NIS2: ce que la nouvelle directive européenne change pour votre PME

Entrée en vigueur en janvier 2023 et devant être transposée en droit français, la directive européenne NIS2 (Network and Information Security 2) élargit considérablement le périmètre des entreprises soumises à des obligations de cybersécurité. Contrairement à sa prédécesseure NIS1, qui ne visait que les grandes infrastructures critiques, NIS2 s’applique à des milliers de PME françaises. Voici ce que vous devez savoir pour être en conformité.

Qu’est-ce que la directive NIS2 ?

NIS2 est la deuxième version de la directive européenne sur la sécurité des réseaux et des systèmes d’information. Son objectif est d’harmoniser le niveau de cybersécurité à travers l’Union européenne en imposant des mesures techniques et organisationnelles minimales aux entités jugées « essentielles » ou « importantes » pour le fonctionnement de la société et de l’économie.

La grande nouveauté de NIS2 par rapport à NIS1 est son champ d’application drastiquement élargi : environ 600 types d’entités différentes sont désormais concernées, contre une centaine sous NIS1. En France, cela représente potentiellement plus de 10 000 entreprises nouvellement soumises à cette réglementation, dont une large part de PME et ETI.

Votre PME est-elle concernée par NIS2 ?

NIS2 distingue deux catégories d’entités selon leur taille et leur secteur d’activité :

Les entités « essentielles »

Sont considérées comme essentielles les organisations de plus de 250 employés ou réalisant plus de 50 M€ de chiffre d’affaires dans des secteurs hautement critiques : énergie, transports, banques, infrastructures de marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique et espace.

Les entités « importantes »

Les PME sont principalement concernées par la catégorie « entités importantes », qui inclut les organisations entre 50 et 250 employés, ou réalisant entre 10 et 50 M€ de chiffre d’affaires, dans des secteurs critiques élargis : services postaux, gestion des déchets, chimie, alimentation, industrie manufacturière, fournisseurs numériques et recherche.

Attention : certaines entités sont soumises à NIS2 quelle que soit leur taille, notamment les fournisseurs de services DNS, les registres de noms de domaine, les prestataires de services d’informatique en nuage, et les fournisseurs de services de communications électroniques publics.

Quelles obligations concrètes impose NIS2 ?

NIS2 impose aux entités concernées une approche globale de gestion du risque cyber, articulée autour de plusieurs axes :

1. Gouvernance et responsabilité de la direction

C’est l’une des grandes nouveautés de NIS2 : les dirigeants sont personnellement responsables de la mise en conformité de leur organisation. La directive exige que les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et soient formés à la cybersécurité. En cas de manquement grave, les dirigeants peuvent être interdits temporairement d’exercer des fonctions de direction. Notre analyse dédiée à la responsabilité du dirigeant face à une cyberattaque détaille ce que cela implique concrètement.

2. Gestion des risques liés à la chaîne d’approvisionnement

NIS2 introduit une obligation de sécuriser non seulement vos propres systèmes, mais aussi ceux de vos prestataires et fournisseurs. Vous devez évaluer les risques cybersécurité de votre chaîne d’approvisionnement et vous assurer que vos partenaires technologiques respectent des standards de sécurité adéquats. Cela inclut notamment vos prestataires cloud, vos éditeurs de logiciels et vos sous-traitants informatiques.

3. Notification obligatoire des incidents

En cas d’incident significatif, NIS2 impose un calendrier de notification strict :

• Dans les 24 heures : alerte précoce à l’ANSSI (autorité compétente française)
• Dans les 72 heures : notification détaillée avec évaluation initiale de l’incident
• Dans le mois suivant : rapport final complet sur l’incident et les mesures correctives

4. Mesures techniques minimales

NIS2 exige la mise en place d’un ensemble de mesures techniques qui recoupent largement les bonnes pratiques de cybersécurité :

• Politiques d’analyse des risques et de sécurité des systèmes d’information
• Gestion des incidents (détection, analyse, containment, récupération)
• Continuité des activités et gestion des crises
• Sécurité de la chaîne d’approvisionnement
• Sécurité dans l’acquisition, le développement et la maintenance des réseaux et systèmes
• Politiques et procédures pour évaluer l’efficacité des mesures de cybersécurité
• Pratiques de base d’hygiène informatique et formation des employés
• Politiques d’utilisation de la cryptographie et du chiffrement
• Sécurité des ressources humaines, contrôle d’accès et gestion des actifs
• Utilisation de solutions d’authentification multi-facteurs (MFA)

Quelles sanctions en cas de non-conformité ?

