iD4Connect

NIS2: la directiva que obliga a repensar la circulación de sus datos

Publié le 10 juillet 2026 par iD4Connect

La directiva NIS2 es ya el marco de referencia de la ciberseguridad europea. Para los CIO y los CISO, no se limita a una nueva casilla de conformidad que marcar: obliga a revisar la manera en que los datos entran en el sistema de información, circulan por él y salen de él. Esto es lo que realmente impone, y por qué la forma en que hace transitar sus flujos se convierte en un asunto de primer orden.

NIS2, una directiva que cambia de escala

NIS2 es la Directiva (UE) 2022/2555, adoptada a finales de 2022 y en vigor desde enero de 2023. Sucede a la primera directiva NIS de 2016, que se quedó demasiado corta ante la magnitud que alcanzaron los ciberataques. La Comisión Europea la presenta como la base de un nivel común y elevado de ciberseguridad en toda la Unión.

El calendario es fácil de recordar: los Estados miembros debían transponerla a su Derecho nacional antes del 17 de octubre de 2024. En Francia, es la ANSSI quien dirige esa transposición y acompaña a las organizaciones afectadas. El texto no se limita a añadir obligaciones: amplía notablemente el perímetro cubierto por NIS1, como subraya ENISA.

Este cambio de escala no tiene nada de cosmético. Allí donde la primera directiva dejaba mucho margen de interpretación a los Estados, NIS2 armoniza los criterios, los umbrales y las sanciones. Para una empresa ya sujeta a NIS1, el reto es medir qué se vuelve más estricto; para las nuevas entidades afectadas, a menudo hay que partir casi de cero.

Quién está afectado, y en calidad de qué

Allí donde NIS1 apuntaba a un número reducido de actores, NIS2 abarca cerca de dieciocho sectores. En ellos figuran tanto infraestructuras vitales como actividades digitales e industriales, como detalla la Comisión Europea.

Energía, transporte, banca y mercados financieros
Sanidad, agua potable, aguas residuales
Infraestructuras digitales, administración pública, espacio
Servicios postales, gestión de residuos, agroalimentación, fabricación

NIS2 introduce sobre todo una distinción estructurante: las entidades esenciales y las entidades importantes. Las primeras agrupan a los actores más críticos, sometidos a una supervisión reforzada; las segundas se rigen por un régimen más ligero, pero siguen siendo plenamente responsables en caso de incumplimiento. La ANSSI precisa los criterios de tamaño y de sector que hacen que una organización pase a una u otra categoría.

Esta clasificación tiene una consecuencia práctica: determina la intensidad de los controles, pero no la naturaleza de las obligaciones, que siguen siendo en gran medida comunes. Dicho de otro modo, estar clasificado como «importante» en lugar de «esencial» no exime de casi nada. Conviene, por tanto, comprobar pronto la propia condición para dimensionar correctamente los esfuerzos necesarios.

Lo que NIS2 impone en concreto

El núcleo de la directiva reside en una serie de obligaciones que todo CIO o CISO debe poder demostrar, y no solo declarar. ENISA, la agencia de la Unión para la ciberseguridad, aporta el marco técnico y las directrices.

Medidas de gestión de los riesgos cibernéticos, proporcionadas y documentadas
La seguridad de la cadena de suministro, incluidos proveedores y subcontratistas
La notificación de los incidentes según un calendario estricto
La responsabilidad directa de los órganos de dirección

La seguridad de la cadena de suministro merece una atención particular. NIS2 le hace responsable no solo de sus propios sistemas, sino también de eslabones que no controla directamente: proveedores de servicios, fabricantes de software y empresas de alojamiento. Y esos eslabones intercambian datos con usted de forma permanente, lo que traslada la cuestión de la seguridad hacia las interfaces y los flujos.

El apartado de notificación está especialmente reglado. Según el texto de la directiva, una alerta temprana debe enviarse en las 24 horas siguientes a la detección, una notificación más completa en un plazo de 72 horas, y después un informe final en el plazo de un mes. Ese ritmo exige saber muy pronto qué datos se han visto afectados, y por qué caminos transitaban.

