Guide de mise en conformité NIS2 pour PME : les 10 mesures obligatoires et le plan d’action complet

La directive NIS2 (Network and Information Security 2, directive UE 2022/2555) a été adoptée par le Parlement européen le 14 décembre 2022 et est entrée en vigueur le 16 janvier 2023. Elle devait être transposée dans le droit national de chaque État membre avant le 17 octobre 2024, délai que la France, comme plusieurs autres pays, n’a pas respecté dans sa totalité. Pourtant, les obligations de fond s’imposent déjà : l’ANSSI a lancé le portail MonEspaceNIS2 pour l’enregistrement des entités concernées, et les premières phases d’identification sont en cours.

NIS2 est une rupture majeure par rapport à NIS1 (2016). Là où la première directive ne ciblait qu’un nombre limité d’opérateurs de services essentiels, environ 300 en France, NIS2 élargit considérablement le champ d’application. On estime que plusieurs milliers d’entreprises françaises entrent désormais dans son périmètre direct, et des dizaines de milliers d’autres sont indirectement touchées via les exigences imposées à leurs donneurs d’ordres. Deux nouvelles catégories ont été créées : les Entités Essentielles (EE) et les Entités Importantes (EI), avec des obligations et des régimes de sanctions différenciés.

Ce guide a été conçu pour être la ressource de référence des dirigeants et responsables informatiques de PME françaises face à NIS2. Vous y trouverez un auto-diagnostic complet pour savoir si votre entreprise est concernée, une présentation détaillée des 10 domaines de mesures obligatoires de l’article 21, les modalités de notification d’incident (24h/72h/1 mois), un plan d’action concret sur 6 mois, des estimations budgétaires, et une checklist complète en conclusion. Pour comprendre les grands principes de la directive, consultez d’abord notre article NIS2 : ce que la nouvelle directive européenne change pour votre PME. Pour une vue d’ensemble de votre cybersécurité, référez-vous à notre guide complet de cybersécurité PME 2026.

NIS2 en France : état de la transposition en 2026

Comprendre le calendrier réglementaire est indispensable avant de se lancer dans un projet de conformité NIS2. La situation française présente une particularité : bien que le délai de transposition soit dépassé, les obligations s’appliquent progressivement, et l’ANSSI pilote activement la mise en oeuvre de la directive sur le territoire.

Le calendrier européen

La directive 2022/2555 a suivi ce calendrier au niveau européen :

La transposition française : une avance partielle

La France n’a pas adopté de loi de transposition intégrale de NIS2 dans le délai imparti d’octobre 2024. Plusieurs raisons expliquent ce retard : la dissolution de l’Assemblée nationale en juin 2024 a retardé le calendrier législatif, et la complexité technique du texte nécessite une consultation approfondie des acteurs concernés. Cependant, plusieurs avancées ont été réalisées :

La LOPMI (Loi d’Orientation et de Programmation du Ministère de l’Intérieur, janvier 2023) a introduit des premières dispositions relatives à la cybersécurité des entités régulées, et constitue un cadre préliminaire partiel. Elle prévoit notamment le renforcement des moyens de l’ANSSI et des obligations de notification d’incident pour certaines catégories d’acteurs.

Le règlement DORA (Digital Operational Resilience Act), applicable depuis le 17 janvier 2025, couvre les entités financières avec des exigences proches de NIS2 pour le secteur bancaire et des assurances.

En 2026, un projet de loi cyber spécifique à la transposition de NIS2 est en cours d’examen. En parallèle, l’ANSSI a ouvert le portail MonEspaceNIS2 (disponible sur le site de l’ANSSI) pour permettre aux entités concernées de s’enregistrer et de recevoir leurs obligations spécifiques.

Ce qui s’applique dès aujourd’hui

Même sans loi de transposition complète, les entités françaises doivent d’ores et déjà :

• S’identifier et s’enregistrer sur le portail MonEspaceNIS2 de l’ANSSI, dès lors qu’elles pensent entrer dans le champ d’application de la directive.
• Initier leur analyse de risques et cartographier leurs systèmes d’information critiques.
• Désigner un référent NIS2 en interne, qui sera l’interlocuteur de l’ANSSI.
• Préparer leurs procédures de notification d’incident, qui devront être opérationnelles dès l’entrée en vigueur des textes nationaux.

Les entités déjà soumises à NIS1 (les OIV et OSE) sont automatiquement dans le champ de NIS2 et doivent se conformer aux nouvelles exigences dans les délais fixés par l’ANSSI. Pour les nouvelles entités concernées, un calendrier progressif de mise en conformité est prévu, tenant compte de la taille et du secteur de chaque entité.

Le rôle central de l’ANSSI

En France, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) est l’autorité compétente nationale pour NIS2. Elle a pour mission d’identifier les entités concernées, de les accompagner dans leur mise en conformité, de mener des inspections, et d’appliquer les sanctions prévues par la directive. L’ANSSI publie régulièrement des guides techniques et des référentiels pour aider les entités à comprendre leurs obligations. Le référentiel PRIS (Prestataires de Réponse aux Incidents de Sécurité) et le Visa de Sécurité ANSSI constituent des outils précieux pour identifier des prestataires qualifiés capables d’accompagner votre démarche NIS2.

Suis-je concerné par NIS2 ? L’auto-diagnostic complet

La première question à se poser est de savoir si votre entreprise entre dans le champ d’application de NIS2. La directive repose sur deux critères cumulatifs : l’appartenance à un secteur couvert et le dépassement de certains seuils de taille. Un troisième facteur s’ajoute : certaines entités sont incluses indépendamment de leur taille, en raison de leur rôle critique dans les infrastructures nationales.

Les 18 secteurs couverts par NIS2

NIS2 couvre 18 secteurs répartis en deux annexes. L’appartenance à l’Annexe I ou à l’Annexe II conditionne la qualification en EE ou EI selon les seuils de taille :

Les seuils de taille : EE ou EI ?

Si votre secteur est couvert, votre qualification (EE, EI ou non concerné) dépend de la taille de votre organisation. NIS2 utilise les seuils de la recommandation européenne sur les PME :

Les entités automatiquement incluses, quelle que soit leur taille

Certaines entités sont dans le champ d’application de NIS2 indépendamment de leur taille, en raison de leur caractère critique pour les infrastructures nationales ou européennes :

• Les fournisseurs de services DNS récursifs et d’autorité au niveau du Top Level Domain (TLD)
• Les registres de noms de domaine TLD
• Les fournisseurs de services de confiance qualifiés (eIDAS)
• Les fournisseurs de réseaux de communications électroniques publics ou de services disponibles au public
• Les entités de l’administration publique centrale, ainsi que certaines entités régionales
• Les entités expressément désignées par l’État membre comme critiques

Les exceptions et cas particuliers

Certaines organisations sont exclues du champ de NIS2 même si elles appartiennent à un secteur couvert :

• Les micro-entreprises (moins de 10 salariés et moins de 2 millions d’euros de CA ou de bilan) : elles sont en principe exclues, sauf si elles sont désignées comme critiques par l’État.
• Les entités exerçant des activités dans les domaines de la sécurité nationale, de la défense, ou de l’application de la loi : elles relèvent d’autres cadres réglementaires.
• Les organes législatifs et judiciaires : exclus du champ d’application.
• Les banques centrales et certaines institutions de l’Union européenne : soumises à des régimes spécifiques.

