NIS 2 et vidéosurveillance : obligations 2026 pour les entreprises essentielles et importantes

La directive européenne NIS 2 (Network and Information Security 2), adoptée le 14 décembre 2022, redéfinit en profondeur le cadre de cybersécurité applicable aux entreprises et organisations en Europe. En France, sa transposition concernera entre 15 000 et 18 000 entités — contre une centaine seulement sous l'ancienne directive NIS 1. RSSI, DSI, dirigeants : la question n'est plus « suis-je concerné ? », mais « comment puis-je me mettre en conformité avant les contrôles de l'ANSSI ? ».

Or, NIS 2 ne se limite pas aux serveurs et aux postes de travail. La directive inclut explicitement la sécurité physique et environnementale des locaux hébergeant les systèmes critiques — autrement dit, la vidéosurveillance, le contrôle d'accès et la détection d'intrusion. Pire encore : vos caméras IP et NVR étant eux-mêmes des équipements connectés au réseau, ils représentent à la fois un outil de conformité et un vecteur d'attaque potentiel. Ce guide W3CAM décrypte les obligations NIS 2 appliquées à la vidéosurveillance professionnelle en 2026, et vous oriente vers les choix d'équipements compatibles.

Pendant des années, la vidéosurveillance a été considérée comme un domaine isolé de la cybersécurité : on installait des caméras IP, on les raccordait à un NVR, et l'on supposait que le « réseau caméras » était indépendant du système d'information principal. Cette vision est aujourd'hui obsolète et dangereuse.

Une caméra IP est un mini-ordinateur Linux exécutant un firmware, exposant des interfaces réseau (HTTP, RTSP, ONVIF, SNMP), traitant des données potentiellement sensibles et stockant des informations dans une carte SD ou un NVR. Mal sécurisée, elle devient une porte d'entrée vers le réseau d'entreprise : compromission via mots de passe par défaut, exploitation de vulnérabilités (rappelons la CVE-2021-36260 qui affectait des centaines de milliers de caméras Hikvision dans le monde), rebond vers d'autres équipements via le VLAN, exfiltration de flux vidéo, ou enrôlement dans un botnet de type Mirai.

NIS 2 prend acte de cette réalité. La directive impose désormais aux entités concernées une gestion intégrée des risques cyber, qui englobe la sécurité physique (locaux, accès, vidéosurveillance) et la cybersécurité des équipements connectés (caméras IP, contrôle d'accès, NVR, VMS). Pour la première fois, le choix d'une caméra de surveillance devient une décision soumise à un cadre réglementaire de cybersécurité opposable, dont le manquement peut entraîner des sanctions financières et personnelles.

La directive NIS 2 (UE 2022/2555) imposait une transposition en droit national au plus tard le 17 octobre 2024. La France n'a pas respecté ce délai, et la transposition s'effectue via le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (dit « projet de loi Résilience »), qui transpose simultanément trois directives européennes : NIS 2, REC (résilience des entités critiques) et DORA (résilience numérique du secteur financier).

Au printemps 2025, le projet de loi a été examiné par le Sénat. Les débats à l'Assemblée nationale ont été retardés par l'instabilité politique. Le calendrier prévu prévoit une présentation et un vote début 2026, suivi de la publication des décrets d'application. Malgré ces retards, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) a pris les devants : depuis le 17 mars 2026, l'agence met à disposition le Référentiel Cyber France (ReCyF), document de travail qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2. Le ReCyF s'articule autour de 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes.

Les futures entités assujetties peuvent également s'inscrire dès maintenant sur la plateforme MonEspaceNIS2 (en version bêta sur monespacenis2.cyber.gouv.fr), portail officiel de l'ANSSI dédié à la mise en conformité NIS 2. Une fois la loi française votée, les entités concernées disposeront généralement d'un délai de trois ans pour atteindre la conformité totale, certaines obligations devant cependant être respectées plus tôt (notamment l'enregistrement et la notification d'incidents).

NIS 2 distingue deux catégories d'entités assujetties, avec des niveaux d'exigence proportionnés à la criticité de leur activité.

