NIS2 ne mentionne pas une seule fois l'assurance, et ne régule pas directement les assureurs. Pourtant, en relevant le socle de cybersécurité de quinze à vingt mille entités françaises et en rendant les dirigeants personnellement responsables, cette directive redessine en profondeur le risque que les assureurs souscrivent.
La directive du 14 décembre 2022 dite NIS2, formellement la directive (UE) 2022/2555, remplace la première directive de 2016 sur la sécurité des réseaux et des systèmes d'information, dont la portée s'était révélée trop étroite et l'application trop hétérogène face à l'aggravation de la menace1. Le changement d'échelle est spectaculaire. Là où la première directive ne visait en France qu'environ cinq cents opérateurs d'importance vitale et de services essentiels, NIS2 étend ses obligations à dix-huit secteurs et à une population estimée par l'ANSSI entre quinze mille et vingt mille entités2. L'énergie, les transports, la santé, l'eau, les infrastructures numériques, l'administration publique, mais aussi la fabrication de produits critiques, l'agroalimentaire, la gestion des déchets et la recherche entrent désormais dans le champ d'une régulation contraignante.
NIS2 distingue deux catégories d'assujettis selon leur criticité et leur taille. Les entités essentielles, généralement les grandes entreprises des secteurs les plus sensibles, sont soumises à une supervision a priori, proactive et continue. Les entités importantes, de taille intermédiaire ou relevant de secteurs moins critiques, ne sont contrôlées qu'a posteriori, en réaction à un incident ou à un soupçon de manquement. Les deux catégories partagent toutefois le même socle d'obligations de fond, et c'est ce socle qui intéresse au premier chef l'analyse assurantielle, car il définit le nouveau standard de sécurité auquel toute organisation couverte devra se conformer.
Les obligations de NIS2 reposent sur trois articles structurants. L'article 21 impose un ensemble de mesures techniques et organisationnelles de gestion du risque, allant de la sécurité de la chaîne d'approvisionnement à l'authentification renforcée, en passant par la continuité d'activité et le chiffrement3. L'article 23 fixe un calendrier strict de notification des incidents significatifs, avec une alerte précoce dans les vingt-quatre heures, une notification circonstanciée dans les soixante-douze heures et un rapport final dans le mois3. L'article 20, enfin, place la cybersécurité au niveau de l'organe de direction, qui doit approuver et superviser les mesures, suivre une formation, et peut voir sa responsabilité personnelle engagée4. Ce dernier article est le point de bascule qui fait passer la cybersécurité d'un enjeu technique à une responsabilité fiduciaire du conseil.
Une confusion fréquente mérite d'être levée d'emblée. NIS2 inclut bien la banque et les infrastructures de marché financier dans ses secteurs, et l'on pourrait croire que les assureurs y sont soumis pour leur propre cybersécurité. Il n'en est rien. L'article 4 de NIS2 prévoit que lorsqu'un acte sectoriel impose des obligations au moins équivalentes, ce sont ces obligations qui s'appliquent. Or le secteur financier dispose précisément d'un tel acte, le règlement DORA sur la résilience opérationnelle numérique, qui se déclare expressément lex specialis pour les entités financières5. Un assureur relève donc de DORA, et non de NIS2, pour sa gestion du risque informatique et sa notification d'incidents, comme l'ont confirmé les transpositions nationales, à l'image du droit allemand qui renvoie explicitement à DORA pour les entreprises soumises au code des assurances.
Ce point de droit, loin d'être une subtilité, déplace entièrement l'objet de l'analyse. Si NIS2 ne régit pas la cybersécurité interne des assureurs, alors ses implications assurantielles ne se situent pas du côté de l'assureur en tant qu'entité régulée, mais du côté de ses assurés. NIS2 agit sur le marché de l'assurance non pas en imposant des règles aux compagnies, mais en transformant le profil de risque des dizaines de milliers d'entreprises que ces compagnies couvrent. C'est une réglementation de prévention qui, par ricochet, devient une force structurante du marché de la cyberassurance et de la responsabilité des dirigeants. L'assureur n'est pas le sujet de NIS2, il en est le bénéficiaire indirect et l'observateur intéressé.
