L’échéance est passée depuis près de deux ans. NIS2 (la directive européenne actualisée sur la cybersécurité) devait être transposée en droit national dans toute l’Union avant le 17 octobre 2024. La plupart des États membres l’ont fait, et quatre de ceux qui ne l’ont pas encore fait sont désormais poursuivis en justice pour ce motif. Si votre organisation exploite des services essentiels, ou pèse d’un poids significatif dans l’un des secteurs concernés, la question n’est plus de savoir si les règles s’appliquent : elle est de savoir si vous pouvez démontrer à un régulateur que vos contrôles d’accès y répondent. Et pour la première fois, cette question atterrit sur le bureau de la direction, et non plus seulement à la DSI.
L’authentification est désormais inscrite dans la loi, plus seulement dans les recommandations
Les référentiels de bonnes pratiques antérieurs recommandaient l’authentification multifacteur. NIS2 va plus loin. Ses mesures de base en matière de gestion des risques (article 21) imposent aux organisations de mettre en place des contrôles techniques comprenant des politiques de contrôle d’accès, de la cryptographie et, énoncé noir sur blanc, l’usage de solutions d’authentification multifacteur ou d’authentification continue lorsque cela se justifie.
Concrètement, un second facteur faible ou facultatif n’est plus une position défendable. Si un auditeur vous demande comment un administrateur à privilèges se connecte à votre VPN, à vos serveurs Windows ou à votre console d’administration, « un mot de passe et parfois un code SMS » est la réponse qui ouvre un constat de non-conformité.
Ce qui a changé en 2026
Deux choses ont changé cette année, et aucune n’assouplit l’exigence en matière d’authentification.
- Quatre États membres sont poursuivis en justice. Le 8 juillet 2026, la Commission a saisi la Cour de justice de l’UE d’un recours contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de notification d’une transposition complète, après des lettres de mise en demeure en novembre 2024 et des avis motivés en mai 2025 (communiqué de presse de la Commission). Là où la loi nationale tarde, les obligations sont différées, et non supprimées.
- Une modification a été proposée. Le 20 janvier 2026, la Commission a proposé de modifier NIS2 afin de la simplifier et de l’aligner sur le règlement sur la cybersécurité (Cybersecurity Act) (COM(2026) 13). Le texte simplifierait les règles de compétence, resserrerait quelques définitions sectorielles, préciserait la notification des incidents liés aux rançongiciels et créerait une catégorie de « petites entreprises à moyenne capitalisation » (small mid-caps) : les organisations de moins de 750 salariés réalisant moins de 150 millions d’euros de chiffre d’affaires, traitées comme des entités importantes et soumises uniquement à une supervision a posteriori. Il ne s’agit encore que d’une proposition, qui n’a pas été adoptée. Les mesures de sécurité de l’article 21, authentification multifacteur comprise, ne figurent pas parmi les points qu’elle entend modifier.
Pour l’authentification, le message pratique reste donc le même : si vous entrez dans le champ d’application, la MFA sur les voies d’accès qui comptent est dès aujourd’hui une obligation légale, et la modification proposée n’entend pas changer cela.
À qui cela s’applique
NIS2 répartit les organisations entre entités essentielles et importantes dans un large éventail de secteurs : énergie, transports, banque et infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, administration publique et d’autres encore, avec un second niveau qui englobe les services postaux, la gestion des déchets, l’industrie manufacturière, l’agroalimentaire, la chimie et les fournisseurs numériques. De nombreuses organisations qui échappaient à la directive NIS d’origine relèvent désormais pleinement de sa remplaçante.
En règle générale, une organisation de l’un de ces secteurs entre dans le champ d’application dès qu’elle atteint la taille d’une moyenne entreprise : 50 salariés ou plus, ou plus de 10 millions d’euros de chiffre d’affaires annuel. Certains types d’entités y sont soumis quelle que soit leur taille. Les seuils exacts sont fixés par le droit national de chaque pays.
Deux évolutions font passer le sujet au-delà de la simple case à cocher :
- Responsabilité de la direction. Les organes de direction doivent approuver et superviser les mesures de gestion des risques de cybersécurité, et peuvent voir leur responsabilité personnelle engagée en cas de manquement.
