NIS2 et applications mobiles : ce que la directive cybersécurité européenne impose à vos projets dès maintenant

La directive NIS2 (Network and Information Security 2) est un règlement européen de cybersécurité. Elle a été adopté en décembre 2022. Son rôle ? Imposer des obligations de sécurité renforcées aux organisations des secteurs essentiels et importants. Chacune de leur application mobile doit désormais intégrer ces exigences dès la phase de cadrage. Sinon, elles encourent des sanctions qui peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

De nombreuses organisations lancent aujourd’hui des projets d’application mobile. Pourtant, elles ne mesurent pas l’impact de NIS2 sur leurs délais, leur budget et leur architecture technique. C’est une erreur qui coûte cher. Une non-conformité découverte en phase de recette entraîne des refontes coûteuses. C’est sans compter des retards de mise en service et une exposition au risque réglementaire.

Trois questions pratiques se posent alors : 

1. Quelles sont les organisations concernées ? 
2. Quelles obligations pèsent concrètement sur un projet d’application mobile ?
3. Et, comment intégrer NIS2 dès le cadrage sans faire exploser le budget ni les délais. 

AquilApp, agence de développement mobile à Nantes, accompagne ses clients sur ces sujets depuis la phase de cadrage jusqu’à la mise en service.

Qu’est-ce que la directive NIS2 ?

La directive NIS2 est aussi connu sous sa forme longue Network and Information Security 2. C’est la directive européenne 2022/2555, adoptée le 14 décembre 2022. Elle remplace notamment la directive NIS1 de 2016. D’ailleurs, elle élargit le périmètre des entités soumises à des obligations de cybersécurité. Selon l’ANSSI, elle concerne entre 15 000 et 18 000 entités françaises, contre environ 500 sous NIS1. Autrement dit, le périmètre a été multiplié par dix.

La transposition française suit un parcours législatif progressif. Le projet de loi « Résilience » a été présenté en COnseil des ministres en Octobre 2024. Elle transpose notamment NIS2, DORA et la directive REC. D’ailleurs, il a été adopté au Sénat le 12 mars 2025. L’examen par l’Assemblée nationale s’est poursuivi à l’automne 2025. On attend la transposition définitive pour juillet 2026. Le 17 mars 2026, l’ANSSI a publié le Référentiel Cyber France (ReCyF). Celui-ci liste les mesures recommandées pour atteindre les objectifs de sécurité NIS2 et servira de base lors des contrôles.

NIS2 distingue deux catégories d’entités :

• Entités essentielles (EE) : énergie, transports, santé, eau, infrastructures numériques, espace, administration publique.
• Entités importantes (EI) : services postaux, gestion des déchets, chimie, alimentation, industrie manufacturière, prestataires de services numériques.

Qui est concerné par la directive de cybersécurité européenne parmi vos projets mobiles ?

L’obligation NIS2 suit l’organisation, pas la technologie. En effet, votre client ou commanditaire appartient à un secteur couvert par la directive ? L’application mobile que vous développez pour lui entre dans le périmètre, quelle que soit sa forme technique. Exemple : application native iOS/Android, Progressive Web App (PWA) ou application hybride.

Voici des exemples concrets de projets mobiles concernés :

• Application de gestion de flotte pour un opérateur de transport.
• Application métier pour un établissement de santé ou une clinique.
• Application de télérelève ou de supervision pour un opérateur d’énergie.
• PWA (Progressive Web App) d’un fournisseur de services d’eau.
• Application B2B pour un sous-traitant critique d’une entité essentielle.
• Outil mobile d’administration publique ou de collectivité territoriale.

Attention : les sous-traitants et prestataires des entités essentielles peuvent également entrer dans le périmètre de la chaîne d’approvisionnement. En effet, l’article 21 de NIS2 impose aux entités d’évaluer les pratiques de sécurité de leurs fournisseurs.

Pour vérifier le statut de votre organisation, l’ANSSI met à disposition la plateforme MonEspaceNIS2 sur son site officiel cyber.gouv.fr.

Quelles sont les 4 grandes obligations de la directive NIS2 qui impactent le développement mobile ?

Basons-nous sur l’article 21 de la directive NIS2. En effet, il définit les mesures de gestion des risques de cybersécurité. Voici les quatre obligations qui ont un impact direct sur la conception et le développement d’une application mobile.