En imposant un socle commun de mesures de sécurité à des dizaines de milliers d'entreprises, NIS2 redéfinit ce que les assureurs appellent l'hygiène cyber, c'est-à-dire le niveau minimal de protection en deçà duquel un risque devient difficilement souscriptible. Avant NIS2, les assureurs cyber devaient évaluer ce niveau au cas par cas, par des questionnaires de souscription dont la fiabilité dépendait des déclarations de l'assuré. La directive crée désormais une référence réglementaire opposable, un standard légal de sécurité auquel la conformité peut être vérifiée et, le cas échéant, sanctionnée par une autorité publique. Pour l'assureur, cette référence est un instrument précieux de sélection des risques, car elle externalise une partie du travail de contrôle vers le superviseur national.
L'effet se manifeste à deux moments du contrat. À la souscription, la conformité NIS2 tend à devenir un critère d'éligibilité ou un facteur de tarification, les assureurs intégrant des questions relatives au statut d'entité essentielle ou importante et au respect des mesures de l'article 21. Au stade du sinistre, le non-respect de ces mesures peut justifier une réduction d'indemnité, voire une déchéance de garantie, si le contrat subordonne la couverture au maintien d'un niveau de sécurité raisonnable, ou si la défaillance constitutive du sinistre procède d'un manquement délibéré aux obligations légales. La conformité réglementaire et la garantie d'assurance se trouvent ainsi enchevêtrées, la première devenant une condition implicite de la seconde.
Au-delà de la sélection des risques, NIS2 offre aux assureurs un gisement de données dont la cyberassurance manquait cruellement. Le précédent article de cette série soulignait combien le risque cyber demeure difficile à tarifer faute d'historique stationnaire et de données homogènes. En obligeant des milliers d'entités à documenter leurs mesures de sécurité, à notifier leurs incidents selon un format commun et à se soumettre à des audits, la directive génère un flux d'informations standardisées qui, une fois agrégées, pourraient nourrir des modèles de tarification bien plus fins. Les référentiels techniques publiés par l'ENISA en 2025, qui rattachent les mesures de l'article 21 à des normes existantes telles que la norme ISO 27001, renforcent cette convergence en dotant le marché d'un langage commun de la sécurité10.
Cet avantage demeure toutefois théorique tant que les données de notification restent confinées aux superviseurs et soumises à la confidentialité. La valeur assurantielle de NIS2 dépendra donc largement de la mesure dans laquelle ces informations, dûment anonymisées et mutualisées, pourront irriguer la connaissance du marché. L'enjeu relève autant de la gouvernance des données que du droit, et il déterminera si la directive restera un simple instrument de prévention ou deviendra aussi un instrument de mesurabilité du risque cyber, ce verrou que les articles précédents identifiaient comme central pour l'assurabilité du cyber.
L'innovation la plus lourde de conséquences assurantielles est sans doute l'article 20, qui érige la cybersécurité en obligation de l'organe de direction lui-même. Les membres de la direction doivent approuver les mesures de gestion du risque, en superviser la mise en oeuvre et suivre une formation dédiée, faute de quoi leur responsabilité personnelle peut être recherchée. Plusieurs transpositions nationales assortissent ce principe de sanctions individuelles. L'Allemagne prévoit des amendes personnelles pouvant atteindre cinq cent mille euros, et la directive autorise, pour les entités essentielles, l'interdiction temporaire d'exercer des fonctions dirigeantes4. La cybersécurité quitte ainsi la sphère opérationnelle du responsable des systèmes d'information pour devenir un devoir de diligence du conseil d'administration.
