20 objectifs de sécurité NIS2 ANSSI : guide PME

La directive NIS2 impose des mesures de sécurité aux entreprises des secteurs critiques, que l’ANSSI décline dans son référentiel ReCyF (Référentiel Cyber France). Mais lesquelles, concrètement ? L’ANSSI a publié le 17 mars 2026 le ReCyF v2.5, document de travail détaillant 20 objectifs de sécurité que les entités régulées devraient atteindre. Le problème : ce document s’adresse à des experts techniques.

Si vous dirigez une PME de 50 à 250 employés et que vous cherchez à comprendre ce que NIS2 exige réellement, ce guide décrypte les 20 objectifs de sécurité NIS2 du référentiel ANSSI en langage clair. Pour chaque objectif, vous saurez ce que cela implique pour votre entreprise, et par où commencer.

Que contient le référentiel de cybersécurité ANSSI pour NIS2 ?

Avant de détailler les 20 objectifs, une précision essentielle sur ce document.

Ce référentiel traduit les exigences de l’article 21 de la directive européenne NIS2 (Directive (UE) 2022/2555 du 14 décembre 2022) en mesures concrètes pour le contexte français. Il se compose de 20 objectifs de sécurité, chacun accompagné de « moyens acceptables de conformité » proposés par l’ANSSI, qui ne sont pas d’application obligatoire :

• Objectifs 1 à 15 : applicables aux entités importantes et aux entités essentielles
• Objectifs 16 à 20 : applicables aux seules entités essentielles, en application du principe de proportionnalité

Chaque objectif s’applique différemment selon que votre entreprise est classée entité essentielle (EE) ou entité importante (EI). Vous ne savez pas dans quelle catégorie vous tombez ? Notre accompagnement conformité NIS2 inclut un diagnostic d’éligibilité pour le déterminer.

Le référentiel précise aussi les cas où une entité peut se prévaloir, lors d’un contrôle, d’une certification (ISO 27001) ou du recours à un prestataire qualifié ANSSI pour démontrer qu’elle atteint un objectif. Nous y reviendrons.

Pour comprendre le contexte complet de la directive, consultez notre guide sur la directive NIS2.

Objectifs 1 à 15 : le socle commun aux EI et aux EE

Ces quinze objectifs posent les fondations de votre démarche, de la gouvernance à la gestion de crise. Certaines de leurs mesures sont réservées aux entités essentielles.

Objectif 1 : L’entité recense ses systèmes d’information

Ce que cela signifie pour votre PME : Vous devriez cartographier l’ensemble de vos systèmes d’information (SI), serveurs, applications métier, services cloud, équipements réseau. Cette liste relie chacune de vos activités et chacun de vos services aux SI qui les supportent. Révision annuelle prévue.

Action concrète : Listez tous vos outils numériques, identifiez ceux qui sont indispensables à votre activité. C’est le point de départ de toute démarche NIS2.

Applicabilité : EI et EE.

Objectif 2 : L’entité dispose d’un cadre de gouvernance de la sécurité numérique

Ce que cela signifie : Le dirigeant serait personnellement responsable de la sécurité numérique. Cet objectif couvre la rédaction d’une politique de sécurité des systèmes d’information (PSSI), la désignation d’un responsable sécurité et la mise en place d’une organisation dédiée.

Action concrète : Rédigez votre PSSI, nommez un référent sécurité (même à temps partiel), et définissez les rôles de chacun. C’est votre feuille de route.

Applicabilité : EI et EE (la désignation d’un point de contact ANSSI serait réservée aux EE). Moyen de démonstration reconnu : ISO/CEI 27001:2022.

Objectif 3 : L’entité maîtrise son écosystème

Ce que cela signifie : Vous devriez cartographier vos prestataires IT, fournisseurs et interconnexions. Les contrats avec vos fournisseurs devraient inclure des clauses de sécurité.

Action concrète : Listez tous vos prestataires qui accèdent à votre SI (infogérant, éditeur SaaS, hébergeur). Intégrez des exigences de sécurité dans vos contrats. Pour approfondir ce sujet, consultez notre article sur les obligations NIS2 pour les sous-traitants.

Applicabilité : EI et EE.

Objectif 4 : L’entité prend en compte la sécurité numérique dans la gestion de ses ressources humaines

Ce que cela signifie : Charte d’usage du SI, sensibilisation des collaborateurs, clauses de sécurité dans les contrats de travail (EE), gestion des arrivées et départs, formations pour les fonctions critiques.

