NIS2 : votre PME est-elle concernée, et que faut-il faire ?
La directive NIS2 élargit massivement les obligations de cybersécurité en Europe. Secteurs concernés, seuils, effet de chaîne sur les fournisseurs : le point pour les PME françaises.
Pendant des années, la réglementation cybersécurité ne concernait qu’une poignée d’opérateurs critiques. Avec la directive européenne NIS2, transposée en France par le cadre porté par l’ANSSI, le changement d’échelle est réel : des milliers d’entités françaises entrent dans le champ — et beaucoup sont des PME qui l’ignorent encore.
Qui est concerné ?
NIS2 distingue deux catégories, entités essentielles et entités importantes, selon le secteur et la taille. Les secteurs couverts sont larges : énergie, transports, santé, eau, infrastructures numériques, services numériques, espace, mais aussi agroalimentaire, chimie, gestion des déchets, fabrication de certains produits, services postaux…
Le critère de taille de référence : à partir de 50 salariés ou 10 M€ de chiffre d’affaires dans un secteur couvert, vous êtes potentiellement dans le champ. Certaines entités le sont même en dessous de ces seuils, selon leur criticité.
Le point aveugle : l’effet de chaîne
Même si votre entreprise n’est pas directement assujettie, NIS2 vous rattrape souvent par vos clients. Les entités régulées doivent maîtriser la sécurité de leur chaîne d’approvisionnement — donc de leurs fournisseurs et prestataires. Concrètement, cela se traduit par :
- des questionnaires sécurité de plus en plus exigeants,
- des clauses cyber dans les contrats,
- des évaluations de type CyberVadis,
- des demandes de certification ISO 27001.
C’est le même mécanisme qui a diffusé le RGPD bien au-delà de son champ strict : l’exigence descend la chaîne commerciale.
Ce que NIS2 demande concrètement
Le cœur des obligations tient en trois blocs :
1. Gouvernance. La direction est responsable — et formée. La sécurité ne peut plus être un sujet « informatique » délégué sans pilotage. Un responsable identifié, une analyse de risques, des politiques : le socle.
2. Mesures de gestion des risques. La liste ressemble fortement aux fondamentaux ISO 27001 : gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, contrôle d’accès et MFA, chiffrement, hygiène informatique de base, sensibilisation.
3. Notification des incidents. Les incidents importants doivent être notifiés à l’ANSSI selon des délais courts (alerte précoce sous 24 h, notification sous 72 h). Cela suppose d’être capable de détecter un incident — ce qui, en pratique, est le vrai chantier de beaucoup de PME.
Par où commencer, pragmatiquement
Pas de panique réglementaire : les sanctions supposent une mise en demeure préalable, et l’ANSSI a affiché une logique d’accompagnement progressif. Mais attendre serait une erreur, car les fondamentaux demandent des mois, pas des semaines. La séquence raisonnable :
- Qualifier votre exposition : secteur, taille, statut de fournisseur d’entités régulées. Une demi-journée suffit souvent à trancher.
- Faire l’état des lieux des fondamentaux : gouvernance, MFA, sauvegardes, incidents, sensibilisation. Notre auto-diagnostic en ligne donne une première photographie en cinq minutes.
- Prioriser : les mesures NIS2 recoupent très largement ISO 27001 et CyberVadis. Un seul socle de sécurité bien construit sert les trois — inutile de mener trois chantiers séparés.
- Installer un pilotage : c’est exactement le rôle d’un RSSI à temps partagé pour une PME qui n’a pas de poste sécurité.
L’angle positif
NIS2 est aussi un argument commercial. Les entreprises capables de démontrer leur sécurité — certification, bonne évaluation, réponses solides aux questionnaires — se différencient dans les appels d’offres au moment précis où leurs concurrents découvrent le sujet. Le coût de la conformité se transforme alors en avantage.
Vous ne savez pas si NIS2 vous concerne, directement ou via vos clients ? Décrivez votre situation — la qualification est rapide.