Enregistrement NIS2 : préparer sa déclaration ANSSI

L’enregistrement NIS2 sert à identifier les entités auprès de l’autorité compétente. En France, le portail officiel propose au 28 septembre 2026 un pré-enregistrement. Avant de le remplir, il faut qualifier l’entité, préparer des informations fiables et organiser leur maintenance. Une déclaration ne constitue pas une certification de cybersécurité.

Où effectuer la démarche en France ?

L’espace NIS2 de MesServicesCyber présente le service de pré-enregistrement et renvoie vers ClubSSI. Le laboratoire de l’ANSSI indique depuis mars 2026 que cet espace intègre progressivement les services de MonEspaceNIS2. Utilisez le parcours accessible depuis les pages officielles, dont l’organisation peut évoluer. Sources : espace officiel NIS2 ; ANSSI, nouvel espace du 24 mars 2026.

La transposition française reste en cours. Au 28 septembre, le dossier législatif de l’Assemblée nationale annonce l’examen du projet Résilience le 7 octobre 2026. Cette programmation est une étape parlementaire future, pas une adoption ni une entrée en vigueur. Source : Assemblée nationale, dossier législatif.

Il faut donc distinguer le pré-enregistrement proposé et les obligations nationales définitives, leurs destinataires et leurs échéances. Le guide NIS2 fournit le cadre d’ensemble.

Stabiliser l’identité et le périmètre avant la saisie

Commencez par une fiche par personne juridique examinée. Le nom commercial d’un groupe, le nom d’un produit et celui de la société qui fournit le service ne désignent pas nécessairement le même périmètre. Rapprochez la dénomination, les établissements, les contrats et l’activité effectivement exercée. Un fichier central peut réunir les réponses du groupe, mais il doit permettre de retrouver ce qui concerne chaque entité.

Séparez la conclusion juridique de la personne chargée de remplir le portail. Le déclarant peut préparer la saisie sans être celui qui décide de la catégorie. Notez qui a vérifié l’activité, les éléments de taille et les éventuelles particularités de l’organisme. Si un point reste incertain, formulez une question précise : quelle prestation entre dans quel type d’entité, sur quels faits et à quelle date ? La seule mention « à vérifier avec l’ANSSI » ne permet pas de suivre le raisonnement.

Pour les activités transfrontières, examinez aussi l’Art. 26. Le principe de compétence lié à l’établissement comporte des exceptions. Pour les prestataires numériques de l’Art. 26(1)(b), l’établissement principal dans l’Union se détermine d’abord par le lieu où sont principalement prises les décisions de gestion des risques cyber ; viennent ensuite, si nécessaire, les opérations de cybersécurité, puis l’établissement comptant le plus de salariés dans l’Union. Le siège social ne suffit donc pas toujours. Les réseaux et services de communications électroniques accessibles au public suivent une autre exception, liée au lieu de fourniture des services. Source : NIS2, Art. 26(1)-(3).

Cette analyse doit précéder la désignation de l’autorité compétente. Elle ne se résout pas en choisissant le portail dont la langue est la plus commode. Documentez les établissements et les lieux de décision pertinents ; ne concluez pas automatiquement que toutes les sociétés d’un groupe relèvent du même État.

Les informations prévues par l’article 3

L’Art. 3(3) charge les États d’établir leur liste d’entités. Le 17 avril 2025 est l’échéance européenne prévue pour cette liste ; il ne faut pas la présenter comme une date de fermeture du pré-enregistrement français.

L’Art. 3(4) prévoit la communication du nom, de l’adresse et des coordonnées actualisées, y compris courriels, plages IP et téléphones. S’ajoutent, le cas échéant, le secteur, le sous-secteur et les États membres où les services concernés sont fournis. Les changements doivent être notifiés sans tarder et au plus tard dans les deux semaines. Source : directive (UE) 2022/2555, Art. 3(3)-(4).

Une préparation utile consiste à identifier qui connaît chaque information et qui est autorisé à la déclarer. Le guide des entités concernées permet de traiter séparément l’activité, la taille et la catégorie.

Le registre particulier de l’article 27

L’Art. 27 vise une liste de prestataires : DNS, registres de premier niveau, services d’enregistrement de noms de domaine, cloud, centres de données, réseaux de diffusion de contenu, services gérés ou de sécurité gérés, places de marché, moteurs de recherche et plateformes de réseaux sociaux.

Il prévoit des informations complémentaires, notamment sur l’établissement principal et les autres établissements légaux dans l’Union ou, selon le cas, le représentant désigné. L’échéance européenne initiale de transmission était le 17 janvier 2025. Son paragraphe 3 prévoit les modifications sans tarder et au plus tard dans les trois mois. Source : NIS2, Art. 26-27.

Ne remplacez pas mécaniquement le délai de deux semaines de l’Art. 3 par trois mois pour toutes les informations. Identifiez le dispositif concerné et les modalités nationales retenues. La FAQ ANSSI distingue les deux bases et réserve ces modalités aux textes de transposition. Source : FAQ ANSSI sur les informations à communiquer.