Action concrète : Mettez en place une charte informatique et un programme de sensibilisation pour tous vos collaborateurs. C’est l’un des objectifs les plus accessibles et les plus rentables en matière de réduction du risque : le facteur humain est impliqué dans environ 60 % des violations de données (Verizon DBIR 2025).

Applicabilité : EI et EE (clauses dans les contrats de travail réservées aux EE).

Objectif 5 : L’entité maîtrise ses systèmes d’information

Maintien en condition opérationnelle (MCO) et de sécurité (MCS) de vos systèmes : veille sur les vulnérabilités, application des correctifs, suivi des alertes du CERT-FR.

EI et EE (cartographie détaillée et installation des correctifs critiques réservées aux EE).

Objectif 6 : L’entité maîtrise les accès physiques à ses locaux

Contrôle d’accès aux locaux techniques et salles serveurs. Badges, gestion des visiteurs, protection physique des équipements sensibles.

EI et EE (protection physique renforcée et contrôle d’accès aux salles serveurs réservés aux EE).

Objectif 7 : L’entité sécurise l’architecture de ses systèmes d’information

Cloisonnement du réseau : séparer les SI sensibles du réseau bureautique. Passerelles, filtrage des communications, pare-feu. C’est l’un des objectifs les plus techniques.

EI et EE (nombreuses sous-mesures de cloisonnement réservées aux EE).

Objectif 8 : L’entité sécurise les accès distants à ses systèmes d’information

Sécurisation du télétravail et des accès distants : VPN, chiffrement des communications, authentification multifacteur (MFA) pour les accès à distance.

EI et EE (MFA obligatoire, chiffrement des postes nomades et mesures alternatives réservés aux EE).

Objectif 9 : L’entité protège ses systèmes d’information contre les codes malveillants

Déploiement de solutions anti-malware (EDR ou antivirus), contrôle des supports amovibles (clés USB), analyse des données provenant de sources externes.

EI et EE (contrôle des prestataires et blocage des connexions non identifiées réservés aux EE).

Objectif 10 : L’entité gère les identités et les accès des utilisateurs

Comptes nominatifs individuels, désactivation des comptes obsolètes, MFA, politique de mots de passe robuste, principe du moindre privilège, revue annuelle des droits d’accès.

EI et EE (certaines sous-mesures d’authentification renforcées pour les EE).

Objectif 11 : L’entité maîtrise l’administration de ses systèmes d’information

Comptes d’administration dédiés et séparés des comptes utilisateurs. Traçabilité des actions d’administration. Sécurisation des annuaires (« cœur de confiance »).

EI et EE.

Objectif 12 : L’entité identifie les incidents de sécurité et y réagit

Organisation de la gestion des incidents : points de contact internes, outils de collecte des signalements, analyse des événements, mécanismes de réaction. Cet objectif inclut la notification à l’ANSSI selon le calendrier prévu par NIS2 :

• 24 heures : alerte initiale
• 72 heures : notification détaillée
• 1 mois : rapport final

EI et EE (plusieurs sous-mesures de réaction et d’analyse réservées aux EE). Moyen de démonstration reconnu : PACS.

Objectif 13 : L’entité dispose de capacités de continuité et de reprise d’activité

Sauvegardes régulières, tests de restauration annuels, protection anti-ransomware des sauvegardes, définition de la durée maximale d’interruption admissible (DMIA) et de la perte de données maximale admissible (PDMA). Mise en place d’un PCA/PRA.

Le coût moyen d’une cyberattaque réussie s’élève à 59 000 € (Asterès pour le CRiP, 2023). Un PCA/PRA bien conçu réduit considérablement ce montant.

EI et EE (PCA/PRA formalisés et mesures avancées réservés aux EE).

Objectif 14 : L’entité est en capacité de réagir aux crises d’origine cyber

Cellule de crise, liste des personnes mobilisables, annuaire des parties prenantes, procédures de communication de crise, moyens de secours et retour d’expérience (RETEX).

EI et EE (procédures formalisées, moyens de secours et RETEX réservés aux EE). Moyen de démonstration reconnu : PACS.

Objectif 15 : L’entité réalise des exercices, tests et entraînements

Exercices et entraînements planifiés pour tester la réponse aux incidents et la gestion de crise. Pour les EE, un programme triennal d’exercices serait requis.

EI et EE (programme triennal et stratégie d’entraînement réservés aux EE). Moyen de démonstration reconnu : PACS.

En cas d’incident avéré, notre service de réponse à incident cybersécurité assure le confinement, l’investigation et la remédiation dans les meilleurs délais.

