Directive NIS2 : comment évaluer la cybersécurité d’un hébergeur web en 2026

Pour choisir un hébergeur web en 2026, utilisez NIS2 comme grille de lecture : demandez des éléments concrets sur la prévention et la gestion des incidents, les sauvegardes, les accès et la sous-traitance. La directive ne soumet pas automatiquement chaque hébergeur à ses obligations, mais elle aide à distinguer une promesse marketing d’une organisation structurée.

Qui est concerné par NIS2 ?

NIS2 est la directive européenne 2022/2555 sur la cybersécurité. Elle vise notamment certaines activités d’infrastructure numérique : fournisseurs de cloud computing, exploitants de centres de données, fournisseurs de services gérés, services DNS, registres de noms de domaine de premier niveau et réseaux de diffusion de contenu.

Un prestataire de sites web ou d’hébergement mutualisé n’est donc pas nécessairement soumis à NIS2 du seul fait qu’il vend de l’hébergement. Le périmètre dépend de son activité, de sa taille, de son implantation et des règles nationales de transposition ; la directive vise en principe les moyennes et grandes entités, avec des exceptions liées au caractère critique du service.

Un client ne devient pas soumis à NIS2 parce qu’il loue un serveur. En revanche, une organisation concernée doit maîtriser ses risques fournisseurs : un hébergeur opaque ou sans processus documenté peut compliquer sa propre conformité.

La directive NIS2 publiée au Journal officiel de l’Union européenne fixe un socle commun, mais son application précise dépend aussi des textes nationaux. Pour un contrat en France, vérifiez les informations mises à jour par l’ANSSI et ne vous fiez pas à un logo « NIS2 compliant » sans explication.

Ce qu’il faut demander à l’hébergeur

L’article 21 de NIS2 impose aux entités concernées des mesures adaptées et proportionnées de gestion des risques. Un hébergeur sérieux doit pouvoir expliquer son organisation sans révéler d’informations qui affaibliraient sa sécurité.

Incidents : procédure d’alerte, interlocuteur identifié, canal client ou page d’état, et modalités de notification.
Continuité : fréquence et conservation des sauvegardes, restauration testée, délai de restauration visé, perte de données acceptable et exclusions contractuelles.
Accès et maintenance : authentification multifacteur pour les consoles d’administration, comptes nominatifs, droits limités, traçabilité, politique de correctifs et modalités de maintenance.
Sous-traitance : information sur les sous-traitants critiques, les sites d’hébergement et la répartition des responsabilités.
Chiffrement : TLS pour les interfaces et les échanges, ainsi que des informations claires sur le chiffrement des données au repos lorsque l’offre le prévoit.

NIS2 prévoit, pour les entités dans son champ, une alerte précoce dans les 24 heures, une notification dans les 72 heures, puis un rapport final en principe dans le mois pour les incidents significatifs. Ces délais ne s’appliquent pas automatiquement à tous les hébergeurs, mais ils constituent un repère utile de transparence.

Vérifiez aussi ce qui reste à votre charge, notamment les mises à jour de WordPress, les mots de passe administrateurs, les extensions et les sauvegardes applicatives. Une certification ISO/IEC 27001 peut être un indicateur utile si son périmètre est communiqué, mais elle ne garantit ni l’absence d’incident ni l’inclusion de tous les produits du fournisseur.

Adapter la résilience et la sobriété

NIS2 n’est pas une réglementation environnementale : elle ne mesure ni les émissions carbone, ni la consommation d’eau, ni l’efficacité énergétique d’un datacenter. Elle ne constitue donc pas une preuve d’hébergement écologique.

Demandez un niveau de redondance adapté à l’impact d’une panne : un site vitrine n’a pas les mêmes besoins qu’un service de paiement ou une application de santé. Un surdimensionnement sans objectif de disponibilité clair consomme davantage de ressources sans nécessairement améliorer la sécurité.

Pour compléter cette analyse, consultez notre guide sur les critères à vérifier pour un hébergement web écologique. Les indicateurs environnementaux doivent être publiés séparément des engagements de cybersécurité.

Checklist de comparaison

Le prestataire indique-t-il qui exploite l’infrastructure et dans quels pays les données sont hébergées ?
Les sauvegardes, leur restauration et les responsabilités de chacun sont-elles documentées ?
L’authentification multifacteur est-elle disponible pour le compte client, l’administration et le support ?
Existe-t-il une page d’état, une procédure de notification et un contact en cas d’incident majeur ?
Le fournisseur publie-t-il des informations vérifiables sur ses pratiques de sécurité et le périmètre de ses certifications ?
La redondance proposée correspond-elle à la criticité du site, sans infrastructure inutilement surdimensionnée ?