NIS2 et sauvegarde : les obligations
La directive NIS2 élargit les obligations de cybersécurité à des milliers d'organisations. Sa transposition en droit français, portée par la loi dite « résilience », confie le rôle d'autorité nationale à l'ANSSI. La sauvegarde et la continuité d'activité en sont des piliers explicites.
La date limite de transposition de la directive européenne NIS2 (Network and Information Security 2) par les États membres était fixée au 17 octobre 2024. En France, la transposition a été portée par la loi dite « résilience ». Elle succède à NIS1, avec un périmètre très élargi : là où NIS1 visait quelques centaines d'opérateurs de services essentiels, NIS2 couvre potentiellement plusieurs dizaines de milliers d'entités en France.
L'obligation de fond de NIS2 est la gestion des risques de cybersécurité, avec une liste de mesures minimales que toute entité concernée doit mettre en oeuvre. La sauvegarde et la continuité d'activité figurent explicitement dans cette liste.
Qui est concerné par NIS2 ?
NIS2 distingue les entités essentielles (EE) et les entités importantes (EI). Les EE sont soumises à des exigences plus strictes et à une surveillance proactive de l'ANSSI ; les EI à une surveillance réactive.
Les secteurs couverts sont nombreux : énergie, transports, santé, eau, infrastructures numériques, services numériques, administration publique, banque et finance, alimentation, espace, et d'autres. Au-delà des secteurs, le critère de taille s'applique : les entreprises de plus de 50 salariés et 10 millions d'euros de chiffre d'affaires dans les secteurs concernés entrent dans le périmètre.
Des catégories spécifiques sont incluses quelle que soit la taille : les fournisseurs de services DNS, les registres de noms de domaine, les fournisseurs de cloud, les opérateurs de centres de données, et les prestataires de services managés. Si votre organisation fournit des services numériques à d'autres entreprises, vérifiez votre inclusion.
Quelles obligations de sauvegarde NIS2 impose-t-elle ?
L'article 21 de NIS2 liste les mesures de gestion des risques que toute entité concernée doit tenir. Parmi elles : la continuité des activités, la gestion des sauvegardes et la reprise après sinistre. Ces termes correspondent à ce que les équipes de sécurité appellent le Plan de Continuité d'Activité (PCA) et le Plan de Reprise d'Activité (PRA).
Concrètement, NIS2 exige que votre organisation soit capable de démontrer : qu'elle réalise des sauvegardes régulières de ses systèmes critiques, que ces sauvegardes sont testées (une sauvegarde non testée n'est pas une sauvegarde), que des objectifs de temps de reprise (RTO) et de point de reprise (RPO) sont définis et documentés, et que la chaîne de restauration est opérationnelle.
NIS2 n'impose pas d'outil précis ni de fréquence minimale de sauvegarde. Elle impose un résultat : être capable de maintenir ou de reprendre vos activités après un incident. Votre posture de sauvegarde doit être proportionnée au risque, documentée, et vérifiable.
Les dirigeants sont-ils personnellement responsables ?
Oui. C'est l'une des nouveautés de NIS2 par rapport à NIS1 : la responsabilité des dirigeants devient explicite. Les organes de direction des entités concernées peuvent être tenus personnellement responsables du non-respect des obligations, doivent approuver les mesures de gestion des risques et superviser leur mise en oeuvre.
Les sanctions prévues par NIS2 sont significatives : pour les entités essentielles, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires. En France, l'ANSSI est l'autorité de supervision.
Questions fréquentes
NIS2 est-il déjà applicable en France ?
La directive devait être transposée par les États membres avant le 17 octobre 2024. En France, la transposition a été portée par la loi dite « résilience », qui désigne l'ANSSI comme autorité nationale et fixe le calendrier d'entrée en vigueur des obligations. Ces obligations ne s'imposent pas toutes le même jour : elles montent en charge progressivement, avec des délais d'enregistrement, de mise en conformité et de notification des incidents échelonnés selon la catégorie d'entité. Attendre le dernier délai est un pari risqué, car la mise en place d'un plan de sauvegarde testé et d'une chaîne de restauration documentée prend des mois, pas des semaines. Le réflexe utile : vérifier dès maintenant si votre organisation entre dans le périmètre, puis documenter votre posture de sauvegarde et vos objectifs de reprise. Un audit NIS2 se prépare avant d'être annoncé, pas au moment où il tombe.