Ce déplacement crée une exposition directe pour l'assurance de la responsabilité des dirigeants, dite D&O. Jusqu'alors, un incident cyber engageait principalement la responsabilité de l'entreprise et relevait de la police cyber. Avec NIS2, un manquement aux obligations de gouvernance peut désormais engager la responsabilité personnelle des dirigeants, terrain de la police D&O. Les deux marchés, longtemps distincts, se trouvent reliés par un même événement, une cyberattaque révélant une carence de supervision pouvant déclencher à la fois la garantie cyber de l'entreprise et la garantie D&O de ses mandataires sociaux. Cette double exposition appelle une coordination contractuelle nouvelle entre des polices conçues séparément.
Cette convergence soulève des questions d'articulation inédites. Un même sinistre pouvant relever à la fois de la police cyber de l'entreprise et de la police D&O de ses dirigeants, la répartition de la charge entre assureurs, la coordination des franchises et l'ordre d'intervention des garanties deviennent des sujets de négociation à part entière. Le marché a commencé à y répondre par des dispositifs spécifiques, certaines polices D&O intégrant des avenants couvrant les frais de défense liés aux enquêtes de cybersécurité, d'autres excluant au contraire explicitement les manquements réglementaires pour éviter tout chevauchement de garantie. La maturité du marché se mesurera à sa capacité à offrir une couverture cohérente plutôt qu'un empilement de polices aux frontières floues, dont l'assuré ne découvrirait les lacunes qu'au moment du sinistre.
NIS2 dote les superviseurs nationaux d'un arsenal de sanctions sans précédent dans l'histoire de la cybersécurité européenne. Les entités essentielles encourent une amende pouvant atteindre dix millions d'euros ou 2 pour cent du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, et les entités importantes sept millions d'euros ou 1,4 pour cent6. Au-delà des amendes, les autorités peuvent émettre des injonctions contraignantes, ordonner la cessation des comportements non conformes ou suspendre des certifications. La crédibilité dissuasive du dispositif repose sur le caractère effectif, proportionné et dissuasif de ces sanctions, conformément à l'exigence posée par la directive.
C'est ici que se révèle une limite structurelle du transfert de risque. Dans le droit français comme dans plusieurs juridictions européennes, les amendes et sanctions à caractère punitif sont en principe inassurables, en vertu d'un principe d'ordre public selon lequel garantir une sanction reviendrait à en neutraliser la fonction dissuasive7. Une entreprise ne peut donc, en règle générale, transférer à un assureur le coût d'une amende NIS2, pas plus qu'un dirigeant ne peut s'assurer contre une interdiction de gérer. Ce qui demeure assurable se situe à la périphérie de la sanction, les frais de défense, les coûts d'enquête réglementaire et la responsabilité civile susceptible de découler de l'incident, dans les limites et selon les juridictions. Le risque réglementaire pur, lui, reste à la charge de l'entité et de ses dirigeants, ce qui en fait un puissant aiguillon de conformité.
Cette inassurabilité produit un effet comportemental notable sur les organes de direction. Ne pouvant transférer cette part du risque, les dirigeants sont incités à investir en amont dans la conformité elle-même, c'est-à-dire dans la prévention, plutôt que dans sa seule couverture financière a posteriori. NIS2 réalise ainsi, par la voie de l'inassurabilité, ce que la tarification assurantielle peine parfois à obtenir, un alignement des intérêts de la direction sur la réduction effective du risque plutôt que sur son simple transfert.
Cette frontière a une portée pratique considérable. Elle signifie que l'assurance ne peut pas servir d'échappatoire à la discipline imposée par NIS2, et que la directive conserve son efficacité incitative quels que soient les arrangements assurantiels souscrits. Elle implique aussi que les polices doivent être rédigées avec une grande précision pour distinguer la part transférable de la part inassurable du risque, sous peine de litiges au stade de l'indemnisation. La sophistication contractuelle du marché cyber et D&O en sortira nécessairement renforcée.