- Des sanctions bien réelles. En cas de manquement aux obligations de gestion des risques ou de notification, le droit national doit prévoir, pour les entités essentielles, une amende maximale d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les entités importantes, ces montants sont de 7 millions d’euros ou 1,4 %. Les pays peuvent fixer un plafond plus élevé.
À quoi ressemble vraiment une authentification « au niveau NIS2 »
Disposer de quelques mécanismes MFA ne revient pas à satisfaire l’intention de la directive. Trois éléments distinguent un contrôle qui convainc un auditeur de celui qui ne fait bonne figure que sur une diapositive :
- Résistance à l’hameçonnage et au relais. Les codes SMS peuvent être interceptés ou détournés par échange de carte SIM (SIM swap), et, tout comme les notifications push en un seul geste, ils peuvent être relayés en temps réel par une page d’interception (adversary-in-the-middle, AiTM). Une clé liée au matériel à l’intérieur de l’appareil de l’utilisateur (une clé qui ne peut être ni copiée ni rejouée) élimine l’interception et l’échange de carte SIM. Le relais est plus difficile à contrer : seules les méthodes liées au site, comme les clés de sécurité FIDO, le bloquent purement et simplement, tandis qu’une approbation qui indique d’où provient la demande le rend visible à l’utilisateur attentif. La lassitude face aux notifications (push fatigue) est un problème distinct, qu’aucune clé ni biométrie n’enraye une fois que la demande atteint le téléphone : on n’en vient à bout que par ce que la demande affiche : une description précise et lisible de ce qui est exactement approuvé, de sorte que rien n’est jamais approuvé à l’aveugle.
- Couverture des accès à privilèges et distants. L’exigence n’est pas « la MFA sur la messagerie web ». C’est chaque voie qu’un attaquant emprunterait réellement : VPN, bureau à distance, connexions aux serveurs, consoles d’administration.
- La preuve. NIS2 consiste autant à démontrer le contrôle qu’à l’exercer. Chaque authentification devrait laisser une trace auditable et infalsifiable de qui a approuvé quoi, et à quel moment.
Où Notakey s’inscrit
Notakey est conçu précisément pour ce profil d’organisation : réglementée, soucieuse de sa sécurité, et redevable devant des auditeurs.
- La clé de l’utilisateur est générée dans le matériel sécurisé du téléphone et ne le quitte jamais. Il n’y a aucun secret partagé à dérober, et aucun code à intercepter.
- Chaque connexion et chaque transaction constitue un événement signé cryptographiquement et horodaté : la piste d’audit qu’une évaluation NIS2 réclame, produite automatiquement au lieu d’être reconstituée après coup.
- Il couvre les voies d’accès qui comptent, via les protocoles que vos systèmes parlent déjà. Voyez les guides pratiques pour la 2FA sur un VPN via RADIUS, le bureau à distance Windows et le SSH Linux.
- Il fonctionne dans votre propre infrastructure ou dans le cloud, de sorte que les données d’authentification peuvent rester sous votre contrôle, avec une conformité PSD2, eIDAS et RGPD intégrée dès la conception plutôt qu’ajoutée après coup.
Nous n’allons délibérément pas vous dire que Notakey « vous rend conforme à NIS2 ». Aucun produit ne le fait à lui seul. Ce qu’il fait, c’est combler la partie de l’écart qui relève de l’authentification, et vous remettre les preuves pour le démontrer.
Commencez par un pilote, pas par un document de politique
Le moyen le plus rapide de savoir si votre authentification répond à NIS2, c’est de la mettre à l’épreuve dans votre propre environnement : un vrai VPN, une vraie connexion d’administrateur, une poignée d’utilisateurs réels. Cela vous en apprendra davantage sur votre écart (et sur vos preuves) en une semaine qu’une grille de fonctionnalités en un trimestre.
Essayez la démo en ligne pour signer une transaction depuis votre propre téléphone en deux minutes environ, ou demandez une démo et nous relierons votre accès VPN, SSO ou Windows à un pilote opérationnel.
Cet article fournit une information générale et ne constitue pas un avis juridique. NIS2 est transposée en droit national séparément par chaque État membre de l’UE ; vérifiez les obligations, seuils et échéances précis qui s’appliquent à votre organisation auprès d’un conseil qualifié.