Cumplir esos plazos es un ejercicio operativo exigente. No se puede reconstruir en 24 horas un historial que no se ha recopilado con antelación. Ahí es donde la capacidad de trazar los flujos de forma continua marca la diferencia entre una notificación bajo control y una reconstrucción a contrarreloj.

Dos aspectos modifican la gobernanza. En primer lugar, la responsabilidad de los directivos queda directamente comprometida, lo que eleva el asunto hasta el comité de dirección. En segundo lugar, las sanciones son disuasorias: hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales, como recuerda la ANSSI.

Por qué esto afecta directamente a la circulación de los datos

La mayoría de las exigencias de NIS2 se reducen a una pregunta concreta: ¿sabe a dónde van sus datos y puede demostrarlo? El panorama de amenazas de ENISA muestra que los ataques que pasan por la cadena de suministro y por los flujos entre sistemas aumentan año tras año.

Ahora bien, cada vez que un dato se copia en un almacén de datos, se duplica en un sistema intermedio o se conserva «por si acaso», usted añade una zona que proteger, vigilar y justificar. El informe Cost of a Data Breach de IBM cuantifica cada año lo que cuestan esas zonas cuando se ven comprometidas.

Cada copia de datos que no ha creado es una brecha que no tendrá que defender.

Reducir la superficie de ataque no es, por tanto, un simple principio de seguridad: es una forma directa de hacer que la conformidad sea más sostenible a largo plazo. Cuantos menos datos acumule en reposo, menos puntos tendrá que cifrar, trazar y auditar. La lógica de NIS2 empuja en esa dirección: controlar los flujos, en lugar de multiplicar las copias.

La orquestación de los datos en tránsito, una respuesta estructural

Tratar el dato «en tránsito» consiste en hacerlo circular, transformarlo y distribuirlo en tiempo real, sin fijarlo en un almacenamiento en cada etapa. Este enfoque responde a la vez a varias exigencias de NIS2, en lugar de abordarlas como proyectos separados.

La primera ventaja tiene que ver con la superficie de ataque. Sin copia intermedia en reposo, hay mecánicamente menos zonas que defender, un punto que los análisis de Gartner sobre ciberseguridad recuerdan con regularidad. La segunda ventaja tiene que ver con la trazabilidad: si cada flujo queda registrado, dispone de un historial aprovechable tanto para la notificación de incidentes como para la auditoría.

Este vínculo entre trazabilidad y notificación suele subestimarse. Un incidente se califica tanto más rápido cuanto que se sabe qué flujos se han visto afectados, hacia qué destinatarios y durante cuánto tiempo. Registrar la circulación de los datos, y no solo su estado final, convierte la obligación de notificación en la lectura de un historial ya constituido.

La tercera ventaja afecta a la soberanía y a la resiliencia. Una orquestación que permanece dentro del perímetro de la organización, desplegable on-premise, limita las transferencias hacia sistemas de terceros cuya ubicación y disponibilidad usted no controla. ENISA vincula precisamente ese control con la resiliencia y con la seguridad de la cadena de suministro de los datos.

Un ejemplo de enfoque

Para hacer concreta esta lógica, tomemos el caso de un middleware de orquestación como iD4Connect. Su principio es tratar los flujos en tiempo real, sin almacenamiento intermedio, lo que limita por diseño el número de copias creadas a lo largo del recorrido del dato.

En concreto, cada flujo transita, se transforma si es necesario y luego se distribuye, todo ello quedando registrado. El conjunto sigue siendo desplegable dentro del perímetro de la organización, en on-premise, en la nube o en edge, según las restricciones de soberanía. No es una solución milagrosa: es una manera de alinear la arquitectura técnica con las exigencias de NIS2 en lugar de correr tras ellas a posteriori.

Para un CIO, el interés está en razonar desde el principio: reducir los puntos de almacenamiento, trazar los intercambios y mantener el control sobre la ubicación. Es una postura de arquitectura, no un producto que se añade al final para marcar una casilla.

Por dónde empezar

El primer paso no es técnico, sino cartográfico: inventariar sus flujos de datos, sus puntos de entrada, sus copias y sus destinatarios. Sin esa visión de conjunto, ninguna de las obligaciones de la Directiva (UE) 2022/2555 puede cumplirse de forma duradera.

