Guides · Mis à jour en août 2026
NIS 2 et sécurité physique : ce que la directive change pour les sites télécom isolés
Réponse courte : contrairement à ce que son nom de directive « cyber » laisse penser, NIS 2 (directive 2022/2555) exige une gestion des risques tous périls — et la sécurité physique des installations en fait explicitement partie. Pour un opérateur ou un gestionnaire d'infrastructures télécom, cela veut dire que les sites eux-mêmes — pylônes, locaux techniques, alimentation électrique, faisceaux — entrent dans l'analyse de risques, au même titre que les systèmes d'information qu'ils portent. La question n'est plus seulement « qui peut pénétrer mon réseau », mais « qui peut entrer sur mes sites, et qu'est-ce que j'en sais ».
Qui est concerné, et où en est la France
Les télécommunications figurent parmi les secteurs hautement critiques de la directive : les opérateurs et fournisseurs d'infrastructures dépassant les seuils — de l'ordre de 250 salariés pour les entités essentielles, 50 salariés ou 10 millions d'euros de chiffre d'affaires pour les entités importantes — sont dans le périmètre, sous-traitants et fournisseurs inclus via les exigences de chaîne d'approvisionnement. Selon les estimations publiées lors des travaux de transposition, la France passerait de quelques centaines d'entités régulées sous NIS 1 à une fourchette de l'ordre de dix à quinze mille sous NIS 2.
Côté calendrier : le délai de transposition européen expirait le 17 octobre 2024. À la date de publication de ce guide, la loi française de transposition — dite loi Résilience — n'est pas encore promulguée, et la Commission européenne a engagé mi-2026 une procédure devant la Cour de justice de l'UE contre la France pour ce retard. Deux lectures possibles, et les deux plaident pour ne pas attendre : soit la directive s'appliquera bientôt via une loi votée dans l'urgence, soit les donneurs d'ordre — eux-mêmes soumis à NIS 2 ailleurs en Europe — exigeront contractuellement de leurs prestataires ce que la loi tarde à exiger. Ce guide sera mis à jour quand la loi de transposition sera promulguée.
Ce que « sécurité physique » veut dire dans une analyse de risques NIS 2
Concrètement, les obligations de gestion des risques couvrent — pour la part physique — trois familles de mesures : le contrôle des accès physiques aux installations ; la protection contre les incidents physiques, intrusion, sabotage, vol et dégradation compris ; et la continuité d'activité quand un site tombe. S'y ajoute le volet déclaratif : un incident significatif se signale en 24 heures (alerte précoce) puis 72 heures (rapport intermédiaire) à l'autorité nationale. Or, pour un parc de sites télécom dispersés et visités quelques heures par mois, le maillon faible de cette chaîne est presque toujours le même : savoir qu'il se passe quelque chose, au moment où ça se passe.
Ce n'est pas un risque théorique : la principale menace physique documentée sur les sites télécom français est le vol de cuivre, dont l'ampleur 2025-2026 — 2 700 kilomètres de lignes à reconstruire chez le seul opérateur historique — est chiffrée dans notre guide dédié vol de cuivre sur les antennes et pylônes télécom. Un dossier de gestion des risques qui traite l'intrusion « sur papier » mais ne détecte rien sur le terrain décrit un risque ; il ne le gère pas.
Ce qu'un journal d'événements daté apporte au dossier
Une détection sur images — caméras autonomes sur les points de passage, logiciel qui reconnaît présence humaine et véhicule, alerte en temps réel — produit exactement la matière dont un dossier de gestion des risques a besoin : la preuve datée que le risque d'intrusion est surveillé (mesure en place, pas seulement décrite), une chronologie horodatée par site le jour où un incident survient (l'élément factuel des déclarations en 24/72 heures et du dépôt de plainte), et un historique exportable qui montre, contrôle après contrôle, que le dispositif vit. C'est ce que fait SiteSentry, en pur logiciel sur des caméras du commerce, avec un journal daté par site — un dispositif conçu pour documenter votre démarche de gestion des risques, tourné vers l'intrusion, pas vers les équipes qui interviennent sur site. Ce qu'il n'est pas : une conformité en boîte — aucune caméra ne « rend conforme » à une directive ; c'est votre analyse de risques qui l'est, pièces à l'appui.
Un mot, pour finir, des sanctions prévues par la directive — puisqu'elles existent : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, avec une responsabilité propre des dirigeants. Mais le vrai coût, pour un gestionnaire de sites, reste celui de la semaine où un site coupé prive un territoire de réseau — et celui-là court déjà, transposition ou pas. Le détail de l'approche par site est sur la page dédiée aux sites télécom.
Pour aller plus loin
Ces informations sont fournies à titre indicatif et ne constituent pas un conseil juridique ; le périmètre exact de vos obligations relève des textes applicables et de vos conseils. Aucun dispositif technique ne constitue à lui seul une conformité réglementaire. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.