← Toutes les ressources

NIS2 France : transport et logistique sont-ils concernés ?

Publié le 11 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Un transporteur routier n'est pas visé par NIS2 parce qu'il transporte des marchandises. Mais deux régimes l'obligent déjà aujourd'hui, et un troisième arrive par ses clients. Les textes, les dates et les chiffres, sans amende inventée.

La réponse courte

Non, pas en tant que transporteur. Une entreprise de transport routier de marchandises n'est pas visée par NIS2 au seul motif qu'elle déplace du fret : pour la route, l'annexe I de la directive (UE) 2022/2555 ne retient que les autorités routières chargées du contrôle de la gestion de la circulation et les opérateurs de systèmes de transport intelligents^[3]. Et au 11 octobre 2026, aucune obligation NIS2 n'est applicable en France : l'ANSSI indique elle-même que la transposition est en cours et le texte qui la porte reste un projet de loi^[1]. Ce guide NIS2 France transport et logistique dit qui est réellement concerné, ce qui vous oblige déjà sans attendre la loi, et ce qu'un donneur d'ordre peut légitimement exiger de vous dès cette semaine.

Êtes-vous concerné ? Les critères, dans l'ordre

Posez les questions dans cet ordre. La première réponse négative vous sort du champ direct.

1. Mon activité est-elle nommée à l'annexe I ? Pour une activité de traction, d'affrètement, de messagerie ou d'entreposage classique : non. Le tableau ci-dessous donne, sous-secteur par sous-secteur, les entités réellement citées.
2. Les seuils de taille. Entité essentielle : au moins 250 salariés, ou un chiffre d'affaires supérieur à 50 millions d'euros et un bilan supérieur à 43 millions d'euros. Entité importante : au moins 50 salariés, ou un chiffre d'affaires et un bilan supérieurs à 10 millions d'euros^[3]. Un seuil franchi ne fait jamais entrer une activité que l'annexe ne nomme pas.
3. Suis-je sous-traitant d'une entité régulée ? C'est la question qui compte vraiment pour la logistique, et nous y revenons plus bas.
4. Suis-je déjà opérateur d'importance vitale ? Si oui, vos obligations existent aujourd'hui, et elles ne viennent pas de NIS2.

L'ANSSI met à disposition MonEspaceNIS2, avec un simulateur pour trancher le cas précis d'une entité^[2]. Dix minutes. Passez-le une fois, archivez la réponse, datez-la : c'est ce que vous produirez au premier client qui vous interroge.

Ce que l'annexe I dit vraiment du transport

Deux conséquences que l'on lit rarement. D'abord, le transport routier de marchandises est le seul sous-secteur où aucune entreprise de transport n'est citée : la route entre par la gestion de la circulation, pas par le fret^[3]. Ensuite, si votre métier est le courrier et le colis, vous ne relevez pas du secteur transport mais du secteur des services postaux et de courrier, qui figure à l'annexe II parmi les entités importantes^[3]. Les deux lectures ne donnent pas le même résultat pour un même camion.

Où en est la France : aucun texte promulgué au 11 octobre 2026

L'ANSSI est explicite : la transposition est en cours et les futures entités essentielles et importantes sont invitées à s'engager dès à présent dans une démarche de sécurisation cohérente avec NIS 2^[1]. Trois conséquences concrètes pour une direction d'exploitation.

• Un référentiel existe déjà. Depuis le 17 mars 2026, l'ANSSI diffuse le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2. Il est diffusé comme document de travail, non obligatoire par défaut, et correspond au référentiel mentionné à l'article 14 du projet de loi Résilience ; une entité qui décide de l'appliquer pourra s'en prévaloir en cas de contrôle^[1].
• L'enregistrement s'anticipe, il ne s'impose pas. L'ANSSI ouvre un espace pour préparer l'enregistrement NIS 2, mais aucun délai légal français ne court aujourd'hui^[1][2].
• Le changement d'échelle est réel. Les travaux parlementaires parlent du passage d'environ 500 infrastructures critiques sous NIS 1 à quelque 15 000 entités essentielles ou importantes^[4]. Votre nom peut y figurer par la porte de l'entreposage sous température dirigée, de l'agroalimentaire ou des services informatiques gérés, pas par celle du transport.

Un mot sur les amendes. Les montants exprimés en pourcentage du chiffre d'affaires que l'on vous citera au téléphone viennent de la directive et du projet de loi, pas d'un texte français en vigueur. Méfiez-vous de tout prestataire qui vous vend une sanction française datée. Nous tenons à jour les échéances réelles sur notre calendrier des échéances cyber par pays.

Ce qui vous oblige déjà, sans attendre NIS2

Deux régimes s'appliquent aujourd'hui au transport français, et aucun des deux n'attend la loi Résilience.

1. La sécurité des activités d'importance vitale. Un arrêté du Premier ministre du 2 juin 2006, modifié le 3 juillet 2008, fixe la liste des 12 secteurs d'activités d'importance vitale ; le dispositif concerne plus de 300 opérateurs d'importance vitale et de l'ordre de 1 500 points d'importance vitale^[4]. Le transport en fait partie, et ce n'est pas un hasard : avec l'énergie, il était l'un des deux seuls secteurs couverts par la directive européenne de 2008 sur les infrastructures critiques, là où la directive sur la résilience des entités critiques en compte onze^[4]. Si vous êtes désigné, le texte en discussion ajoutera un plan de résilience opérateur, une analyse des dépendances et un plan particulier de résilience pour chaque point d'importance vitale^[4]. Le mot à retenir est dépendances : votre transitaire, votre éditeur de TMS et votre prestataire télématique y entrent.