Comment s’enregistrer ?

Si votre analyse vous conduit à conclure que votre entreprise est concernée par NIS2 (EE ou EI), vous devez vous enregistrer sur le portail MonEspaceNIS2 de l’ANSSI (disponible sur anssi.fr). L’enregistrement permet à l’ANSSI d’identifier les entités concernées, de leur communiquer leurs obligations spécifiques, et de gérer les interactions en cas d’incident. Ne tardez pas à effectuer cet enregistrement, même si la loi de transposition n’est pas encore définitivement adoptée : il s’agit d’une démarche volontaire positive qui démontre votre engagement dans la conformité.

Responsabilité des dirigeants : ce que dit l’article 20

L’une des innovations les plus importantes de NIS2 par rapport à NIS1 est l’introduction d’une responsabilité personnelle des dirigeants en matière de cybersécurité. L’article 20 de la directive est explicite : les organes de direction des entités EE et EI sont directement impliqués dans la gouvernance cyber, et leur responsabilité peut être engagée en cas de manquement. Cette disposition change fondamentalement la donne pour les PME : la cybersécurité n’est plus un sujet technique qui peut être entièrement délégué à l’informatique.

L’article 20 NIS2 : les obligations des organes de direction

L’article 20 de la directive impose aux organes de direction (PDG, DG, gérant, conseil d’administration) des entités concernées plusieurs obligations concrètes :

1. Approuver les mesures de gestion des risques de cybersécurité prises par l’entité. Les dirigeants doivent valider formellement la politique de sécurité et les mesures mises en oeuvre, et en assumer la responsabilité.
2. Superviser la mise en oeuvre de ces mesures. Il ne suffit pas d’approuver : les dirigeants doivent s’assurer que les mesures sont effectivement appliquées.
3. Suivre des formations périodiques sur la cybersécurité. NIS2 impose que les membres des organes de direction acquièrent des connaissances suffisantes pour identifier les risques et évaluer les pratiques de gestion.
4. Encourager tous les membres du personnel à suivre régulièrement des formations similaires.

Le régime de sanctions financières

NIS2 prévoit des sanctions administratives qui peuvent être très lourdes, à l’image du RGPD. Le régime est différencié selon la catégorie :

Ces montants s’appliquent aux entités elles-mêmes. Pour les personnes physiques dirigeantes, des amendes spécifiques peuvent également être prononcées par les autorités nationales dans le cadre de la transposition.

La délégation de responsabilité ne suffit pas

Un point crucial : la délégation de la responsabilité cybersécurité à un DSI, un RSSI, ou un prestataire externe ne dispense pas les dirigeants de leur responsabilité personnelle au titre de NIS2. La délégation peut alléger la charge pratique, mais l’obligation d’approbation et de supervision reste au niveau de la direction. Concrètement, cela signifie que :

• Le PDG ou gérant doit signer et valider la politique de sécurité des systèmes d’information (PSSI).
• La direction doit recevoir régulièrement des reportings sur l’état de la sécurité et les incidents.
• Les décisions importantes en matière de budget cybersécurité et d’investissements doivent être prises au niveau de la direction, pas seulement du DSI.
• En cas d’incident majeur, la direction doit être impliquée dans la gestion de crise.

Ce qu’il faut faire concrètement

Pour répondre aux exigences de l’article 20 NIS2, voici les actions à mettre en place à court terme :

Pour les dirigeants souhaitant comprendre les fondamentaux de la cybersécurité, notre article sur l’IA en cybersécurité PME : panorama complet des technologies 2026 offre une vision globale des outils et approches disponibles.

Les 10 domaines de mesures de sécurité obligatoires NIS2

L’article 21 de la directive NIS2 définit les mesures de gestion des risques de cybersécurité que toutes les entités EE et EI doivent mettre en oeuvre. Ces mesures sont organisées en 10 domaines, qui couvrent l’ensemble du spectre de la cybersécurité organisationnelle et technique. Voici leur présentation détaillée, avec les implications pratiques pour une PME.

Tableau récapitulatif : niveau d’effort et délai de mise en oeuvre

L’approche recommandée est de commencer par les mesures marquées « Critique » (01, 02, 03, 10) car elles constituent la base de votre conformité et réduisent immédiatement votre exposition au risque. Les mesures « Haute » peuvent être déployées en parallèle ou en second temps selon vos ressources disponibles. Pour une politique de sécurité informatique complète pour PME, consultez notre guide dédié qui inclut des modèles téléchargeables.

Notification d’incident : les délais 24h, 72h et 1 mois

L’obligation de notification d’incident est l’une des dispositions les plus contraignantes de NIS2 et celle qui pénalise le plus les organisations non préparées. Contrairement au RGPD qui impose 72h pour notifier une violation de données personnelles, NIS2 ajoute une alerte précoce en 24h qui suppose d’avoir des processus de détection et d’escalade très réactifs. Voici comment fonctionne le processus en trois étapes.

Qu’est-ce qu’un incident significatif selon NIS2 ?

Avant tout, il faut définir ce qui constitue un « incident significatif » au sens de la directive. NIS2 définit un incident significatif comme un incident ayant un impact perturbateur important sur la fourniture du service concerné. Pour évaluer l’importance de l’impact, les critères suivants sont pris en compte :

• Le nombre d’utilisateurs touchés par l’incident
• La durée de l’incident
• L’étendue géographique de la zone touchée
• Le degré de perturbation du service
• L’impact sur les activités économiques et sociétales
• L’impact financier pour l’entité
• L’impact sur d’autres entités (propagation potentielle)

La directive précise également qu’une alerte précoce doit être envoyée si l’incident est susceptible d’avoir un impact transfrontalier significatif, ou si les premiers éléments indiquent qu’il résulte d’un acte illégal ou malveillant.

Le processus de notification en trois étapes

Ce que chaque notification doit contenir

Comment se préparer à ces obligations

Répondre aux délais de notification NIS2 est impossible sans préparation. Voici les éléments à mettre en place en amont :

1. Un système de détection d’incidents : vous ne pouvez pas notifier en 24h un incident que vous mettez 3 jours à détecter. Un EDR, un SIEM, ou au minimum une surveillance des logs est indispensable.
2. Une procédure d’escalade claire : qui prévient qui, dans quel ordre, avec quelle information ? Cette procédure doit être documentée, testée et connue de tous les acteurs impliqués.
3. Un accès opérationnel au portail MonEspaceNIS2 : créer votre compte et vous familiariser avec le processus de déclaration avant d’en avoir besoin en urgence.
4. Un modèle de notification prérempli avec les informations permanentes de votre entité, pour gagner du temps lors d’un incident réel.
5. Un RSSI ou un prestataire MSSP disponible 24h/24, au moins pour les entités EE, capables de prendre en charge la réponse à incident et la rédaction des notifications.

