La directive NIS 2 étend des obligations de cybersécurité à de nouveaux secteurs et à des entités de taille moyenne. Beaucoup de PME se demandent si elles sont concernées et certaines reçoivent déjà un questionnaire de sécurité de leurs clients. Cet article vous aide à vérifier si votre PME est visée, à savoir où en est la loi en France et à engager une démarche réaliste même sans être directement assujetti.
Qui est concerné par NIS2 parmi les PME ?
NIS 2 vise des entités réparties sur dix-huit secteurs d’activité, pour l’essentiel des moyennes et grandes entreprises, des collectivités territoriales et des administrations. On y trouve l’énergie, la santé, l’eau potable ou les infrastructures numériques. La taille compte mais n’est pas le seul critère, puisque certains types d’entités sont visés quelle que soit leur taille, selon l’article 2 de la directive.
Quelle est la classification NIS2 entre entités essentielles et entités importantes ?
Au 23 octobre 2026, selon l’ANSSI, la catégorie dépend du degré de criticité du secteur, de la taille et du chiffre d’affaires. Une entité est essentielle si elle relève d’un secteur hautement critique, listé à l’annexe I de la directive, et qu’elle emploie au moins 250 personnes ou a un chiffre d’affaires annuel supérieur à 50 millions d’euros et un bilan annuel supérieur à 43 millions d’euros. Elle est importante si, sans être essentielle, elle emploie au moins 50 personnes ou a un chiffre d’affaires et un bilan annuels supérieurs à 10 millions d’euros. Ces seuils ne valent que pour les entités des secteurs listés. L’ANSSI cite aussi des exceptions, par exemple les prestataires de services de confiance, les fournisseurs de services DNS et les fournisseurs de services de communications électroniques accessibles au public.
Comment savoir si votre PME est concernée par NIS2 ?
Le plus simple, c’est d’utiliser le test en ligne de l’ANSSI, qui indique, d’après les informations saisies, si votre entité serait régulée et dans quelle catégorie elle entre. Nous vous conseillons de réunir avant de le lancer votre code d’activité, votre effectif et vos chiffres financiers.
Où en est la transposition de NIS2 en France et quand sera-t-elle effective ?
La directive a été publiée au Journal officiel de l’Union européenne le 27 décembre 2022. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, a été présenté en Conseil des ministres le 15 octobre 2024. Le Sénat l’a adopté en première lecture le 12 mars 2025 puis transmis à l’Assemblée nationale. La dernière étape affichée est le texte de la commission spéciale de l’Assemblée nationale du 10 septembre 2025, sans étape ultérieure sur les dossiers législatifs consultés le 23 octobre 2026. Le texte français n’est donc pas en vigueur et aucune date d’application n’est publiée. L’ANSSI précise que l’entrée en vigueur suivra la promulgation de la loi puis des décrets et arrêtés, distincte de l’application de toutes les exigences. Elle invite les futures entités à s’engager dès maintenant.
Pourquoi une PME non assujettie à NIS2 reçoit-elle quand même des exigences de ses clients ?
L’article 21 de la directive oblige les entités concernées à gérer la sécurité de leur chaîne d’approvisionnement, y compris leurs relations avec leurs fournisseurs et prestataires directs. Le référentiel ReCyF de l’ANSSI détaille cette attente pour les prestataires informatiques et cite l’infogérance en exemple. Pour votre PME, cela prend la forme d’un questionnaire de sécurité, d’une annexe au contrat, de demandes de preuves ou de l’obligation de signaler un incident. Vous ne devenez pas une entité régulée pour autant, l’obligation vous vient du contrat. Une réponse floue peut coûter un contrat, d’où l’intérêt de cadrer la sécurité et conformité de votre informatique.
Quelles exigences un client assujetti à NIS2 peut-il demander à une PME prestataire ?
Un donneur d’ordre peut attendre une authentification forte sur les accès, des mises à jour suivies, des sauvegardes testées, une gestion rigoureuse des droits d’accès, une procédure en cas d’incident ou le nom d’un interlocuteur sécurité. Ce ne sont pas des seuils légaux universels et le contenu exact dépend du client et du contrat. Vous lisez ce qui vous est demandé et vous répondez avec ce que vous avez réellement en place.
Comment une PME de 10 à 50 postes peut-elle se préparer à NIS2 concrètement ?
