NIS2 à La Réunion : qui est concerné en 2026 ?

Où en est la loi française ?

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022. Les États membres devaient la transposer avant le 17 octobre 2024. La France a manqué cette échéance. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, puis adopté par la commission spéciale de l'Assemblée nationale le 10 septembre 2025.

Depuis, le texte attend son vote en séance publique. Son examen, programmé les 7 et 9 octobre 2026, a été retiré de l'ordre du jour le 6 octobre 2026, sans nouvelle date. Une fois la loi votée et promulguée, des décrets fixeront les mesures précises et le calendrier de mise en conformité. L'ANSSI le résume sur son espace NIS2 : « La transposition de la directive NIS 2 en France est en cours. »

Deux catégories d'entités, deux niveaux d'exigence

La directive distingue les entités essentielles et les entités importantes. Les seuils ci-dessous sont ceux publiés par l'ANSSI ; les plafonds d'amende sont ceux de l'article 34 de la directive.

Les 18 secteurs, et ceux qui pèsent à La Réunion

L'annexe I de la directive liste onze secteurs hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services informatiques interentreprises, administration publique et espace. L'annexe II ajoute sept autres secteurs critiques : services postaux et d'expédition, gestion des déchets, produits chimiques, production et distribution de denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche.

Sur une île, plusieurs de ces secteurs sont structurants et dépendent de quelques acteurs : la production et la distribution d'eau et d'électricité, le port et l'aéroport, les établissements de santé, les banques, les industries agroalimentaires de la canne, du lait et des boissons, les opérateurs télécoms et hébergeurs, les collectivités et les établissements publics. Les prestataires informatiques qui gèrent les systèmes de ces entités, dont Écureuil Digital, relèvent du secteur « gestion des services informatiques interentreprises ».

Et les petites entreprises réunionnaises ?

La plupart ne sont pas concernées directement. Selon l'INSEE, La Réunion comptait 56 290 unités légales marchandes en 2022 et sept sur dix n'emploient aucun salarié ; les entreprises de 10 à 249 salariés regroupent 56 % des salariés. Le seuil de 50 salariés laisse donc l'immense majorité du tissu économique hors du périmètre direct.

Elles sont en revanche concernées indirectement, de deux façons. D'abord comme fournisseurs : la directive oblige les entités concernées à sécuriser leur chaîne d'approvisionnement, donc à exiger des garanties de leurs sous-traitants, du cabinet comptable au transporteur. Ensuite comme cibles : dans son Panorama de la cybermenace 2025, l'ANSSI note que les PME, TPE et ETI restent la catégorie d'entités la plus touchée par les rançongiciels, devant les collectivités (11 % des victimes) et les établissements de santé (8 %). La réglementation suit la menace, pas l'inverse.

Les obligations principales

Si vous êtes concerné, la directive (articles 20 à 23) impose un socle de mesures techniques et organisationnelles :

1. Enregistrement auprès de l'ANSSI, qui ouvrira une déclaration en ligne une fois la loi votée.
2. Analyse de risques documentée et politique de sécurité approuvée par la direction, qui en porte la responsabilité.
3. Mesures techniques : gestion des accès et double authentification, chiffrement, sauvegardes, maintien à jour des systèmes, segmentation, détection des incidents.
4. Continuité d'activité : sauvegardes testées, plan de reprise, gestion de crise.
5. Sécurité de la chaîne d'approvisionnement : évaluation des fournisseurs, dont le prestataire informatique.
6. Formation des dirigeants et des salariés, avec traces.
7. Notification des incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.

Ces délais s'ajoutent à ceux du RGPD : une violation de données personnelles se notifie à la CNIL dans les 72 heures. En 2025, la CNIL a reçu 6 167 notifications de violations, un record, en hausse de 9,5 % sur un an.

Que faire maintenant, sans attendre les décrets

Les mesures demandées par NIS2 sont celles que toute entreprise devrait déjà avoir : notre checklist cybersécurité en 12 mesures en couvre l'essentiel. Trois étapes suffisent pour prendre de l'avance :

1. Qualifier votre situation : secteur, effectif, chiffre d'affaires, et liste de vos clients qui seront eux-mêmes concernés. C'est l'objet de notre accompagnement NIS2.
2. Mesurer l'écart avec un audit informatique : sauvegardes réellement restaurables, accès, mises à jour, journalisation.
3. Combler le socle : sauvegarde externalisée et PRA, protection des postes et supervision, compris dans le forfait infogérance pour les PME. Le détail des protections est sur la page cybersécurité.

Le coût dépend du point de départ ; dans tous les cas, l'effort réduit un risque qui existe avec ou sans loi.