Pour approfondir la préparation à la gestion d’incidents, notre article Plan de réponse à incident pour les PME détaille les étapes concrètes. En cas d’incident avéré, consultez également notre guide que faire dans les 24 premières heures après une cyberattaque.

Sécurité de la chaîne d’approvisionnement NIS2

La sécurité de la chaîne d’approvisionnement est le quatrième domaine de mesures de l’article 21 de NIS2, et l’un de ceux qui demande le plus d’efforts organisationnels aux PME. Les statistiques sont parlantes : selon l’ENISA (Agence de l’Union européenne pour la cybersécurité), plus de 40 % des cyberattaques avancées passent par un maillon de la chaîne d’approvisionnement des victimes. Les attaques de type supply chain, comme celle contre SolarWinds en 2020 ou la compromission de Kaseya en 2021, ont démontré que même des entreprises bien protégées peuvent être compromises via leurs prestataires.

Ce que NIS2 exige concrètement

L’article 21 paragraphe 2(d) de NIS2 demande aux entités d’appliquer des mesures de sécurité concernant « la sécurité de la chaîne d’approvisionnement, y compris les aspects relatifs à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Cela implique de :

• Identifier et recenser tous les fournisseurs et prestataires ayant accès à vos systèmes d’information ou traitant des données pour votre compte.
• Évaluer les risques de sécurité présentés par chaque fournisseur en fonction de sa criticité.
• Inclure des clauses de sécurité dans les contrats avec les fournisseurs critiques.
• Surveiller en continu le niveau de sécurité de vos prestataires les plus critiques.

Pour approfondir ce sujet, notre article Attaques par supply chain : pourquoi vos fournisseurs sont le maillon faible détaille les techniques d’attaque et les contre-mesures. Notre guide Gestion des risques tiers : comment auditer la cybersécurité de vos prestataires propose une méthodologie complète.

Étape 1 : Inventaire et classification des fournisseurs

Commencez par dresser la liste de tous vos prestataires et classifiez-les selon leur criticité pour votre activité et leur niveau d’accès à vos systèmes :

Étape 2 : Questionnaire d’évaluation de la sécurité

Pour vos fournisseurs de niveau 2 et 3, envoyez un questionnaire d’évaluation de la sécurité. Voici les questions clés à poser :

• Disposez-vous d’une certification ISO 27001 ou d’une qualification/certification ANSSI ?
• Avez-vous une politique de sécurité des systèmes d’information formalisée ?
• Utilisez-vous le MFA sur vos accès aux systèmes de vos clients ?
• Réalisez-vous des audits de sécurité réguliers (au moins annuels) ?
• Comment gérez-vous les sous-traitants qui ont accès aux données de vos clients ?
• Quel est votre processus de notification en cas d’incident affectant nos données ou systèmes ?
• Où sont hébergées les données de nos systèmes ? Dans quel pays ?
• Êtes-vous soumis au RGPD et avez-vous signé un DPA (Data Processing Agreement) avec vos propres sous-traitants ?

Étape 3 : Clauses contractuelles à insérer

Pour vos prestataires critiques (niveau 3), les contrats doivent inclure des clauses spécifiques de sécurité. Voici les clauses indispensables :

• Obligation de respecter votre politique de sécurité et de signaler tout incident qui pourrait vous affecter dans un délai défini (24h recommandé).
• Droit d’audit : vous vous réservez le droit de vérifier le niveau de sécurité du prestataire (questionnaire, audit sur site, certification exigée).
• Restriction de sous-traitance : le prestataire ne peut pas sous-traiter votre traitement à un tiers sans votre accord explicite, et doit imposer les mêmes obligations à ses propres sous-traitants.
• Localisation des données : obligation d’héberger vos données dans un pays ou une zone géographique définie (Union européenne pour les données sensibles).
• Obligation de mise à jour et de patch : le prestataire s’engage à maintenir à jour les systèmes qu’il utilise pour vous servir.
• Clause de résiliation : en cas de manquement grave aux obligations de sécurité ou en cas d’incident non notifié.

La question de la souveraineté des données

NIS2 ne mentionne pas explicitement la souveraineté des données, mais la sécurité de la chaîne d’approvisionnement soulève inévitablement la question de la localisation des données et des risques liés aux prestataires soumis à des législations extraterritoriales (comme le CLOUD Act américain). Pour les entités EE et EI traitant des données sensibles, il est fortement recommandé de privilégier des prestataires cloud souverains, qualifiés par l’ANSSI (SecNumCloud) ou proposant des garanties équivalentes. Notre article Cybersécurité souveraine PME : le guide anti-CLOUD Act développe ce point en détail.

Authentification multifacteur et gestion des accès

La mesure 10 de l’article 21 NIS2 impose explicitement le déploiement de solutions d’authentification multifacteur (MFA) ou d’authentification continue. C’est l’une des mesures les plus impactantes et, bonne nouvelle, l’une des plus faciles à mettre en oeuvre rapidement. Selon le rapport Verizon DBIR 2024, plus de 80 % des violations de données impliquent l’utilisation de mots de passe compromis ou volés. Le MFA est la parade la plus efficace : il réduit de 99,9 % le risque de compromission de compte selon Microsoft.

Qu’est-ce que le MFA et pourquoi c’est obligatoire avec NIS2 ?

L’authentification multifacteur (MFA) consiste à exiger, en plus du mot de passe, un second facteur d’authentification appartenant à une catégorie différente :

• Quelque chose que vous savez : mot de passe, PIN, réponse à une question secrète
• Quelque chose que vous avez : smartphone avec une application d’authentification (TOTP), clé de sécurité physique (YubiKey), carte à puce
• Quelque chose que vous êtes : empreinte digitale, reconnaissance faciale, veine de la main

NIS2 exige que le MFA soit déployé sur :

• Tous les accès à distance aux systèmes d’information (VPN, bureau à distance, accès SSH)
• Tous les comptes administrateurs et comptes à privilèges
• Les accès aux systèmes et données critiques
• Les interfaces d’administration des outils de sécurité
• Les messageries et suites collaboratives contenant des données sensibles

Comparatif des solutions MFA pour PME

La gestion des accès au-delà du MFA

NIS2 requiert une approche globale de la gestion des accès, qui va au-delà du simple déploiement du MFA. Les principes à appliquer sont :

Le principe du moindre privilège : chaque utilisateur ne dispose que des droits strictement nécessaires à l’exercice de ses fonctions. Un commercial n’a pas accès aux serveurs de production, un technicien n’a pas accès aux données financières, etc. Ce principe réduit considérablement l’impact potentiel d’une compromission de compte.