1. Gestion des risques de sécurité

Les entités doivent conduire une analyse de risques avant le lancement du projet. Celle-ci couvre les risques liés :

• Aux systèmes d’information
• Aux données traitées 
• Et aux dépendances tierces. 

Elle est obligatoire et doit être documentée.

Impact projet : le cadrage doit inclure un atelier dédié à la cartographie des risques. Cette étape ne peut plus être différée à la phase de recette.

2. Sécurité dès la conception ou la security by Design

Les mesures de sécurité ne s’ajoutent plus après le développement. En effet, elles font partie des spécifications fonctionnelles. Le Security by Design est une approche qui intègre la sécurité à chaque étape du développement, plutôt que de la traiter comme une couche ajoutée en fin de projet.

Impact projet : authentification forte, chiffrement des données en transit et au repos, gestion des sessions et des permissions sont à définir dans le cahier des charges.

3. Gestion des incidents et obligation de notification

Tout incident significatif doit être signalé à l’ANSSI. Suivez notamment le protocole en trois étapes, défini à l’article 23 de la directive :

1. Alerte préliminaire : dans les 24 heures suivant la prise de connaissance de l’incident.
2. Notification initiale : dans les 72 heures, avec une évaluation de la gravité et de l’impact.
3. Rapport final : dans le mois suivant, avec l’analyse de la cause racine et les mesures correctives.

Impact projet : l’application doit embarquer des mécanismes de journalisation (logs). Ajoutez à cela la détection d’anomalies et l’alerte pour permettre le respect de ces délais.

4. Sécurité de la chaîne d’approvisionnement logicielle

En outre, vous devez aussi intégrer dans le périmètre NIS2 de votre application : 

• Les API (Interfaces de Programmation)
• Les SDK (kits de développement) 
• Et les services tiers intégrés. 

En outre, évaluez la qualité des pratiques de sécurité de chaque fournisseur.

Impact projet : chaque dépendance tierce doit être auditée avant intégration. Un registre des composants logiciels (SBOM, Software Bill of Materials) est une bonne pratique recommandée.

Qu’est-ce que le Security by Design dans un projet mobile ?

Le Security by Design est une approche qui intègre la sécurité à chaque étape du développement. Donc, vous évitez de la traiter comme une couche ajoutée en fin de projet. C’est une exigence explicite de NIS2, portée par son article 21.

Concrètement, pour une application mobile, cela signifie :

• Authentification multi-facteurs (MFA) définie dès les spécifications fonctionnelles.
• Chiffrement des données stockées sur l’appareil et en transit (TLS 1.2 minimum).
• Gestion des permissions système (caméra, localisation, contacts) limitée au strict nécessaire, principe du moindre privilège.
• Tests de sécurité intégrés au cycle de développement : tests de pénétration, revue de code sécurité, analyse statique (SAST) et dynamique (DAST).
• Journalisation des accès et des actions sensibles, conservée selon les durées réglementaires.

Chez AquilApp, le Security by Design fait partie de notre phase de cadrage pour tous les projets soumis à NIS2. Les exigences de sécurité sont définies au même niveau d’importance que les exigences fonctionnelles.

Quel surcoût faut-il prévoir pour une application mobile conforme NIS2 ?

Le coût de développement d’une application mobile se situe entre 500 et 20 000 euros. Il faudra tenir compte de : 

• La complexité fonctionnelle
• Du choix de la technologie 
• Et du périmètre d’usage. 

NIS2 ajoute une couche de coûts spécifiques qui varient selon la criticité du secteur et la maturité initiale de l’organisation.

Sources et fourchettes : La Fabrique du Net, mars 2026 ; RapidCraft, juin 2026 (coûts QA et sécurité sur projets mobiles français) ; estimations AquilApp issues de projets livrés. Ces chiffres sont indicatifs. Chaque projet nécessite un chiffrage personnalisé.

Un argument clé pour les décideurs : intégrer les exigences NIS2 dès le cadrage coûte en général trois à cinq fois moins cher que de les traiter en refonte après la mise en service. Le coût moyen d’une cyberattaque pour une PME dépasse 50 000 euros. De plus, la Cour des comptes française estime qu’une cyberattaque représente entre 5 et 10 % du chiffre d’affaires annuel pour les organisations touchées.