Esta cartografía no es solo un ejercicio de documentación. Sirve de base para el análisis de riesgos, para la protección de las interfaces con sus proveedores y para la preparación de las notificaciones. Sin ella, cada nueva obligación se aborda caso por caso, lo que sale más caro y protege peor a largo plazo.

Después viene la pregunta que hay que plantearse para cada flujo: ¿este dato debe almacenarse realmente aquí o puede simplemente transitar? Cada respuesta «transitar» reduce en igual medida su exposición y su carga de la prueba el día de un incidente.

Para profundizar, apóyese en las fuentes oficiales: el expediente de la Comisión Europea, las recomendaciones de ENISA y la página de seguimiento de la ANSSI. NIS2 no es solo una obligación más: es la ocasión de replantear desde cero una circulación de datos que a menudo se ha vuelto demasiado compleja para defenderla con serenidad.

NIS2: the directive that forces you to rethink how your data flows

Publié le 10 juillet 2026 par iD4Connect

The NIS2 directive is now the reference framework for European cybersecurity. For CIOs and CISOs, it is not just another compliance box to tick: it forces a rethink of how data enters the information system, moves through it and leaves it. Here is what it actually requires, and why the way you route your data flows is becoming a front-line concern.

NIS2, a directive on a new scale

NIS2 is directive (EU) 2022/2555, adopted at the end of 2022 and in force since January 2023. It succeeds the first NIS directive of 2016, which had become too narrow given the scale reached by cyberattacks. The European Commission presents it as the foundation for a common, high level of cybersecurity across the Union.

The timeline is easy to remember: member states had to transpose it into national law before 17 October 2024. In France, ANSSI is leading this transposition and supporting the organisations concerned. The text does not merely add obligations: it significantly broadens the scope covered by NIS1, as ENISA points out.

This change of scale is anything but cosmetic. Where the first directive left member states a great deal of room for interpretation, NIS2 harmonises the criteria, thresholds and penalties. For a company already subject to NIS1, the challenge is to gauge what becomes stricter; for the newly affected entities, it often means starting from a near-blank page.

Who is affected, and on what basis

Where NIS1 targeted a limited number of players, NIS2 covers around eighteen sectors. These include critical infrastructure as much as digital and industrial activities, as the European Commission sets out in detail.

Energy, transport, banking and financial markets
Health, drinking water, wastewater
Digital infrastructure, public administration, space
Postal services, waste management, agri-food, manufacturing

Above all, NIS2 introduces a defining distinction: essential entities and important entities. The former group together the most critical players, subject to enhanced supervision; the latter fall under a lighter regime but remain fully liable in the event of a breach. ANSSI sets out the size and sector criteria that place an organisation in one category or the other.

This classification has a practical consequence: it determines the intensity of the controls, but not the nature of the obligations, which remain largely common to both. In other words, being classified as « important » rather than « essential » exempts you from almost nothing. It is therefore best to check your status early in order to size the necessary effort correctly.

What NIS2 requires in practice

The core of the directive lies in a series of obligations that every CIO or CISO must be able to demonstrate, not merely declare. ENISA, the Union’s agency for cybersecurity, provides the technical framework and guidelines for them.

Cyber risk management measures, proportionate and documented
Supply chain security, including suppliers and subcontractors
Incident notification on a strict timeline
The direct accountability of management bodies

Supply chain security deserves particular attention. NIS2 makes you responsible not only for your own systems, but also for links you do not directly control: service providers, software vendors, hosting companies. Yet these links exchange data with you constantly, which shifts the security question towards interfaces and flows.

The notification component is particularly tightly framed. According to the text of the directive, an early warning must be issued within 24 hours of detection, a fuller notification within 72 hours, then a final report within one month. This pace assumes that you know very quickly which data was affected, and by which paths it was travelling.

Meeting these deadlines is a demanding operational exercise. You cannot reconstruct in 24 hours a history you did not collect beforehand. This is where the ability to trace flows continuously makes the difference between a controlled notification and a last-minute reconstruction.

Two points change governance. First, senior managers are held directly liable, which pushes the subject all the way up to the executive committee. Second, the penalties are dissuasive: up to 10 million euros or 2% of annual worldwide turnover for essential entities, as ANSSI notes.