La revue régulière des droits d’accès : au minimum trimestrielle pour les comptes à privilèges, semestrielle pour les utilisateurs standard. Cette revue doit être formalisée, documentée, et validée par les responsables métier.

La procédure de départ : à chaque départ d’un collaborateur, ses accès doivent être révoqués immédiatement (idéalement le jour même), ses comptes supprimés ou désactivés, et ses sessions actives clôturées. Les accès des prestataires et sous-traitants doivent également faire l’objet d’une procédure de fin de mission.

La gestion des comptes partagés : les comptes partagés entre plusieurs utilisateurs (compte générique « admin », compte « compta », etc.) sont une mauvaise pratique qui doit être éliminée. Chaque utilisateur doit avoir son propre compte nominatif, permettant la traçabilité des actions.

Pour approfondir, nos articles sur la solution MFA pour PME et la gestion des identités et accès (IAM) pour PME détaillent les bonnes pratiques et outils adaptés aux PME françaises. L’approche Zero Trust va encore plus loin en remettant en question tout accès par défaut.

La gestion des mots de passe : un pilier souvent négligé

Le MFA ne remplace pas une bonne politique de mots de passe, il la complète. NIS2 implique de formaliser une politique de mots de passe qui exige :

• Des mots de passe suffisamment longs (minimum 12 caractères, idéalement 16+)
• L’unicité : chaque service doit avoir un mot de passe différent
• L’utilisation d’un gestionnaire de mots de passe pour les équipes
• L’interdiction des mots de passe trop simples ou évidents
• Le changement immédiat en cas de suspicion de compromission (et non une rotation périodique forcée, contre-productive selon le NIST)

Pour les PME, un gestionnaire de mots de passe d’équipe est indispensable pour concilier sécurité et productivité. Notre comparatif gestionnaire de mots de passe pour PME et notre comparatif Bitwarden vs 1Password vs Dashlane vous aideront à choisir.

Chiffrement des données et communications sécurisées

La mesure 08 de l’article 21 NIS2 impose la mise en oeuvre de « politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ». Ce n’est pas simplement une recommandation : les entités EE et EI doivent pouvoir démontrer qu’elles ont une politique de chiffrement formalisée et appliquée sur l’ensemble de leurs données et communications sensibles.

Pourquoi le chiffrement est fondamental pour NIS2

Le chiffrement joue un rôle double dans le contexte NIS2 :

1. Mesure préventive : des données chiffrées volées lors d’une cyberattaque sont inutilisables pour l’attaquant, limitant ainsi l’impact d’un incident.
2. Atténuateur de notification : en cas de violation de données, si les données étaient chiffrées et la clé non compromise, l’impact peut être considéré comme non significatif, réduisant potentiellement les obligations de notification et les sanctions.

Chiffrement des données au repos

Les données au repos désignent toutes les données stockées : sur les ordinateurs des employés, les serveurs, les clés USB, les disques durs externes, les sauvegardes, et les volumes cloud. Les solutions de chiffrement des données au repos :

La priorité absolue est de chiffrer les disques de tous les postes de travail (BitLocker sous Windows Pro, FileVault sous macOS) et de tous les serveurs hébergeant des données sensibles. Cette mesure est simple à activer, souvent déjà disponible dans les licences existantes, et offre une protection immédiate contre le vol physique de matériel.

Chiffrement des données en transit

Les données en transit sont toutes les données qui circulent sur un réseau : emails, connexions web, accès à distance, synchronisation cloud. Le chiffrement en transit s’appuie sur :

• HTTPS/TLS sur tous les sites web, portails et applications accessibles depuis l’extérieur. En 2026, HTTP sans chiffrement n’est plus acceptable. Vérifiez que votre hébergeur web active TLS 1.2 minimum (TLS 1.3 recommandé).
• VPN (Virtual Private Network) pour tout accès à distance aux ressources internes de l’entreprise. Le VPN crée un tunnel chiffré entre l’utilisateur distant et le réseau de l’entreprise, protégeant les données en transit même sur des réseaux non sécurisés (Wi-Fi public, réseau partagé).
• Chiffrement des emails pour les communications sensibles : S/MIME (certificats numériques) ou PGP/GPG. Pour les PME, une solution de messagerie sécurisée de type Tutanota, ProtonMail ou la kSuite d’Infomaniak offre un chiffrement de bout en bout.
• Chiffrement des communications internes : utiliser des outils de collaboration sécurisés (Teams, Slack Enterprise, ou équivalents) avec chiffrement activé.

La gestion des clés cryptographiques

Un aspect souvent négligé mais crucial : la gestion des clés de chiffrement. Une clé de chiffrement perdue signifie des données inaccessibles définitivement. Une clé compromise annule toute la protection du chiffrement. Votre politique de chiffrement doit inclure :

• Un registre des clés de chiffrement utilisées, avec leur emplacement de stockage sécurisé
• Une procédure de sauvegarde des clés (dans un coffre numérique séparé, idéalement hors ligne)
• Une procédure de rotation des clés (renouvellement périodique)
• Une procédure de révocation en cas de compromission suspectée

Le VPN pour sécuriser les accès à distance

Le télétravail et les accès à distance sont devenus la norme dans la plupart des PME. Or, chaque connexion à distance à votre réseau d’entreprise est une porte d’entrée potentielle pour un attaquant. NIS2 exige que ces accès soient sécurisés par un chiffrement fort et une authentification robuste (MFA + VPN combinés).

Un VPN professionnel de qualité offre :

• Un tunnel chiffré pour toutes les communications entre le poste distant et le réseau d’entreprise
• Une protection sur les réseaux Wi-Fi non sécurisés (hôtels, aéroports, cafés)
• Un contrôle des accès (seuls les utilisateurs authentifiés peuvent se connecter)
• Des journaux d’accès pour la traçabilité (indispensable pour NIS2)

Notre article NordVPN pour PME : avis complet et notre comparatif VPN d’entreprise pour PME vous aideront à choisir la solution adaptée à votre contexte.

Tableau de priorité : quelles données chiffrer en premier ?

Continuité d’activité et plan de reprise après incident

La mesure 03 de l’article 21 NIS2 impose aux entités de planifier la continuité de leurs activités en cas de cyberincident majeur. Il s’agit de l’une des mesures les plus exigeantes en termes d’effort, car elle implique de modéliser des scénarios de crise, de définir des objectifs de reprise, et de tester régulièrement les plans mis en oeuvre. Pour les PME, cette exigence va souvent bien au-delà de ce qui était fait jusqu’à présent.