Comment cette directive européenne impact-t-elle sur les délais de livraison ?

NIS2 allonge les délais de livraison lorsqu’elle n’est pas anticipée. Voici les ajouts typiques par phase :

• Phase de cadrage : +2 à +4 semaines pour l’atelier de cartographie des risques et la rédaction de la politique de sécurité du Système d’Information (PSSI).
• Phase de développement : +10 à +20 % du temps de développement pour l’implémentation des mesures Security by Design.
• Phase de recette : +1 à +3 semaines pour les tests de pénétration, la revue de code sécurité et la correction des vulnérabilités détectées.

La règle d’or est simple : anticiper NIS2 dès la rédaction du brief projet supprime tout allongement non planifié. Ce qui est prévu dans le planning ne constitue pas un retard.

Les 5 étapes pour intégrer NIS2 dans votre projet mobile

Il reste une question : comment intégrer la directive NIS2 dans le développement de votre app mobile ? 

1. Vérifier si votre organisation est dans le périmètre NIS2 : utilisez l’outil de vérification MonEspaceNIS2 sur cyber.gouv.fr. Ou rapprochez-vous de votre DPO (Délégué à la Protection des Données) et de votre RSSI (Responsable de la Sécurité des Systèmes d’Information). L’ANSSI encourage toutes les entités potentiellement concernées à s’enregistrer sans attendre l’adoption définitive du texte législatif.
2. Inclure NIS2 dans le brief technique du projet : mentionnez explicitement les obligations de sécurité dans le cahier des charges transmis à l’agence de développement. Un cahier des charges sans mention de NIS2 signifie que la conformité ne sera pas au périmètre du devis.
3. Choisir un prestataire technique qui maîtrise le Security by Design : vérifiez que l’agence intègre la sécurité dans sa méthodologie de cadrage et non uniquement en phase de recette. Demandez des références sur des projets soumis à des contraintes réglementaires équivalentes.
4. Planifier un audit de sécurité avant la mise en service : prévoyez un test de pénétration et une revue de code par un prestataire qualifié (idéalement certifié CESTI ou référencé ANSSI). Cet audit est une condition sine qua non pour valider la conformité avant déploiement.
5. Mettre en place un dispositif de gestion des incidents : définissez les procédures de notification à l’ANSSI dès la phase de conception fonctionnelle. Les rôles (qui décide, qui notifie, dans quel délai) doivent être documentés avant la mise en production.

Quelles questions poser à votre agence de développement mobile ?

Choisissez une agence de développement mobile pour un projet soumis à NIS2. Donc, choisissez un partenaire technique qui comprend les enjeux réglementaires autant que les enjeux fonctionnels. Voici cinq questions à poser systématiquement lors de la sélection :

• Intégrez-vous le Security by Design dans votre phase de cadrage, ou uniquement en phase de recette ?
• Avez-vous livré des projets soumis à NIS2, à la directive HDS (Hébergement de Données de Santé) ou à des contraintes réglementaires équivalentes ?
• Proposez-vous un audit des dépendances tierces (API, SDK, services cloud) en amont du développement ?
• Comment gérez-vous la journalisation et les mécanismes de détection d’anomalies dans vos livrables ?
• Avez-vous un partenaire qualifié pour les tests de pénétration ? Proposez-vous ce service en propre ou via un sous-traitant certifié ?

La valeur ajoutée d’une agence expérimentée commence en amont du code. AquilApp accompagne ses clients de la phase de cadrage stratégique jusqu’à la mise en service, en intégrant les exigences réglementaires au même niveau que les exigences fonctionnelles.

Conclusion

NIS2 est une contrainte réelle. Cependant, elle est entièrement anticipable. Intégrée dès la phase de cadrage, elle ne compromet ni les délais ni le budget. Au contraire, elle les structure. Une application mobile conçue avec les exigences NIS2 dès l’origine est plus robuste, plus facile à maintenir et plus crédible auprès des parties prenantes réglementaires.

Pour aller plus loin, consultez notre guide complet sur la création d’une application mobile : il détaille la méthodologie de cadrage, les choix technologiques et les facteurs qui influencent les coûts et les délais.

Vous préparez un projet d’application mobile soumis à NIS2 ? Nos équipes vous accompagnent de la phase de cadrage jusqu’à la mise en service.  Contactez-nous.