Why this directly affects how data flows

Most of NIS2’s requirements come down to one concrete question: do you know where your data goes, and can you prove it? ENISA’s threat landscape shows that attacks passing through the supply chain and through flows between systems are growing year after year.

Yet every time a piece of data is copied into a warehouse, duplicated in an intermediate system or kept « just in case », you add a zone to protect, monitor and justify. IBM’s Cost of a Data Breach report puts a figure each year on what these zones cost when they are compromised.

Every copy of data you did not create is a breach you will not have to defend.

Reducing the attack surface is therefore not merely a security principle: it is a direct way to make compliance more sustainable over time. The less data you accumulate at rest, the fewer points you have to encrypt, trace and audit. The logic of NIS2 pushes in this direction: master the flows, rather than multiply the copies.

Orchestrating data in transit, a structural response

Processing data « in transit » means moving it, transforming it and distributing it in real time, without freezing it in storage at each step. This approach addresses several NIS2 requirements at once, instead of treating them as separate projects.

The first benefit concerns the attack surface. Without an intermediate copy at rest, there are inherently fewer zones to defend, a point that Gartner’s cybersecurity analyses regularly underline. The second benefit concerns traceability: if every flow is logged, you have a usable history for incident notification as well as for audit.

This link between traceability and notification is often underestimated. An incident can be assessed all the faster when you know which flows were affected, to which recipients and for how long. Logging the movement of data, rather than only its final state, turns the notification obligation into simply reading a history that has already been built.

The third benefit touches on sovereignty and resilience. Orchestration that stays within the organisation’s perimeter, deployable on-premise, limits transfers to third-party systems whose location and availability you do not control. ENISA explicitly links this control to resilience and to the security of the data supply chain.

An illustration of the approach

To make this logic concrete, take the case of an orchestration middleware such as iD4Connect. Its principle is to process flows in real time, without intermediate storage, which by design limits the number of copies created along the data’s journey.

In practice, each flow passes through, is transformed if necessary, then distributed, all while being logged. The whole remains deployable within the organisation’s perimeter, on-premise, in the cloud or at the edge, depending on sovereignty constraints. This is not a silver bullet: it is a way to align the technical architecture with NIS2‘s requirements rather than catching up with them after the fact.

For a CIO, the value lies in thinking upstream: reducing storage points, tracing exchanges and keeping control over location. It is an architectural stance, not a product you bolt on at the end to tick a box.

Where to start

The first step is not technical, it is cartographic: mapping your data flows, their entry points, their copies and their recipients. Without this overall view, none of the obligations of directive (EU) 2022/2555 can be met sustainably.

This mapping is not just a documentation exercise. It serves as the basis for risk analysis, for securing the interfaces with your suppliers and for preparing notifications. Without it, each new obligation is handled piecemeal, which costs more and protects less well over time.

Then comes the question to ask for each flow: does this data really need to be stored here, or can it simply pass through? Every « pass through » answer reduces your exposure and your burden of proof accordingly on the day of an incident.

To go further, rely on the official sources: the European Commission’s dossier, ENISA‘s recommendations and ANSSI‘s tracking page. NIS2 is not just one more constraint: it is an opportunity to overhaul a data flow that has often become too complex to defend with any peace of mind.

NIS2 : la directive qui oblige à repenser la circulation de vos données

Publié le 10 juillet 2026 par iD4Connect

La directive NIS2 est désormais le cadre de référence de la cybersécurité européenne. Pour les DSI et les RSSI, elle ne se limite pas à une nouvelle case de conformité à cocher : elle oblige à revoir la manière dont les données entrent dans le système d’information, y circulent et en sortent. Voici ce qu’elle impose vraiment, et pourquoi la façon dont vous faites transiter vos flux devient un sujet de premier plan.

NIS2, une directive qui change d’échelle

NIS2, c’est la directive (UE) 2022/2555, adoptée fin 2022 et entrée en vigueur en janvier 2023. Elle succède à la première directive NIS de 2016, devenue trop étroite face à l’ampleur prise par les cyberattaques. La Commission européenne la présente comme le socle d’un niveau commun et élevé de cybersécurité dans toute l’Union.

