accès des utilisateurs aux systèmes d'information
Les comptes partagés, mots de passe par défaut et droits excessifs facilitent la prise de contrôle du SI.
10.A.1-EI/EE10.B.1-EI/EE10.B.2-EI/EE10.C.2-EI/EE
Objectif 11
Maîtrise de l'administration des systèmes d'information
La prise de contrôle d'un compte administrateur ou de l'annuaire (Active Directory) donne les clés de tout le SI.
11.A.1-EI/EE11.B.1-EI/EE
Objectif 12
Identification et réaction aux incidents de sécurité
NIS 2 impose de signaler les incidents importants sous 24 h : impossible sans détection ni procédure prête.
12.1-EE12.3-EI/EE
Objectif 20 · EE
Supervision de la sécurité des systèmes d'information
Sans supervision, une intrusion reste en moyenne invisible pendant des semaines.
20.1-EE
Points d'attention
Prestataires de services de confiance qualifiés, registres TLD et fournisseurs DNS sont entités essentielles quelle que soit leur taille.
Les opérateurs de communications électroniques de taille moyenne sont entités essentielles.
Les prestataires de confiance qualifiés doivent faire leur notification intermédiaire sous 24 h.
Questions fréquentes
Les entités du secteur des infrastructures numériques sont-elles soumises à NIS 2 ?
Oui, le secteur des infrastructures numériques est visé par l'annexe I de la directive. Grandes entreprises (250 salariés ou plus, ou CA > 50 M€ et bilan > 43 M€) : entités essentielles. Entreprises moyennes (50 à 249 salariés, ou CA et bilan > 10 M€) : entités importantes.
Quelles mesures prioriser dans le secteur des infrastructures numériques ?
Commencez par les objectifs ReCyF 7, 10, 11, 12, 20 : architecture et filtrage, identités et accès, administration, incidents, supervision. Ils répondent aux menaces les plus fréquentes du secteur.
Pour commencer
Le référentiel de l'ANSSI est publié depuis le 17 mars 2026.
Vous pouvez commencer l'évaluation dès maintenant : trois minutes pour connaître votre statut, une première séance pour voir vos écarts critiques.
Essai 14 jours, sans carte bancaire · Espace en ligne hébergé en France