La fiche de préparation proposée

Cette grille est une méthode interne, pas la reproduction d’un formulaire réglementaire. Ne transmettez pas de secrets techniques non demandés et ne déduisez pas d’un champ absent dans un simulateur que votre organisme est nécessairement hors champ. Les collectivités territoriales demandent notamment une analyse spécifique.

Fiabiliser les contacts et les informations techniques

Un dossier peut être exact le jour de sa préparation et inutilisable lorsque l’autorité cherche à joindre l’entité. Choisissez des contacts dont le suivi est organisé, avec une suppléance et une procédure lors des départs. Vérifiez qui reçoit les messages, qui peut répondre au nom de l’organisme et qui doit être alerté si la demande concerne un incident. Une boîte fonctionnelle peut faciliter la continuité ; sa seule existence ne prouve pas qu’elle est surveillée.

Les plages IP demandent un travail distinct. Faites rapprocher l’inventaire technique des services réellement fournis par l’entité. Relevez la provenance de la liste et sa date de vérification. Une adresse utilisée par un prestataire pour plusieurs clients ne doit pas être attribuée sans analyse à votre organisme. Une infrastructure partagée ne peut pas davantage être omise par principe : demandez la précision nécessaire sur le périmètre attendu avant la transmission.

Voici une feuille de rapprochement proposée pour préparer ces informations, sans présumer les champs du formulaire final :

Conservez les justifications dans le dossier interne ; leur collecte ne signifie pas qu’elles doivent toutes être déposées sur le portail. Transmettez les informations requises par le parcours applicable. Une demande de précision doit pouvoir être traitée sans reconstruire l’inventaire ni renvoyer un ensemble indistinct de documents techniques.

Prévoir les changements dès le premier dépôt

Le dossier d’enregistrement doit rester relié aux événements de l’organisation : changement de nom, transfert d’établissement, nouvelle activité, modification de coordonnées ou évolution d’infrastructure. Définissez qui signale chaque événement et qui examine ses conséquences. Une revue annuelle seule peut laisser passer les délais de mise à jour prévus par la directive.

Tenez un suivi comportant l’information modifiée, la date effective du changement, le dispositif concerné, la décision de déclaration et la preuve de transmission lorsqu’elle existe. Les plafonds de deux semaines et de trois mois ne constituent pas une invitation à attendre : les deux articles demandent d’agir sans tarder. Le dossier français doit être ajusté aux modalités nationales applicables, sans transformer une recommandation interne en échéance réglementaire inventée.

Une modification d’activité peut exiger de reprendre la qualification, et pas seulement de corriger une ligne du formulaire. Inversement, le remplacement d’un contact ne prouve aucun changement de catégorie. Gardez la version précédente et expliquez le motif de la correction ; cette continuité permet de comprendre ce qui a été déclaré à chaque étape.

Enfin, distinguez une saisie préparée, une démarche transmise et un accusé effectivement reçu. Conservez la portée exacte du message retourné par le service. Un accusé de dépôt atteste ce qu’il indique ; il ne faut pas lui attribuer une validation du périmètre juridique ou des mesures de sécurité qu’il ne contient pas.

Après la déclaration : traiter les risques

La démarche doit se poursuivre avec les mesures de sécurité et la préparation des incidents. Le ReCyF diffusé par l’ANSSI reste présenté comme un document de travail, par défaut non obligatoire, permettant de préparer les objectifs NIS2. Son utilisation ne vaut pas une validation générale de conformité. Source : ANSSI, statut du ReCyF.

Utilisez la checklist NIS2 pour suivre les écarts. La procédure de notification cyber doit identifier les interlocuteurs et les déclencheurs séparément du dossier d’enregistrement.

Ce qu’il faut retenir

• Partez du portail officiel et vérifiez le statut de la démarche.
• Préparez une qualification et des informations documentées.
• Distinguez les bases des Art. 3 et 27 et leurs mises à jour.
• Poursuivez le travail de sécurité après le pré-enregistrement.

FAQ

Le pré-enregistrement prouve-t-il la conformité ?

Non. Il concerne l’identification de l’entité. Il ne démontre pas la mise en œuvre ni l’efficacité des mesures de sécurité.

Le 7 octobre 2026 est-il une date d’entrée en vigueur ?

Non. Il s’agit, dans le dossier parlementaire consulté au 28 septembre, d’une date prévue d’examen parlementaire du projet. Les textes adoptés et leurs dispositions temporelles devront être vérifiés.

Peut-on remplir le dossier sans avoir qualifié l’entité ?

Il vaut mieux résoudre les questions de périmètre avant de déclarer une catégorie. Conservez les pièces et les points restant à confirmer pour éviter une réponse fondée seulement sur une intuition.

Recevez nos analyses sur les échéances et obligations NIS2.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.