Le calendrier est simple à retenir : les États membres devaient la transposer dans leur droit national avant le 17 octobre 2024. En France, c’est l’ANSSI qui pilote cette transposition et accompagne les organisations concernées. Le texte ne se contente pas d’ajouter des obligations : il élargit fortement le périmètre couvert par NIS1, comme le souligne l’ENISA.

Ce changement d’échelle n’a rien de cosmétique. Là où la première directive laissait beaucoup de marge d’interprétation aux États, NIS2 harmonise les critères, les seuils et les sanctions. Pour une entreprise déjà soumise à NIS1, l’enjeu est de mesurer ce qui devient plus strict ; pour les nouvelles entités concernées, il faut souvent partir d’une page presque blanche.

Qui est concerné, et à quel titre

Là où NIS1 visait un nombre restreint d’acteurs, NIS2 couvre environ dix-huit secteurs. On y trouve autant d’infrastructures vitales que d’activités numériques et industrielles, comme le détaille la Commission européenne.

Énergie, transports, banque et marchés financiers
Santé, eau potable, eaux usées
Infrastructures numériques, administration publique, espace
Services postaux, gestion des déchets, agroalimentaire, fabrication

NIS2 introduit surtout une distinction structurante : les entités essentielles et les entités importantes. Les premières regroupent les acteurs les plus critiques, soumis à une supervision renforcée ; les secondes relèvent d’un régime allégé mais restent pleinement responsables en cas de manquement. L’ANSSI précise les critères de taille et de secteur qui font basculer une organisation dans l’une ou l’autre catégorie.

Cette classification a une conséquence pratique : elle détermine l’intensité des contrôles, mais pas la nature des obligations, qui restent largement communes. Autrement dit, être classé « important » plutôt qu’« essentiel » ne dispense de presque rien. Mieux vaut donc vérifier tôt son statut pour dimensionner correctement les efforts à fournir.

Ce que NIS2 impose concrètement

Le cœur de la directive tient dans une série d’obligations que tout DSI ou RSSI doit pouvoir démontrer, et pas seulement déclarer. L’ENISA, l’agence de l’Union pour la cybersécurité, en fournit le cadre technique et les lignes directrices.

Des mesures de gestion des risques cyber, proportionnées et documentées
La sécurité de la chaîne d’approvisionnement, fournisseurs et sous-traitants compris
La notification des incidents selon un calendrier strict
La responsabilité directe des organes de direction

La sécurité de la chaîne d’approvisionnement mérite une attention particulière. NIS2 vous rend responsable non seulement de vos propres systèmes, mais aussi de maillons que vous ne contrôlez pas directement : prestataires, éditeurs de logiciels, hébergeurs. Or ces maillons échangent des données avec vous en permanence, ce qui déplace le sujet de la sécurité vers les interfaces et les flux.

Le volet notification est particulièrement cadré. Selon le texte de la directive, une alerte précoce doit partir dans les 24 heures suivant la détection, une notification plus complète dans les 72 heures, puis un rapport final dans un délai d’un mois. Ce tempo suppose de savoir très vite quelles données ont été touchées, et par quels chemins elles transitaient.

Tenir ces délais est un exercice opérationnel exigeant. Vous ne pouvez pas reconstituer en 24 heures un historique que vous n’avez pas collecté en amont. C’est là que la capacité à tracer les flux en continu fait la différence entre une notification maîtrisée et une reconstitution dans l’urgence.

Deux points modifient la gouvernance. D’abord, la responsabilité des dirigeants est engagée directement, ce qui fait remonter le sujet jusqu’au comité de direction. Ensuite, les sanctions sont dissuasives : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, comme le rappelle l’ANSSI.

Pourquoi cela touche directement la circulation des données

La plupart des exigences de NIS2 se ramènent à une question concrète : savez-vous où vont vos données, et pouvez-vous le prouver ? Le panorama des menaces de l’ENISA montre que les attaques passant par la chaîne d’approvisionnement et par les flux entre systèmes progressent d’année en année.