Sont qualifiées d'entités essentielles (EE) les organisations qui opèrent dans un secteur hautement critique (Annexe I de la directive) et qui emploient au moins 250 personnes, ou dont le chiffre d'affaires annuel excède 50 millions d'euros et le total du bilan excède 43 millions d'euros. Sont également EE par leur nature : opérateurs de services de confiance qualifiés, fournisseurs DNS, registres TLD, administrations publiques centrales, communes de plus de 30 000 habitants, et certaines entités identifiées par les États membres.

Sont qualifiées d'entités importantes (EI) les organisations qui opèrent dans un secteur hautement critique (Annexe I) ou critique (Annexe II) sans être qualifiées d'EE, et qui emploient au moins 50 personnes ou dont le chiffre d'affaires et le total du bilan annuel excèdent chacun 10 millions d'euros. En France, l'ANSSI estime que 80 % des entités concernées seront classées EI, soit environ 12 000 entités, et 20 % seront classées EE, soit environ 2 000 à 3 000 entités. À noter : même si votre entreprise n'atteint pas ces seuils, vous pouvez être soumis à NIS 2 si vous êtes sous-traitant critique d'une entité assujettie — un point essentiel pour les installateurs et intégrateurs en sécurité électronique.

NIS 2 cible 18 secteurs d'activité (contre 7 sous NIS 1), répartis en deux annexes.

L'article 21 de NIS 2 constitue le cœur opérationnel de la directive. Il impose aux entités essentielles et importantes 10 catégories de mesures techniques et organisationnelles minimales, applicables à l'ensemble des systèmes d'information et des équipements connectés — y compris la vidéosurveillance. Voici comment chacune se traduit concrètement pour votre installation.

Un point souvent négligé : l'article 21 de NIS 2 inclut explicitement la sécurité physique et environnementale des locaux hébergeant les systèmes critiques. La directive vise les menaces intentionnelles, qui combinent souvent intrusion physique et exploitation numérique (insertion d'une clé USB malveillante, vol de matériel, observation des écrans). Une cybersécurité parfaite est inopérante si un attaquant peut accéder physiquement aux serveurs ou aux postes administrateurs.

Dans ce cadre, votre système de vidéosurveillance devient un outil de conformité NIS 2 au même titre qu'un pare-feu ou qu'un SIEM. Il sert à protéger les zones sensibles (salles serveurs, datacenters, postes opérateurs, locaux techniques), à tracer les accès des prestataires et visiteurs, à constituer la preuve en cas d'incident, et à dissuader les tentatives d'intrusion. Couplé à un système d'alarme anti-intrusion et à un contrôle d'accès électronique, il constitue la première ligne de défense physique exigée par la directive. Pour rappel, notre guide sur les obligations légales de la vidéosurveillance en entreprise détaille le cadre RGPD/CNIL complémentaire à respecter.

Le paradoxe NIS 2 appliqué à la vidéosurveillance : un système installé pour renforcer la sécurité peut devenir un vecteur d'attaque majeur s'il est mal conçu. Une caméra IP compromise permet à un attaquant de pivoter dans le réseau de l'entreprise, d'exfiltrer des données, ou de déployer un ransomware.

Les attaques documentées sur les équipements de vidéosurveillance se sont multipliées : exploitation de la CVE-2021-36260 (injection de commande sur des centaines de modèles Hikvision), CVE-2022-30560 sur certains modèles Dahua, botnet Mirai qui a infecté des millions de caméras IP via mots de passe par défaut, fuite de flux vidéo sur des plateformes publiques en raison de configurations exposées sur Internet sans VPN. L'ANSSI elle-même a publié des alertes officielles sur ces vulnérabilités.

Pour répondre aux exigences NIS 2, votre infrastructure d'enregistrement (NVR, serveurs VMS) et vos caméras doivent intégrer nativement plusieurs caractéristiques techniques :

Aucune caméra ne porte le label « conforme NIS 2 » — la directive n'inclut pas de programme de certification officiel. Mais certaines marques ont structurellement investi dans la cybersécurité dès la conception (security by design), ce qui facilite très significativement la mise en conformité. Voici le panorama des choix premium disponibles chez W3CAM.