Un audit de sécurité informatique vous permet d’évaluer votre niveau actuel sur l’ensemble de ces quinze objectifs et d’identifier les écarts prioritaires à combler. Pour passer à l’action, consultez notre checklist NIS2 en 20 actions pour PME.

Objectifs 16 à 20 : réservés aux entités essentielles

Ces cinq objectifs ne s’appliquent qu’aux entités essentielles, mais les entités importantes ont tout intérêt à s’en inspirer.

Objectif 16 : L’entité essentielle met en œuvre une approche par les risques

Ce que cela signifie : Les entités essentielles devraient réaliser une analyse de risques formelle de leurs systèmes d’information, avec un plan d’action et une révision tous les trois ans.

Action concrète : Si vous êtes classé EE, prévoyez une analyse de risques structurée (type EBIOS RM) de vos systèmes critiques.

Applicabilité : EE uniquement. Moyens de démonstration reconnus : ISO/CEI 27001:2022 et PACS (prestataire qualifié ANSSI).

Objectif 17 : L’entité essentielle audite la sécurité de ses systèmes d’information

Ce que cela signifie : Un programme d’audit planifié incluant test d’intrusion, audit de configuration, audit organisationnel et audit de code. Chaque audit devrait produire un rapport avec un plan d’action.

Action concrète : Si vous êtes EE, planifiez un programme d’audit régulier couvrant plusieurs dimensions de la sécurité.

Applicabilité : EE uniquement. Moyen de démonstration reconnu : PASSI (prestataire d’audit qualifié ANSSI).

Objectif 18 : L’entité essentielle sécurise la configuration des ressources de ses systèmes d’information

Durcissement des configurations : pas de paramètres par défaut, révision annuelle des configurations selon les recommandations éditeur et ANSSI.

Applicabilité : EE uniquement.

Objectif 19 : L’entité essentielle réalise les actions d’administration depuis des ressources dédiées

Postes d’administration dédiés et durcis, réseau d’administration physiquement séparé, chiffrement des communications d’administration. L’objectif vise à protéger les accès les plus sensibles de votre SI.

Applicabilité : EE uniquement. Moyen de démonstration reconnu : PAMS, pour une partie des mesures.

Objectif 20 : L’entité essentielle supervise la sécurité de ses systèmes d’information

Supervision centralisée de la sécurité : journalisation des événements (SIEM), détection et corrélation des alertes, conservation des journaux et des événements de sécurité pendant au moins trois mois. Cela concerne les serveurs, les équipements réseau, les solutions de sécurité et les postes d’administration.

Applicabilité : EE uniquement. Moyen de démonstration reconnu : PDIS (prestataire qualifié ANSSI).

Même si votre PME est classée EI, la supervision est un investissement stratégique. Notre SOC externalisé couvre les exigences de supervision NIS2 sans les coûts d’un SOC interne.

EE vs EI : quels objectifs s’appliquent à votre entreprise ?

Voici le tableau synthétique d’applicabilité des 20 objectifs de sécurité NIS2 :

Applicabilité des 20 objectifs NIS2

Objectif	Intitulé	EI	EE
1	Recensement des SI	Oui	Oui
2	Gouvernance sécurité numérique	Oui*	Oui
3	Maîtrise de l'écosystème	Oui	Oui
4	Sécurité et ressources humaines	Oui*	Oui
5	Maîtrise des SI	Oui*	Oui
6	Accès physiques	Oui*	Oui
7	Architecture des SI	Oui*	Oui
8	Accès distants	Oui*	Oui
9	Protection contre les codes malveillants	Oui*	Oui
10	Gestion des identités et accès	Oui	Oui
11	Administration des SI	Oui	Oui
12	Réaction aux incidents	Oui*	Oui
13	Continuité et reprise d'activité	Oui*	Oui
14	Gestion de crise cyber	Oui*	Oui
15	Exercices, tests et entraînements	Oui*	Oui
16	Approche par les risques	Non	Oui
17	Audit de la sécurité des SI	Non	Oui
18	Sécurisation des configurations	Non	Oui
19	Administration depuis ressources dédiées	Non	Oui
20	Supervision sécurité	Non	Oui

À retenir : 5 objectifs sont exclusivement réservés aux EE (16 à 20). Les entités importantes sont concernées par les 15 premiers objectifs, souvent avec des sous-mesures allégées. Cela reste un effort significatif.

Pour savoir si vous êtes EE ou EI, consultez notre page dédiée aux critères d’éligibilité NIS2. Les sanctions en cas de non-conformité diffèrent également : jusqu’à 10 M€ ou 2 % du CA mondial pour les EE, 7 M€ ou 1,4 % du CA pour les EI.