Une petite structure peut avancer par une démarche courte, que nous proposons ici en quatre étapes. Elle n’est pas prévue par l’ANSSI, mais elle suit l’esprit du principe de proportionnalité de ReCyF, où le niveau d’effort s’adapte à la maturité et aux ressources de l’entité. NIS 2 n’est pas qu’un sujet technique, dans ReCyF le dirigeant exécutif est responsable de la sécurité numérique de son entité, donc la direction s’implique et la démarche se documente.
Par où commencer l’état des lieux de votre informatique ?
Commencez par dresser l’inventaire de vos postes, serveurs, comptes et accès, puis de vos données et outils critiques et désignez un responsable côté direction. Un audit informatique met à plat l’existant et ses écarts, tandis que le diagnostic cyber donne un premier aperçu rapide de vos failles prioritaires.
Quelles mesures de base mettre en place en priorité ?
Plusieurs mesures forment une base saine. Elles ne sont pas une obligation au titre de NIS2 pour une PME non régulée, même si d’autres textes peuvent en imposer certaines. Authentification forte y compris sur les comptes Microsoft 365, mises à jour, protection des postes par antivirus et EDR, pare-feu, comptes administrateurs séparés des comptes de travail quotidien, sauvegardes isolées et testées. Pour ce dernier point, voyez la sauvegarde immuable et la sauvegarde externalisée. Parmi les mesures de base, la sécurité des comptes et de la messagerie passe souvent par les étapes pour sécuriser Microsoft 365.
Comment se préparer à gérer un incident de sécurité ?
Préparez à froid l’essentiel, qui prévenir en interne, qui appeler à l’extérieur, comment isoler une machine et comment redémarrer. Gardez une trace datée de ce qui se passe et une liste de contacts accessible hors de votre système d’information. Un plan de continuité et plan de reprise structure cette préparation.
Quels documents tenir à jour pour prouver votre démarche ?
Quelques documents suffisent, l’inventaire, la politique d’accès, les preuves de sauvegarde et de tests de restauration, la procédure d’incident et l’historique des actions menées. Ils vous serviront aussi à répondre aux questionnaires de sécurité de vos clients.
Quel rôle peut jouer un prestataire informatique dans une démarche NIS2 en PME ?
Nous accompagnons des PME sur le RGPD et NIS2 sans qu’elles aient à devenir expertes. Nous dressons l’état des lieux, établissons un plan d’action classé par priorité, mettons en place les mesures techniques et tenons à jour une documentation qui appartient au client, de quoi répondre par écrit quand un client ou un assureur vous interroge. Lors de l’audit, nous vérifions avec vous ce qui s’applique à votre cas. Les équipements sont surveillés 24h/24 et 7j/7. Le périmètre et le forfait sont écrits après l’audit. Nous intervenons sur Paris, la petite couronne et toute l’Essonne, couverte par notre infogérance en Essonne. Vous pouvez faire le point sur votre situation.
Questions fréquentes
Quelles sanctions prévoit NIS2 pour les entités concernées ?
Selon la directive, le montant maximal est d’au moins 10 millions d’euros ou d’au moins 2 % du chiffre d’affaires annuel mondial de l’entreprise à laquelle l’entité appartient pour les entités essentielles, le plus élevé des deux étant retenu. Pour les entités importantes, il est d’au moins 7 millions d’euros ou de 1,4 %, là aussi le plus élevé. La page de l’ANSSI ne cite de son côté que les pourcentages, 2 % et 1,4 %. Le régime applicable en France dépendra de la loi de transposition, pas encore adoptée au 23 octobre 2026.
À quoi sert le référentiel ReCyF de l’ANSSI ?
ReCyF rassemble les mesures recommandées par l’ANSSI pour atteindre les objectifs de NIS 2, encore un document de travail, proportionné à la maturité et aux ressources de chaque entité. Un référentiel de mesures basiques est annoncé pour les moins avancées.
Combien de temps prévoir pour se préparer à NIS2 ?
Aucune durée type ne s’applique. Le temps nécessaire dépend de l’état de votre parc, de votre taille et de ce que vos clients demandent. D’où l’intérêt de commencer par un état des lieux.
Conclusion
Retenez trois réflexes. Vérifiez votre statut avec l’outil officiel de l’ANSSI, lisez attentivement ce que demandent vos clients et avancez par étapes sans attendre la fin de la transposition.