PCA et PRA : deux plans complémentaires

Il est important de bien distinguer les deux types de plans de continuité :

Le Plan de Continuité d’Activité (PCA) répond à la question : « Comment maintenir un niveau minimum de service pendant la crise ? » Il s’agit de permettre à l’entreprise de fonctionner en mode dégradé : quelles activités sont prioritaires, quels processus peuvent être réalisés manuellement, quels services peuvent être temporairement interrompus, comment communiquer avec les clients et partenaires.

Le Plan de Reprise d’Activité (PRA) répond à la question : « Comment reprendre l’activité normale après la crise ? » Il se concentre sur la restauration technique des systèmes : dans quel ordre restaurer les systèmes, à partir de quelles sauvegardes, avec quels délais, et comment valider que la reprise est complète et saine.

NIS2 exige les deux. Pour une PME, une version simplifiée mais documentée et testée est suffisante. Notre article Cyber-résilience pour PME développe la méthodologie de construction de ces plans.

La règle 3-2-1 appliquée à NIS2

La politique de sauvegarde est le pilier du PRA. NIS2 exige une gestion rigoureuse des sauvegardes, avec la règle 3-2-1 comme standard minimal :

Pour les PME soumises à NIS2, nous recommandons d’aller un cran plus loin avec la règle 3-2-1-1-0 : 3 copies, 2 supports, 1 hors site, 1 hors ligne (air-gapped, non connectée à Internet), et 0 erreur lors des tests de restauration.

RTO et RPO : les deux métriques clés

NIS2 demande implicitement de définir des objectifs de continuité. En pratique, cela se traduit par deux métriques indispensables :

• RTO (Recovery Time Objective) : le délai maximal acceptable entre la survenance d’un incident et la reprise effective du service. Exemple : « Nous devons être capables de relancer notre système de facturation dans les 4 heures. » Le RTO doit être défini service par service, selon leur criticité pour l’activité.
• RPO (Recovery Point Objective) : la perte de données maximale acceptable, exprimée en temps. Exemple : « Nous pouvons perdre au maximum 2 heures de données de transaction. » Le RPO conditionne la fréquence des sauvegardes : un RPO de 2h impose des sauvegardes au moins toutes les 2 heures.

L’impératif de tester régulièrement

NIS2 ne se contente pas d’exiger des plans : elle demande de vérifier leur efficacité. Un PRA non testé est un PRA qui échouera probablement au moment critique. Les tests à planifier sont :

• Test de restauration de sauvegarde : au minimum trimestriel pour les données critiques, annuel pour les archives. Restaurez réellement les données dans un environnement de test et vérifiez leur intégrité.
• Exercice de gestion de crise (table-top) : une simulation théorique où les acteurs impliqués (direction, DSI, RSSI, communication) parcourent ensemble un scénario de crise pour identifier les lacunes dans les procédures.
• Test de bascule : si votre PCA prévoit une bascule vers un système de secours, testez-la au moins une fois par an pour vous assurer qu’elle fonctionne réellement dans les délais prévus.

Notre article Règle 3-2-1 : comment sauvegarder vos données donne tous les détails pratiques. Pour les outils de sauvegarde, consultez notre comparatif meilleurs outils de sauvegarde cloud pour PME.

Formation et sensibilisation : l’obligation souvent négligée

La formation et la sensibilisation à la cybersécurité constituent la mesure 07 de l’article 21 NIS2 et, indirectement, une obligation de l’article 20 pour les dirigeants. C’est paradoxalement l’une des mesures les plus faciles à mettre en oeuvre et l’une des plus ignorées. Pourtant, selon le rapport Verizon DBIR, l’erreur humaine est impliquée dans plus de 68 % des violations de données. Former vos équipes, c’est adresser directement la principale cause de cyberincidents.

Ce que NIS2 impose exactement

L’article 21(2)(g) de NIS2 exige des entités qu’elles mettent en oeuvre des « pratiques de cyberhygiène de base et formations à la cybersécurité ». L’article 20(2) complète cette obligation en précisant que les membres des organes de direction eux-mêmes « devraient recevoir régulièrement une formation » pour être en mesure d’identifier les risques et d’évaluer les pratiques de gestion des risques.

En pratique, cela se traduit par trois niveaux de formation :

1. Formation de base pour tous les collaborateurs : sensibilisation aux bonnes pratiques de cybersécurité, applicable à l’ensemble du personnel quel que soit son niveau technique.
2. Formation spécialisée pour le personnel technique (DSI, RSSI, développeurs, administrateurs système) : formation approfondie sur les menaces, les outils, et les pratiques de sécurité avancées.
3. Formation dirigeants : formation adaptée aux enjeux stratégiques et réglementaires, permettant à la direction de superviser et approuver les mesures de cybersécurité.

Programme de sensibilisation minimum pour une PME

Le phishing simulé : l’outil de sensibilisation le plus efficace

Les simulations de phishing sont de loin l’outil le plus efficace pour évaluer et améliorer la résistance de vos équipes aux attaques d’ingénierie sociale. Le principe est simple : votre prestataire (ou vous-même avec un outil dédié) envoie à vos collaborateurs de faux emails de phishing, sans les prévenir, et mesure leur réaction. Les employés qui « cliquent » reçoivent immédiatement une explication pédagogique.

Les plateformes comme KnowBe4, Proofpoint Security Awareness, ou encore Phished.io permettent d’automatiser ces simulations et de générer des rapports de conformité utiles pour votre dossier NIS2. Certains prestataires français proposent également ce type de service. L’ANSSI propose gratuitement la plateforme SecNumAcadémie pour former le grand public et les professionnels aux bases de la cybersécurité.

Comment documenter vos formations pour NIS2

La documentation est aussi importante que la formation elle-même pour NIS2. Conservez pour chaque session de formation :

• La liste des participants avec leur signature (ou confirmation de complétion pour l’e-learning)
• Le contenu de la formation (programme, supports)
• La date et la durée de la formation
• Les résultats des éventuels tests ou quiz
• Le prestataire ou formateur

Ces documents constituent votre preuve de conformité en cas d’inspection par l’ANSSI. Conservez-les pendant au moins 5 ans. Notre guide complet former ses employés à la cybersécurité vous donnera tous les outils pour mettre en place un programme de formation efficace.

Gouvernance cyber et désignation du RSSI

La gouvernance de la cybersécurité est le cadre organisationnel qui permet de mettre en oeuvre toutes les mesures NIS2. Sans structure de gouvernance claire, les mesures techniques les plus avancées resteront inefficaces car mal coordonnées, mal suivies, et mal évolutives. NIS2 n’impose pas explicitement la désignation d’un RSSI (Responsable de la Sécurité des Systèmes d’Information) dans toutes les entités, mais les obligations de supervision, d’approbation et d’évaluation définies aux articles 20 et 21 impliquent de facto un rôle dédié à la cybersécurité.

Qui peut être RSSI dans une PME ?