Certifications et prestataires qualifiés : les moyens de démonstration reconnus

Pour certains objectifs, le référentiel ANSSI prévoit qu’une entité peut se prévaloir, lors d’un contrôle, d’une certification ou du recours à un prestataire qualifié pour démontrer qu’elle respecte l’objectif. Ces raccourcis permettraient de démontrer votre conformité sans devoir prouver chaque sous-mesure individuellement.

Certification ISO/CEI 27001:2022

Si votre système de management de la sécurité couvre les SI concernés, la certification ISO 27001 peut servir à démontrer les objectifs 2 et 16 (l’objectif 16 ne concernant que les EE). C’est un investissement conséquent, mais il couvre deux objectifs fondamentaux de gouvernance. Pour comparer NIS2 et ISO 27001 pour votre PME, consultez notre guide dédié.

Prestataires qualifiés ANSSI

Le recours à des prestataires qualifiés par l’ANSSI peut servir à démontrer des objectifs ciblés :

Qualification	Objectifs couverts	Domaine
PASSI	17	Audit de sécurité
PACS	12, 14, 15, 16	Conseil en sécurité
PAMS	19 (une partie des mesures)	Administration sécurisée
PDIS	20	Détection d'incidents

L’approche pragmatique : Meldis vous accompagne dans la préparation de ces objectifs et vous oriente vers les prestataires qualifiés ANSSI adaptés à vos besoins. Un seul interlocuteur pour structurer votre démarche, puis les bons experts pour les prestations qualifiées.

Pour une vue d’ensemble de votre budget, consultez notre article sur le coût de la mise en conformité NIS2.

Questions fréquentes

Les 20 objectifs de sécurité NIS2 sont-ils déjà en vigueur ?

Non. Le référentiel de l'ANSSI (ReCyF v2.5 du 17 mars 2026) est un document de travail. Il ne constitue pas une base normative en vigueur à ce jour. Les textes d'application suivront la promulgation de la Loi Résilience. Le texte final pourrait évoluer par rapport à cette version de travail. Cependant, se préparer dès maintenant reste pertinent : la structure générale des 20 objectifs devrait rester stable.

Combien d'objectifs s'appliquent aux entités importantes (EI) ?

Les entités importantes sont concernées par les 15 premiers objectifs. Les objectifs 16 à 20 sont réservés aux entités essentielles (EE). De plus, sur ces 15 objectifs, de nombreuses sous-mesures sont allégées pour les EI. L'effort est réel mais proportionné.

Comment démontrer le respect d'un objectif grâce à une certification ou à un prestataire qualifié ?

Deux voies principales : la certification ISO/CEI 27001:2022 (objectifs 2 et 16) ou le recours à des prestataires qualifiés ANSSI, PASSI pour l'audit, PACS pour le conseil, PAMS pour l'administration sécurisée, PDIS pour la détection. Ces qualifications sont délivrées par l'ANSSI après un processus d'évaluation rigoureux.

Par où commencer pour se mettre en conformité avec ces objectifs ?

Par l'objectif 1 (cartographier vos systèmes d'information) et l'objectif 2 (nommer un responsable sécurité et rédiger votre PSSI). Ce sont les fondations sur lesquelles reposent tous les autres objectifs. Notre checklist NIS2 vous guide dans cette démarche étape par étape.

Conclusion : se préparer maintenant, agir progressivement

Les 20 objectifs de sécurité NIS2 du référentiel ANSSI couvrent quatre dimensions essentielles de la cybersécurité : gouvernance, protection, défense et résilience. Même si ce référentiel est encore un document de travail, sa structure donne une vision claire de ce qui sera attendu.

Les 5 points à retenir :

1. 20 objectifs, 2 niveaux : 15 objectifs pour toutes les entités régulées, 5 de plus pour les entités essentielles
2. 5 objectifs réservés aux EE (16 à 20) : les EI ont un périmètre réduit mais significatif
3. Certifications et prestataires qualifiés (ISO 27001, PASSI, PACS, PAMS, PDIS) : ils peuvent servir à démontrer certains objectifs
4. Commencez par les bases : cartographie des SI (objectif 1) et PSSI (objectif 2)
5. Le texte peut évoluer : suivez les publications de l’ANSSI pour les décrets finaux

Ne laissez pas l’ampleur du référentiel vous paralyser. La conformité NIS2 se construit progressivement, objectif par objectif.

Évaluez votre écart avec les 20 objectifs ANSSI : Meldis vous accompagne dans votre mise en conformité avec un diagnostic personnalisé et un plan d’action adapté à votre budget.

Demandez votre diagnostic NIS2 →