NIS2 et votre site web : qui est concerné, et ce que change un WAF

Ce qu'est NIS2

La directive (UE) 2022/2555, dite NIS2, fixe un niveau commun de cybersécurité dans l'Union européenne. Elle remplace la directive NIS de 2016 et élargit fortement son périmètre : là où NIS visait quelques centaines d'opérateurs, NIS2 s'applique à des milliers d'entreprises de taille moyenne et grande, dans dix-huit secteurs.

Qui est concerné

• Les entreprises moyennes et grandes (en règle générale, à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires) des secteurs listés aux annexes I et II : énergie, transports, santé, infrastructures numériques, fabrication, services postaux, alimentation, entre autres.
• Certaines entités quelle que soit leur taille, comme les fournisseurs de services DNS ou les registres de noms de domaine.
• Deux catégories : les entités essentielles et les entités importantes, qui n'ont pas le même régime de contrôle ni les mêmes plafonds de sanction.

Une petite entreprise hors de ces secteurs n'est en principe pas visée directement. Elle peut l'être indirectement : NIS2 oblige les entités concernées à surveiller la sécurité de leur chaîne d'approvisionnement, donc à interroger leurs fournisseurs.

Ce que la directive demande

• Des mesures de gestion des risques (article 21) : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, contrôle d'accès, chiffrement, authentification multifacteur, formation.
• La notification des incidents importants (article 23) : une alerte précoce sous 24 heures, une notification sous 72 heures, un rapport final sous un mois.
• La responsabilité de la direction, qui doit approuver ces mesures et se former.
• Des sanctions (article 34) pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante.

Où en est la France

Les États membres devaient transposer la directive avant le 17 octobre 2024. En France, le projet de loi « Résilience », qui la transpose, a été adopté par le Sénat en mars 2025 ; au 27 octobre 2026, il n'est pas encore définitivement adopté, son examen à l'Assemblée nationale ayant de nouveau été reporté en octobre 2026. L'ANSSI, chargée de piloter le dispositif, publie l'état d'avancement et un test d'éligibilité sur son portail MonEspaceNIS2.

La place d'un pare-feu applicatif

Pour un site web exposé, un pare-feu applicatif contribue concrètement à trois exigences de l'article 21 : la sécurité des réseaux et systèmes d'information (les attaques applicatives sont bloquées avant le serveur), la gestion des vulnérabilités (une faille publiée est filtrée avant d'être corrigée, et la veille la signale), et la gestion des incidents (chaque blocage est journalisé et daté, ce qui aide à reconstituer un incident dans les délais de notification).

Il ne fait rien pour la gouvernance, la formation, la continuité d'activité de vos autres systèmes, ni pour la notification elle-même, qui reste votre responsabilité.