NIS2 prévoit des sanctions financières significativement plus élevées que NIS1 :

Catégorie	Amende maximale	Ou % du chiffre d’affaires
Entités essentielles	10 millions d’euros	2 % du CA mondial
Entités importantes	7 millions d’euros	1,4 % du CA mondial

Au-delà des amendes, l’ANSSI pourra ordonner des mesures correctives, réaliser des audits de sécurité et, dans les cas les plus graves, imposer une interdiction temporaire d’exercer des fonctions de direction.

Comment se mettre en conformité NIS2 : le plan d’action pour les PME

Étape 1 : Vérifier si vous êtes concerné

La première étape est de déterminer si votre organisation entre dans le champ d’application de NIS2. Vérifiez votre secteur d’activité et votre taille (effectifs et chiffre d’affaires). En cas de doute, l’ANSSI met à disposition des ressources d’auto-évaluation sur son site.

Étape 2 : Réaliser un état des lieux

Inventoriez vos actifs numériques critiques, cartographiez vos risques et évaluez votre niveau de maturité cybersécurité actuel par rapport aux exigences NIS2. Un audit de sécurité réalisé par un prestataire qualifié PRIS (Prestataire de Réponse aux Incidents de Sécurité) accrédité par l’ANSSI est recommandé.

Étape 3 : Mettre en place les mesures techniques

Priorisez les mesures techniques en fonction de votre analyse de risques : MFA sur tous les accès critiques, EDR sur l’ensemble des postes, chiffrement des données sensibles, sauvegardes testées. Les mesures détaillées dans notre checklist cybersécurité PME constituent un bon point de départ pour couvrir les exigences NIS2.

Étape 4 : Former la direction et les employés

NIS2 exige explicitement la formation des organes de direction. Sensibilisez vos dirigeants aux enjeux cyber et formez l’ensemble de vos employés aux bonnes pratiques. Documentez ces formations, elles constituent une preuve de conformité en cas de contrôle.

Étape 5 : Établir des procédures de notification

Rédigez et testez votre procédure de notification d’incident : qui est responsable de la déclaration, comment contacter l’ANSSI, quelles informations inclure dans les rapports. Cette procédure doit être disponible et connue de toutes les personnes susceptibles de détecter un incident.

Sur le volet technique de NIS2, des solutions françaises certifiées ANSSI comme VirtualBrowser permettent de sécuriser la navigation web sans dépendre d’acteurs soumis à des législations extraterritoriales.

Pour une présentation détaillée des 10 domaines de mesures obligatoires de l’article 21 de la NIS2 et un auto-diagnostic complet pour savoir si votre entreprise est concernée, consulter notre guide de mise en conformité NIS2 pour PME.

NIS2 et sous-traitance : attention aux effets de cascade

Même si votre PME n’est pas directement soumise à NIS2, vous pourriez indirectement l’être si vous êtes prestataire d’une entité soumise à la directive. En effet, NIS2 oblige les entités concernées à imposer des exigences de sécurité à leurs fournisseurs et sous-traitants.

Si vous fournissez des services à des entreprises des secteurs énergie, santé, transports ou numérique, attendez-vous à recevoir prochainement des questionnaires de sécurité ou des clauses contractuelles cybersécurité de la part de vos clients. La conformité NIS2 pourrait devenir un critère de sélection dans les appels d’offres.

NIS2 est moins une contrainte supplémentaire qu’une opportunité de structurer votre cybersécurité de manière professionnelle. Les PME qui anticipent cette transition seront mieux préparées face aux cybermenaces croissantes et renforceront la confiance de leurs clients et partenaires.

---

À lire également

• Checklist cybersécurité PME : 10 actions à mettre en place dès aujourd’hui
• Règle 3-2-1 : comment sauvegarder vos données pour survivre à une cyberattaque
• Zero Trust et IA : comment les PME peuvent adopter cette architecture de sécurité
• IA & Cybersécurité : le guide complet 2026
• Politique de sécurité informatique PME : modèle complet 2026 à télécharger