La réalité des PME est que peu d’entre elles peuvent se permettre un RSSI dédié à temps plein. Selon la taille et les ressources de votre entreprise, plusieurs configurations sont possibles :

Les missions du RSSI dans le cadre de NIS2

Dans le contexte NIS2, le RSSI doit assumer les missions suivantes :

• Pilotage de la conformité NIS2 : référent de l’ANSSI, responsable de l’enregistrement sur MonEspaceNIS2, interlocuteur lors des inspections.
• Gestion des risques : conduite de l’analyse de risques annuelle, maintien à jour de la cartographie des actifs et des menaces.
• Supervision des mesures de sécurité : vérification de la mise en oeuvre et de l’efficacité des 10 domaines de mesures NIS2.
• Gestion des incidents : coordination de la réponse aux incidents, déclenchement du processus de notification ANSSI, rédaction des rapports.
• Reporting à la direction : tableau de bord mensuel des indicateurs de sécurité, alertes en cas d’anomalie, propositions d’amélioration.
• Sensibilisation et formation : pilotage du programme de formation des équipes et de la direction.
• Veille réglementaire et technique : suivi des évolutions de NIS2, RGPD, et des nouvelles menaces cyber.

Mettre en place un comité de pilotage cyber

Au-delà du RSSI, NIS2 encourage la mise en place d’une gouvernance collective. Pour les PME de plus de 50 salariés, il est recommandé de créer un comité de pilotage cybersécurité qui se réunit trimestriellement et réunit :

• Le dirigeant ou son représentant (obligation article 20)
• Le RSSI ou référent sécurité
• Le DSI si distinct du RSSI
• Un représentant des métiers (DAF, DRH ou directeur opérationnel)
• Le DPO si l’entreprise en a un (conformité RGPD)

Ce comité valide la politique de sécurité, suit les indicateurs, prend les décisions d’investissement, et approuve formellement les mesures de gestion des risques (obligation article 20 NIS2).

Réaliser un audit de cybersécurité pour poser les bases

Avant de vous lancer dans la mise en conformité NIS2, il est fortement recommandé de réaliser un audit de cybersécurité complet. Cet audit vous donnera une photographie précise de votre niveau de maturité actuel, identifiera les lacunes les plus critiques, et servira de base à votre gap analysis NIS2 (section 12). L’ANSSI propose des prestataires qualifiés pour les audits cyber (PASSI : Prestataires d’Audit de la Sécurité des Systèmes d’Information).

Pour formaliser votre politique de sécurité, notre article Politique de sécurité informatique PME : modèle complet propose des templates directement utilisables. La mise en place de contrôles d’accès à privilèges (PAM) est également recommandée pour les entités EE.

Gap analysis : évaluer votre niveau de conformité actuel

Avant de démarrer un projet de mise en conformité NIS2, il est indispensable d’évaluer objectivement votre niveau actuel sur chacun des 10 domaines de mesures. Cette « analyse des écarts » (gap analysis) vous permettra d’identifier vos forces, vos lacunes, et de prioriser vos actions. Utilisez le tableau ci-dessous pour noter chaque domaine sur une échelle de 0 à 3.

L’échelle de maturité NIS2

Tableau d’évaluation gap analysis NIS2

Interpréter votre score global

Une fois votre gap analysis réalisée, les domaines avec un score de 0 ou 1 deviennent vos priorités absolues. Reportez ces priorités dans votre plan d’action (section 13). N’oubliez pas que la gap analysis est un exercice à répéter au moins annuellement pour suivre votre progression et vous assurer de maintenir votre niveau de conformité dans le temps.

Plan d’action NIS2 sur 6 mois : la feuille de route

Mettre en conformité une PME avec NIS2 est un projet qui s’étale sur plusieurs mois. Pour éviter la paralysie face à l’ampleur des obligations, voici une feuille de route réaliste sur 6 mois, conçue pour les PME qui partent d’un niveau de maturité moyen (score gap analysis entre 10 et 20/30). Si votre score est plus bas, prévoyez 9 à 12 mois. Si votre score est plus élevé, 3 à 4 mois peuvent suffire.

Mois 1 : Fondations et organisation

Ce premier mois est consacré à poser les bases organisationnelles sans lesquelles aucune mesure technique ne peut être déployée efficacement.

• Nommer un référent NIS2 / RSSI Identifier la personne qui pilotera le projet de conformité. Selon la taille, il peut s’agir du DSI existant, d’un RSSI externalisé, ou d’une décision de recruter. Ce référent sera l’interlocuteur de l’ANSSI et le coordinateur de toutes les actions.
• S’enregistrer sur MonEspaceNIS2 (ANSSI) Créer un compte et enregistrer votre entité sur le portail de l’ANSSI. Renseigner les informations administratives de base : secteur d’activité, taille, coordonnées du référent NIS2. Cette démarche est obligatoire pour toutes les entités EE et EI.
• Réaliser la gap analysis NIS2 (voir section 12) Évaluer votre niveau actuel sur les 10 domaines de mesures. Identifier les lacunes prioritaires. Ce bilan servira de base de référence pour mesurer votre progression et prioriser les actions suivantes.
• Sensibiliser et former la direction Organiser une session de sensibilisation pour les dirigeants (2 heures) : obligations NIS2, sanctions, responsabilité personnelle (article 20), et premières décisions à prendre. La direction doit comprendre les enjeux pour allouer les ressources nécessaires.
• Constituer un budget cybersécurité NIS2 Sur la base de la gap analysis, estimer le budget nécessaire pour l’année en cours (voir section 14). Obtenir la validation formelle de la direction et inscrire la cybersécurité dans le budget de l’entreprise.

Mois 2 : Analyse, cartographie et planification

• Inventaire complet des actifs informatiques Recenser tous les équipements (ordinateurs, serveurs, routeurs, imprimantes connectées, smartphones professionnels), tous les logiciels et applications, et toutes les données traitées. Classifier les actifs par criticité pour l’activité. Un actif non référencé est un actif non protégé.
• Analyse de risques formalisée Réaliser ou faire réaliser une analyse de risques documentée selon la méthode EBIOS RM (recommandée par l’ANSSI) ou équivalent. Identifier les scénarios de menace les plus probables et les plus impactants, et définir les mesures de traitement prioritaires.
• Cartographie des flux de données Identifier et documenter tous les flux de données : qui collecte quoi, où sont stockées les données, qui y a accès, avec quels prestataires sont-elles partagées. Cette cartographie sert à la fois NIS2 et RGPD.
• Inventaire des fournisseurs critiques Lister tous les prestataires ayant accès à vos systèmes d’information ou traitant des données pour votre compte. Classifier-les en niveaux 1, 2 et 3 (voir section 6). Envoyer le questionnaire de sécurité aux prestataires de niveau 2 et 3.