La mise en oeuvre de NIS2 souffre d'un retard et d'une hétérogénéité qui compliquent la tâche des assureurs opérant à l'échelle européenne. Le délai de transposition fixé au 17 octobre 2024 a été largement dépassé, conduisant la Commission européenne à ouvrir des procédures d'infraction contre la plupart des États membres et à saisir la Cour de justice à l'encontre de plusieurs d'entre eux au printemps 20268. La France, en particulier, a accusé un retard notable, transposant la directive par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit Loi Résilience, présenté en conseil des ministres en octobre 2024, adopté par le Sénat en mars 2025, puis longuement examiné à l'Assemblée nationale, la promulgation étant attendue au cours de l'été 20269. L'ANSSI a prévu une montée en charge progressive, faite de sensibilisation jusqu'en 2026, d'audits ciblés à partir de 2026 et de sanctions effectives à compter de 2027.
Cette fragmentation crée une difficulté propre à l'assurance. Un groupe présent dans plusieurs États membres se trouve confronté à un patchwork d'obligations, de seuils, de canaux de notification et d'autorités compétentes, chaque transposition nationale ajoutant ses particularités au socle commun. Pour l'assureur qui couvre un tel groupe, l'évaluation du risque de conformité devient un exercice multi-juridictionnel, et l'incertitude sur le calendrier d'entrée en vigueur retarde l'ajustement des conditions de souscription. La directive, censée harmoniser, produit transitoirement une complexité accrue.
L'obligation de sécurité de la chaîne d'approvisionnement, inscrite à l'article 21, mérite une attention particulière au regard des thèmes déjà traités dans cette série. En imposant à chaque entité de maîtriser le risque cyber de ses fournisseurs, NIS2 organise une cascade contractuelle d'exigences qui se propage le long des chaînes de valeur. Cette logique est vertueuse du point de vue de la prévention, mais elle ne supprime pas, et pourrait même accentuer, la dépendance commune à un petit nombre de prestataires critiques, source du risque d'accumulation systémique analysé à propos de l'incident CrowdStrike. Une défaillance unique chez un fournisseur partagé peut déclencher simultanément des manquements et des sinistres chez des milliers d'entités assujetties, transformant une exigence de sécurité distribuée en une corrélation de risque concentrée.
Au terme de cette analyse, NIS2 apparaît comme une réglementation dont les effets assurantiels sont aussi profonds qu'indirects. Sans jamais s'adresser aux assureurs, qui relèvent de DORA, elle reconfigure le risque qu'ils souscrivent, en élève le plancher d'hygiène, en révèle les mauvais segments, étend l'exposition vers la responsabilité personnelle des dirigeants et trace une frontière nette entre ce qui peut être transféré et ce qui doit demeurer à la charge de l'assujetti. La directive ne crée pas un marché, mais elle en redessine silencieusement les contours. La vraie question des prochaines années sera de savoir si les assureurs sauront transformer cette contrainte réglementaire en avantage de connaissance, en exploitant la transparence nouvelle qu'elle impose pour tarifer plus finement un risque cyber qui, ailleurs dans cette série, s'est révélé si rétif à la mesure.
L’assurance repose sur un pari probabiliste implicite : celui que le passé renseigne sur l’avenir. Or le changement climatique invalide précisément cette hypothèse.
Comment une mise à jour endpoint devient un single point of failure mondial et réécrit les modèles de PML cyber des réassureurs
Substitution du travail cognitif, hyper-aplatissement organisationnel et émergence de nouveaux risques opérationnels
Une entreprise moyenne reçoit une lettre de son plus gros client, une clause exigeant la preuve de sa conformité à NIS2 sous quatre-vingt-dix jours, sinon le contrat s'arrête. Son dirigeant n'a jamais entendu parler de NIS2. Et il a tort de ne pas s'en inquiéter.