Les caméras Axis Communications (Suède, filiale du japonais Canon depuis 2015) sont historiquement le standard de référence pour les sites critiques. La plateforme Axis Edge Vault intègre un module cryptographique matériel certifié FIPS 140-3 Level 3 (niveau exigé pour les administrations gouvernementales américaines et homologué par l'ANSSI dans certains contextes), démarrage sécurisé, firmware signé, IEEE 802.1AR (identité matérielle de l'équipement), support firmware longue durée (jusqu'à 15 ans sur certaines gammes), et écosystème ACAP ouvert avec applications partenaires certifiées. Axis est conforme NDAA Section 889 et systématiquement éligible aux marchés publics français.

Les caméras Hanwha Vision (Corée du Sud, ex-Samsung Techwin) constituent l'alternative coréenne de référence. Le nouveau SoC Wisenet 9 (lancé en avril 2025) est également certifié FIPS 140-3 Level 3, avec Device Certificate matériel, Secure OS, et architecture Dual NPU. La série P et la série X sont particulièrement adaptées aux infrastructures critiques. Hanwha est également conforme NDAA.

Les caméras Bosch (Allemagne) complètent ce trio premium, avec une approche cybersécurité native (TPM intégré, certificats X.509, chiffrement par défaut), une orientation forte vers les marchés industriels et OIV, et une réputation établie sur les sites SEVESO et les infrastructures de transport. Pour les VMS professionnels, Milestone XProtect (Danemark) et Genetec Security Center (Canada) sont les références éprouvées pour les architectures multi-sites avec gestion centralisée des risques cyber.

Hikvision et Dahua, les deux leaders mondiaux chinois, méritent une analyse spécifique dans le contexte NIS 2. Sur le plan technique, ces deux constructeurs ont massivement investi dans la cybersécurité : Hikvision est CVE Numbering Authority (autorité d'attribution des CVE, comme Microsoft ou Cisco), publie ses bulletins de sécurité, dispose des certifications ISO 27001, ISO 27701, CSA STAR, ETSI EN 303 645, Common Criteria et IEC 62443-4. Dahua a une démarche comparable. Sur ces critères purement techniques, ces marques sont objectivement compétitives.

Mais le contexte géopolitique introduit un risque résiduel que NIS 2 demande explicitement d'évaluer dans la gestion de la chaîne d'approvisionnement (article 21, point d). Hikvision figure sur la Entity List du Bureau of Industry and Security américain depuis 2019, sur la FCC Covered List depuis 2021, est exclu des marchés fédéraux US (NDAA Section 889), et a été interdit au Royaume-Uni, en Australie, et au Canada (annonce officielle du 28 juin 2025 pour ce dernier). En France et en Union européenne, la commercialisation reste légale et aucune interdiction n'est en vigueur — mais ces signaux convergents appellent une analyse de risque approfondie pour les entités essentielles dans les secteurs sensibles (défense, énergie, infrastructures critiques, administration).

Notre comparatif détaillé Hikvision vs Dahua approfondit ces enjeux. En pratique chez W3CAM, nous recommandons : Hikvision et Dahua pour les commerces, PME, sites tertiaires standards et copropriétés (l'écrasante majorité des projets) ; Axis, Hanwha ou Bosch pour les entités essentielles NIS 2, les OIV, les administrations sensibles, les sites SEVESO, et tout projet où l'analyse de risque géopolitique conduit à exclure la chaîne d'approvisionnement chinoise. Notre guide complet sur l'IA dans les caméras de surveillance détaille également les écosystèmes IA propres à chaque marque.

Le choix du matériel n'est qu'une partie de la réponse. La configuration et l'architecture réseau sont tout aussi déterminantes. NIS 2 et le ReCyF ANSSI impliquent les pratiques suivantes pour une infrastructure vidéosurveillance conforme :

Les sanctions prévues par NIS 2 sont à la hauteur des enjeux, et significativement plus sévères que sous NIS 1.

Pour les entités essentielles, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial du groupe, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial. Au-delà des sanctions financières, l'article 20 de la directive prévoit des conséquences personnelles pour les dirigeants : interdiction temporaire d'exercer des fonctions de direction au niveau du directeur général ou du représentant légal en cas de manquement répété. La responsabilité du dirigeant ne peut plus être déléguée intégralement au RSSI ou au prestataire informatique.