Or chaque fois qu’une donnée est copiée dans un entrepôt, dupliquée dans un système intermédiaire ou conservée « au cas où », vous ajoutez une zone à protéger, à surveiller et à justifier. Le rapport Cost of a Data Breach d’IBM chiffre chaque année ce que coûtent ces zones lorsqu’elles sont compromises.

Chaque copie de donnée que vous n’avez pas créée est une brèche que vous n’aurez pas à défendre.

Réduire la surface d’attaque n’est donc pas un simple principe de sécurité : c’est une manière directe de rendre la conformité plus tenable dans la durée. Moins vous accumulez de données au repos, moins vous avez de points à chiffrer, à tracer et à auditer. La logique de NIS2 pousse dans ce sens : maîtriser les flux, plutôt que multiplier les copies.

L’orchestration des données en transit, une réponse structurelle

Traiter la donnée « en transit » consiste à la faire circuler, la transformer et la distribuer en temps réel, sans la figer dans un stockage à chaque étape. Cette approche répond à plusieurs exigences de NIS2 en même temps, au lieu de les traiter comme des chantiers séparés.

Le premier gain concerne la surface d’attaque. Sans copie intermédiaire au repos, il y a mécaniquement moins de zones à défendre, un point que les analyses de Gartner sur la cybersécurité rappellent régulièrement. Le deuxième gain concerne la traçabilité : si chaque flux est journalisé, vous disposez d’un historique exploitable pour la notification d’incident comme pour l’audit.

Ce lien entre traçabilité et notification est souvent sous-estimé. Un incident se qualifie d’autant plus vite que l’on sait quels flux ont été affectés, vers quels destinataires et pendant combien de temps. Journaliser la circulation des données, plutôt que leur seul état final, transforme l’obligation de notification en une lecture d’un historique déjà constitué.

Le troisième gain touche la souveraineté et la résilience. Une orchestration qui reste dans le périmètre de l’organisation, déployable on-premise, limite les transferts vers des systèmes tiers dont vous ne maîtrisez ni la localisation ni la disponibilité. L’ENISA relie précisément cette maîtrise à la résilience et à la sécurité de la chaîne d’approvisionnement des données.

Une illustration d’approche

Pour rendre cette logique concrète, prenons le cas d’un middleware d’orchestration comme iD4Connect. Son principe est de traiter les flux en temps réel, sans stockage intermédiaire, ce qui limite par construction le nombre de copies créées le long du parcours de la donnée.

Concrètement, chaque flux transite, est transformé si nécessaire, puis distribué, tout en étant journalisé. L’ensemble reste déployable dans le périmètre de l’organisation, en on-premise, en cloud ou en edge, selon les contraintes de souveraineté. Ce n’est pas une solution miracle : c’est une façon d’aligner l’architecture technique sur les exigences de NIS2 plutôt que de les rattraper après coup.

Pour un DSI, l’intérêt est de raisonner en amont : réduire les points de stockage, tracer les échanges et garder la main sur la localisation. C’est une posture d’architecture, pas un produit que l’on ajoute à la fin pour cocher une case.

Par où commencer

La première étape n’est pas technique, elle est cartographique : recenser vos flux de données, leurs points d’entrée, leurs copies et leurs destinataires. Sans cette vision d’ensemble, aucune des obligations de la directive (UE) 2022/2555 ne peut être tenue durablement.

Cette cartographie n’est pas qu’un exercice de documentation. Elle sert de base à l’analyse de risques, à la sécurisation des interfaces avec vos fournisseurs et à la préparation des notifications. Sans elle, chaque nouvelle obligation se traite au coup par coup, ce qui coûte plus cher et protège moins bien dans la durée.

Vient ensuite la question à poser pour chaque flux : cette donnée doit-elle vraiment être stockée ici, ou peut-elle simplement transiter ? Chaque réponse « transiter » réduit d’autant votre exposition et votre charge de preuve le jour d’un incident.

Pour approfondir, appuyez-vous sur les sources officielles : le dossier de la Commission européenne, les recommandations de l’ENISA et la page de suivi de l’ANSSI. NIS2 n’est pas qu’une contrainte de plus : c’est l’occasion de remettre à plat une circulation de données souvent devenue trop complexe pour être défendue sereinement.