Mes sauvegardes doivent-elles être localisées en France pour satisfaire NIS2 ?
NIS2 n'impose pas de localisation géographique précise pour vos sauvegardes. Elle exige que les mesures de sécurité soient proportionnées aux risques que vous avez identifiés, ce qui laisse à chaque organisation le soin de justifier ses choix, localisation comprise. En pratique, la localisation redevient un critère dès que vos données sont sensibles. Un établissement de santé, une collectivité ou un opérateur qui traite des données personnelles à grande échelle a intérêt à localiser ses sauvegardes en France ou dans l'Union européenne : cela renforce la conformité croisée avec le RGPD, qui encadre strictement les transferts hors UE, et cela réduit l'exposition à des lois extraterritoriales comme le Cloud Act. NIS2 raisonne en résultat, pas en recette. Une sauvegarde localisée en France, chiffrée et testée, coche à la fois la case résilience de NIS2 et la case souveraineté attendue par vos autorités de tutelle.
Un service managé satisfait-il les exigences NIS2 ?
Oui, un service managé peut couvrir vos obligations NIS2, à condition que le prestataire respecte lui-même les exigences applicables. NIS2 vise explicitement les fournisseurs de services managés et les opérateurs de centres de données, donc votre prestataire de sauvegarde est très probablement soumis à la directive au même titre que vous. Cette inclusion joue en votre faveur. Un prestataire lui-même régulé doit tenir une posture de sécurité vérifiable : sauvegardes régulières, tests de restauration, gestion des incidents, notification. En externalisant à un acteur sérieux sur ces points, vous transférez une partie de la charge de conformité tout en gardant la responsabilité finale, qui reste la vôtre. Ce qu'il faut demander : la capacité du prestataire à documenter la fréquence des sauvegardes, à prouver les tests de restauration, et à fournir les éléments d'audit qui alimenteront votre PCA et votre PRA. Un service managé incapable de produire ces preuves ne vous met pas en conformité.
Kryolys sauvegarde vos systèmes Microsoft 365, Google Workspace, vos machines et vos buckets S3 avec une fréquence configurable, des sauvegardes datées testables, et des capacités de restauration granulaire documentées. Il vous fournit les éléments nécessaires pour alimenter votre PCA/PRA et répondre à un audit NIS2, sur une base de sauvegarde souveraine pour les entreprises.
Un compte Microsoft 365, Google Workspace ou IMAP. Facturé au siège, quel que soit le volume sauvegardé.
- Mails, fichiers, agendas et contacts
- Snapshots datés, restauration ciblée
- 365 jours d'historique inclus
Une VM, un serveur ou un poste, agent léger inclus. Facturé au volume.
- Facturation au Go au-delà du premier To
- Restauration jusqu'à la machine entière
- 365 jours d'historique inclus
Un bucket S3 ou compatible, chez votre fournisseur ou chez vous. Facturé au volume, dès le plus petit bucket.
- Facturation au Go au-delà du premier To
- Restauration vers le bucket d'origine ou un autre
- 365 jours d'historique inclus
NIS2 exige de pouvoir restaurer, et de le prouver.
Rejoignez la beta.
Kryolys ouvre progressivement. Laissez votre adresse, nous vous prévenons dès que votre accès est prêt, avec une période d'essai gratuite.
L'inscription demande JavaScript. Vous pouvez aussi nous écrire à support@kryolys.com, nous vous ajouterons à la liste.
C'est noté. Vérifiez votre boîte mail pour confirmer votre inscription.
Une erreur est survenue. Réessayez dans un instant, ou écrivez-nous directement.