Selon les estimations conjointes de l'ANSSI et de la SGDSN, l'investissement initial pour la mise en conformité (année 1) se situe entre 100 et 200 k€ pour une entité importante et entre 450 et 880 k€ pour une entité essentielle, plus 10 % par an en maintenance et évolution. Ce coût est à comparer au coût moyen d'une cyberattaque réussie : selon la Cour des comptes (rapport juin 2025), entre 5 et 10 % du chiffre d'affaires en moyenne, soit l'équivalent de plusieurs années de mise en conformité préventive — un investissement clairement rentable d'un point de vue gestion du risque.

Pour les RSSI, DSI et dirigeants en charge de la conformité NIS 2, voici une démarche structurée et progressive pour intégrer la vidéosurveillance dans le plan global.

NIS 2 ne remplace pas les autres réglementations applicables à la vidéosurveillance — elle s'y ajoute. Comprendre l'articulation est essentiel pour éviter les redondances et les angles morts.

Le RGPD protège les données personnelles. L'article 32 du RGPD impose déjà des mesures de sécurité appropriées, ce qui converge largement avec l'article 21 de NIS 2. Un audit RGPD bien conduit couvre une partie significative des exigences NIS 2, et réciproquement. Mais les sanctions sont distinctes : un même incident peut donner lieu à deux procédures séparées (CNIL pour le RGPD, ANSSI pour NIS 2), le principe non bis in idem ne s'appliquant pas entre les deux cadres.

L'AI Act (règlement UE 2024/1689) encadre les systèmes d'IA, dont les fonctions d'analyse vidéo avancée (reconnaissance faciale, ANPR, détection biométrique, comportement). Application progressive en 2025-2026, avec entrée en vigueur des règles sur les systèmes à haut risque en août 2026. Les caméras IA de dernière génération (DeepinViewX, WizMind, Wisenet 9 AI-X) doivent désormais faire l'objet d'une analyse d'impact AI Act en plus de l'AIPD RGPD classique.

Le Cyber Resilience Act (CRA), règlement UE entré en vigueur en 2024, impose des règles de cybersécurité pour tous les produits numériques vendus dans l'UE, y compris les caméras IP, NVR et VMS. Les obligations de signalement des vulnérabilités s'appliqueront à partir de septembre 2026, l'application complète étant prévue fin 2027. Le marquage CE devra à terme inclure une évaluation de la conformité aux exigences de cybersécurité. Pour les fournisseurs, cela impliquera une transparence accrue sur les vulnérabilités et leur gestion. Enfin, pour le secteur financier, DORA (Digital Operational Resilience Act) constitue la lex specialis qui prévaut sur NIS 2.

Aborder NIS 2 sous l'angle de la vidéosurveillance demande une triple compétence : maîtrise réglementaire (directive, projet de loi Résilience, ReCyF, articulation RGPD/AI Act/CRA), expertise technique (cybersécurité matérielle, certifications, segmentation réseau, gestion des CVE) et connaissance fine des écosystèmes constructeurs (Axis, Hanwha, Bosch, Hikvision, Dahua, Milestone, Genetec). Très peu d'acteurs combinent ces trois dimensions.

Distributeur officiel des marques cyber-résistantes de référence — Axis, Hanwha Vision, Bosch — ainsi que des solutions VMS premium (Milestone, Genetec, HikCentral, Wisenet WAVE), W3CAM vous accompagne sur l'ensemble de votre démarche : qualification du statut NIS 2 sur le périmètre vidéosurveillance, audit de l'existant, recommandation d'équipements conformes (FIPS 140-3, secure boot, support firmware longue durée, NDAA), dimensionnement de l'infrastructure (switches PoE managés, segmentation VLAN, sauvegardes), et documentation de conformité (politiques, procédures, registres).

Nos ingénieurs avant-vente assurent une veille réglementaire et technologique permanente : suivi des décrets d'application français, actualisation du ReCyF par l'ANSSI, bulletins de sécurité constructeurs, alertes CERT-FR, articulation avec l'AI Act et le CRA. Vous bénéficiez en outre du paiement en 4× sans frais, d'une garantie « satisfait ou remboursé » sous 15 jours, et d'un support technique gratuit. Contactez nos experts W3CAM pour étudier la conformité NIS 2 de votre système de vidéosurveillance et obtenir une recommandation d'équipements adaptée à votre statut (EE ou EI) et à votre secteur d'activité.

NIS 2 arrive en France : préparez la conformité de votre système de vidéosurveillance dès aujourd'hui avec l'expertise W3CAM des marques cyber-résistantes !