Mois 3 : Mesures techniques prioritaires

• Déployer le MFA sur tous les accès critiques Activer l’authentification multifacteur sur tous les comptes administrateurs, tous les accès à distance (VPN, RDP), et les outils critiques (messagerie, ERP, espace cloud). C’est la mesure au meilleur rapport impact/effort, déployable en quelques jours.
• Mettre en place la politique de sauvegarde 3-2-1 Déployer une solution de sauvegarde respectant la règle 3-2-1 pour tous les systèmes critiques. Configurer les sauvegardes automatiques, définir les fréquences selon les RTO/RPO de chaque système, et effectuer un premier test de restauration complet.
• Activer le chiffrement des postes de travail Activer BitLocker sur tous les postes Windows Pro et FileVault sur tous les Mac. Documenter les clés de récupération dans un coffre sécurisé. Chiffrer également les clés USB et disques externes utilisés pour des données sensibles.
• Formaliser le patch management Mettre en place un processus documenté de gestion des correctifs : définir les délais maximaux d’application des patches critiques (72h recommandé), les responsables, et le processus de validation avant déploiement. Auditer l’état actuel des mises à jour sur tous les systèmes.
• Déployer ou renforcer le VPN d’entreprise S’assurer que tous les accès à distance passent par un VPN professionnel sécurisé. Configurer l’obligation de connexion VPN pour l’accès aux ressources internes. Activer la journalisation des connexions pour la traçabilité.

Mois 4 : Procédures et politiques

• Rédiger ou mettre à jour la PSSI Formaliser la Politique de Sécurité des Systèmes d’Information (PSSI), qui décrit votre approche de la sécurité, les règles applicables à tous les collaborateurs, et les mesures mises en oeuvre. La PSSI doit être approuvée et signée par la direction (article 20 NIS2).
• Formaliser la procédure de gestion des incidents Documenter le processus complet de gestion des incidents : détection, qualification, escalade, confinement, remédiation, notification ANSSI (24h/72h/1 mois), communication. S’assurer que tous les acteurs impliqués connaissent leur rôle. Préparer les modèles de notification.
• Insérer des clauses de sécurité dans les contrats fournisseurs Mettre à jour les contrats avec les prestataires critiques (niveau 3) pour y inclure les clauses NIS2 : obligation de notification d’incident, droit d’audit, restriction de sous-traitance, localisation des données, obligation de mises à jour. Pour les nouveaux contrats, inclure ces clauses dès la rédaction.
• Rédiger le PCA et le PRA Documenter le plan de continuité d’activité (comment fonctionner en mode dégradé) et le plan de reprise (comment restaurer les systèmes). Ces plans doivent être validés par la direction et connus de tous les acteurs impliqués dans la gestion de crise.

Mois 5 : Formation et sensibilisation

• Former l’ensemble des collaborateurs Organiser la formation cybersécurité annuelle pour tous les employés. Utiliser une combinaison d’e-learning (pour la théorie) et de sessions en présentiel ou visioconférence (pour les questions-réponses). Documenter les participants et les résultats pour votre dossier de conformité.
• Lancer un test de phishing simulé Organiser une campagne de phishing simulé pour mesurer la vigilance de vos équipes et identifier les profils les plus à risque. Utiliser les résultats pour personnaliser les formations complémentaires et mesurer l’évolution dans le temps.
• Former les dirigeants aux obligations NIS2 Organiser une session de formation dédiée aux membres de la direction : responsabilité personnelle, obligations d’approbation et de supervision, sanctions, et bonnes pratiques de cybersécurité au niveau dirigeant. Documenter la participation pour votre dossier de conformité.
• Exercice de gestion de crise (table-top) Organiser un exercice de simulation de crise cyber réunissant la direction, le RSSI, le DSI et les responsables opérationnels. Parcourir un scénario de ransomware ou de vol de données et évaluer la fluidité des processus de décision et de communication.

Mois 6 : Tests, audit et validation

• Test complet de restauration des sauvegardes Réaliser un test de restauration complète depuis les sauvegardes pour vos systèmes les plus critiques. Mesurer le temps réel de restauration et comparer avec vos objectifs RTO. Documenter les résultats et corriger les écarts.
• Audit interne de conformité NIS2 Réaliser un audit interne sur les 10 domaines de mesures, en utilisant le même tableau que la gap analysis initiale. Mesurer la progression depuis le mois 1 et identifier les points restants à traiter. Préparer le dossier de preuves pour une éventuelle inspection ANSSI.
• Envisager un audit externe et un pentest Pour les entités EE ou les EI souhaitant une validation externe, faire réaliser un audit de sécurité par un prestataire PASSI qualifié ANSSI, et un test d’intrusion (pentest) pour valider l’efficacité des mesures techniques déployées.
• Mettre en place la veille et la surveillance continue Déployer les outils de surveillance continue : activation des alertes de sécurité dans vos outils existants, mise en place d’une veille sur les vulnérabilités affectant vos logiciels, abonnement aux bulletins CERT-FR de l’ANSSI. La conformité NIS2 n’est pas un projet ponctuel mais un processus continu.

Budget NIS2 selon la taille de votre PME

La question du budget est souvent celle qui bloque les dirigeants face à NIS2. La réalité est que les coûts varient considérablement selon la taille de l’entreprise, son niveau de maturité initial, et les choix technologiques réalisés. Les chiffres ci-dessous sont des estimations fondées sur des retours d’expérience de PME françaises ayant engagé une démarche de conformité NIS2. Pour une estimation précise adaptée à votre contexte, un audit cybersécurité préalable est indispensable.

Vue d’ensemble par taille de PME

Détail des postes de dépense

Outils et licences : Ce poste couvre l’ensemble des solutions techniques nécessaires à la conformité NIS2 : EDR ou antivirus d’entreprise, solution MFA, gestionnaire de mots de passe, VPN professionnel, sauvegarde cloud, solution de chiffrement, outils de surveillance et de gestion des logs. La bonne nouvelle est que de nombreuses entreprises disposent déjà d’une partie de ces outils via leurs abonnements Microsoft 365 ou Google Workspace, et n’ont besoin que de les activer et configurer correctement.

Audit initial et gap analysis : L’audit initial est un investissement ponctuel mais indispensable. Il peut être réalisé par un prestataire PASSI qualifié ANSSI pour un résultat de haute qualité, ou par un prestataire non-qualifié pour un coût inférieur. Un test d’intrusion (pentest) peut compléter l’audit pour les entités EE, avec un coût supplémentaire de 5 000 à 20 000 € selon la profondeur.

RSSI externalisé : Pour les PME qui ne peuvent pas se permettre un RSSI interne à temps plein, le RSSI externalisé (aussi appelé vRSSI ou Fractional CISO) est la solution la plus adaptée. Pour 1 à 2 jours par mois, un prestataire spécialisé assure la gouvernance cyber, le reporting à la direction, le pilotage des mesures NIS2, et la veille réglementaire.