2. Le tachygraphe intelligent. Cette échéance n'est pas présentée comme une obligation cyber, mais elle en est une. Les véhicules neufs immatriculés à partir du 21 août 2023 reçoivent un tachygraphe intelligent de deuxième génération ; le rétrofit des tachygraphes analogiques et numériques non intelligents était dû au 31 décembre 2024, celui des tachygraphes intelligents de première génération au plus tard le 18 août 2025, et l'obligation s'étend aux véhicules utilitaires légers de plus de 2,5 tonnes utilisés en transport international ou en cabotage à partir du 1er juillet 2026^[6][7]. Conséquence pratique : chaque véhicule devient un équipement connecté qui transmet position et données d'activité, et chaque boîtier est un accès à votre système d'information comme à des données personnelles de conducteurs.

Le risque réel d'un transporteur français, en chiffres

Dans son Panorama de la cybermenace 2025, publié le 11 mars 2026, l'ANSSI a traité 3 586 événements de sécurité, en baisse de 18 % sur un an, avec 2 209 signalements et 1 366 incidents. Quatre secteurs ont été particulièrement visés : l'éducation et la recherche (34 %), les ministères et les collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %)^[5]. Le transport n'y figure pas. Cela ne veut pas dire qu'il est épargné : cela veut dire qu'il signale peu.

Deux constats du même rapport visent directement une exploitation transport. Les équipements de bordure, c'est-à-dire les pare-feu, les VPN et les accès distants de vos agences et de vos conducteurs, restent une cible très prisée en raison des vulnérabilités qui les affectent. Et sur 460 événements qualifiés de possibles fuites de données, 42 % seulement ont pu être associés à une fuite avérée^[5] : autrement dit, la majeure partie du coût d'un tel incident est un coût d'investigation, que vous payez même quand rien n'est sorti.

Une dernière donnée de cadrage : le service statistique du ministère recense de l'ordre de 41 000 unités légales dans le transport de marchandises, catégorie plus large que le seul transport routier de fret^[8]. La très grande majorité reste sous le seuil des 50 salariés. Pour elles, la question n'est pas l'amende, c'est le questionnaire du client.

La vraie porte d'entrée : la chaîne d'approvisionnement

Quand un aéroport, un port, un gestionnaire d'infrastructure ferroviaire, un hôpital ou un industriel devient entité essentielle ou importante, la directive lui impose de sécuriser sa chaîne d'approvisionnement^[3]. Il se retourne alors vers ses fournisseurs, et le transporteur est l'un des premiers de la liste, parce qu'il a un accès à l'entrepôt, aux horaires et parfois au système de commande. C'est le mécanisme que nous avons détaillé pour nos voisins dans notre guide NIS2 pour le transport et la logistique aux Pays-Bas, où la loi est, elle, déjà votée : les questionnaires y partent avant les contrôles.

Le réflexe utile n'est pas d'attendre. Remplissez une fois un dossier réutilisable, à l'aide de notre questionnaire de sécurité fournisseur, et servez-le tel quel à chaque appel d'offres. Un transporteur qui répond en 48 heures avec un document daté gagne des dossiers contre un concurrent qui demande trois semaines.

Les 5 premières actions

1. Passer le simulateur de MonEspaceNIS2 et archiver la réponse datée^[2]. Dix minutes, une réponse écrite à produire au premier client qui vous interroge.
2. Lister vos clients régulés. Aéroport, port, gestionnaire d'infrastructure, hôpital, énergéticien, industriel, collectivité. C'est par eux que l'obligation arrivera, et vous savez déjà lesquels.
3. Imposer l'authentification à deux facteurs sur tous les accès distants : TMS, messagerie, portail télématique, VPN d'agence. C'est la mesure que le Panorama 2025 rend la plus rentable, équipements de bordure en tête^[5].
4. Écrire la procédure de changement d'IBAN et de coordonnées de sous-traitant. Tout changement est rappelé au téléphone, sur un numéro déjà connu, jamais celui indiqué dans le courriel. L'affrètement se paie par virement : c'est là que la fraude passe.
5. Tester quatre heures d'exploitation sans TMS. Qui charge, avec quelle liste, sur quel document papier, avec quels numéros de conducteurs ? Si personne ne sait répondre, vous avez trouvé votre plan de continuité à écrire avant la fin du mois.

Chez CyberNovaLabs.io

Nous ne vendons pas de conformité NIS2 à un transporteur qui n'est pas concerné. Nous faisons deux choses utiles : nous vous donnons une réponse écrite et datée à produire à vos donneurs d'ordre, et nous allons chercher les rendez-vous chez les chargeurs et les industriels qui, eux, ont besoin d'un transporteur capable de répondre à un questionnaire de sécurité. Commencez par notre test NIS2 gratuit, puis regardez comment nous travaillons sur la prise de rendez-vous B2B, y compris pour les entreprises de transport et de logistique et sur le corridor Lille et Hauts-de-France.

Parlons de votre exploitation en 20 minutes

→ Obtenir des rendez-vous

Sources

1. ANSSI - La directive NIS 2 (transposition, ReCyF, enregistrement)
2. MesServicesCyber (ANSSI) - MonEspaceNIS2 et simulateur
3. Directive (UE) 2022/2555 (NIS2), annexe I - texte consolide
4. Senat - Rapport sur le projet de loi relatif a la resilience des infrastructures critiques et au renforcement de la cybersecurite
5. ANSSI - Panorama de la cybermenace 2025 (publie le 11 mars 2026)
6. Commission europeenne - Questions-reponses sur les tachygraphes, paquet mobilite
7. Commission europeenne - Renforcement du controle du tachygraphe intelligent (19/08/2025)
8. SDES - Chiffres cles des transports : entreprises de transport routier

À lire aussi