Formation : Ce poste comprend les formations e-learning pour les équipes (plateformes SaaS à partir de 10-20 €/utilisateur/an), les sessions de sensibilisation animées (demi-journée : 1 500 à 3 000 €), et les exercices de gestion de crise. Il est important de ne pas négliger ce poste, car une formation insuffisante rend les mesures techniques bien moins efficaces.

Assurance cyber : Bien que non imposée par NIS2, l’assurance cyber est vivement recommandée car elle couvre les coûts de réponse à incident (prestataires de réponse à incident, notification des personnes concernées, frais juridiques), les pertes d’exploitation, et peut couvrir certaines amendes (hors amendes administratives). Notre article Guide assurance cyber pour PME vous aidera à choisir le bon contrat.

Les aides financières disponibles

Plusieurs dispositifs peuvent alléger le coût de la mise en conformité NIS2 pour les PME françaises :

• France Num : des aides régionales à la digitalisation incluent parfois la cybersécurité. Renseignez-vous auprès de votre CCI ou de France Num.
• Bpifrance : des prêts et garanties sont disponibles pour financer des investissements en cybersécurité. Le « Prêt Numérique » peut couvrir des projets de transformation numérique incluant la sécurité.
• Chèque cybersécurité (certaines régions) : certaines régions françaises proposent des chèques pour financer des diagnostics cybersécurité réalisés par des prestataires qualifiés ANSSI. Contactez votre conseil régional.
• Crédit d’impôt innovation : si votre démarche NIS2 inclut des développements spécifiques ou des tests innovants, une partie des dépenses peut être éligible au CII.

Pour une estimation détaillée de votre budget cybersécurité global, notre article Quel budget cybersécurité pour votre PME en 2026 ? fournit des références sectorielles et des méthodes de calcul.

NIS2 et RGPD : capitaliser sur votre conformité existante

Si votre entreprise a déjà engagé une démarche de conformité RGPD, vous avez une longueur d’avance sur NIS2. Les deux réglementations partagent plusieurs concepts fondamentaux : la gestion des risques, la documentation des mesures de sécurité, la notification en cas d’incident, et la responsabilité de la direction. Comprendre les synergies et les différences entre NIS2 et RGPD vous permettra d’optimiser vos efforts de conformité et d’éviter les doublons inutiles.

Tableau de correspondance NIS2 – RGPD

Les différences importantes à ne pas confondre

Malgré les synergies, NIS2 et RGPD ont des objectifs et des champs d’application distincts. Les confondre peut créer des lacunes dans votre conformité :

• Champ d’application : Le RGPD s’applique à toute entité traitant des données personnelles de résidents européens, sans condition de taille ou de secteur. NIS2 ne s’applique qu’aux entités des 18 secteurs couverts ayant dépassé les seuils de taille. Une PME peut être soumise au RGPD mais pas à NIS2, ou aux deux, ou (très rarement) à NIS2 sans RGPD.
• Objet de la protection : Le RGPD protège les données personnelles des individus. NIS2 protège les réseaux et systèmes d’information des entités, et par extension la continuité des services qu’elles fournissent. Les deux angles sont complémentaires mais distincts.
• Autorité compétente : La CNIL pour le RGPD, l’ANSSI pour NIS2. En cas d’incident, vous pouvez avoir deux notifications à gérer en parallèle, vers deux autorités différentes, dans des délais similaires (72h) mais avec des contenus différents.
• Obligations de la direction : Le RGPD ne prévoit pas d’obligation de formation spécifique pour les dirigeants. NIS2 l’impose explicitement (article 20). C’est un point de différenciation important.
• Mesures sectorielles : NIS2 impose des mesures adaptées au secteur d’activité, qui peuvent aller au-delà des exigences générales du RGPD. Un opérateur d’infrastructures critiques aura des exigences NIS2 plus strictes qu’une entreprise de services standard.

Pour approfondir la synergie entre les deux réglementations, notre article RGPD et cybersécurité : les obligations concrètes des PME et notre guide sur l’IA pour automatiser la conformité RGPD vous donneront des outils supplémentaires. La conformité NIS2 et RGPD simultanée est également abordée dans notre article sur la panorama des technologies IA pour la cybersécurité PME.

Conclusion et checklist NIS2 complète

NIS2 est une opportunité autant qu’une contrainte. Les PME qui engageront une démarche de conformité sérieuse ne se contenteront pas d’éviter des sanctions : elles amélioreront durablement leur résistance aux cyberattaques, renforceront la confiance de leurs clients et partenaires, et se positionneront favorablement pour répondre aux appels d’offres qui exigent de plus en plus des garanties de sécurité. Dans un contexte où les cyberattaques contre les PME françaises augmentent chaque année, la conformité NIS2 n’est pas un fardeau réglementaire : c’est un investissement dans la pérennité de votre entreprise.

Pour résumer les points clés de ce guide :

• Vérifiez si vous êtes concerné : 18 secteurs couverts + seuils de taille (50 ou 250 salariés selon la catégorie). En cas de doute, consultez l’ANSSI.
• Commencez maintenant : même sans loi de transposition intégrale en France, l’ANSSI pilote déjà la mise en oeuvre. S’enregistrer sur MonEspaceNIS2 est la première étape.
• La direction est impliquée : l’article 20 impose une approbation et une supervision de la direction, pas seulement du service informatique.
• Les 10 mesures sont un cadre, pas un catalogue : leur mise en oeuvre doit être proportionnée à la taille et aux risques de votre organisation.
• La notification d’incident (24h/72h/1 mois) exige une préparation : sans système de détection et procédures d’escalade, les délais seront impossibles à tenir.
• NIS2 et RGPD se complètent : si vous avez déjà engagé une démarche RGPD, vous avez une base solide. Capitalisez dessus.

Pour aller plus loin dans votre démarche de conformité, consultez notre checklist cybersécurité PME, notre guide cyber-résilience pour PME, et notre article sur le BYOD en PME. Pour évaluer votre posture de sécurité, notre partenaire SIAC-Media propose un audit cyber PME en ligne.

Checklist NIS2 complète pour PME

Utilisez cette checklist pour suivre votre progression vers la conformité NIS2. Chaque point correspond à une obligation ou une bonne pratique issue de la directive.

Gouvernance et organisation

• L’entité est enregistrée sur le portail MonEspaceNIS2 de l’ANSSI
• Un référent NIS2 / RSSI est désigné formellement
• La direction a approuvé et signé la politique de sécurité (PSSI)
• La direction a suivi une formation cybersécurité adaptée à son rôle
• Un comité de pilotage cybersécurité est réuni au moins trimestriellement
• Un budget cybersécurité annuel est formalisé et validé par la direction

Analyse des risques et politique de sécurité

• Une analyse de risques documentée est réalisée au moins annuellement
• L’inventaire des actifs (matériels, logiciels, données) est à jour
• La cartographie des flux de données est documentée
• La PSSI couvre les 10 domaines de mesures de l’article 21 NIS2
• Les risques résiduels sont documentés et acceptés par la direction

Gestion des incidents et notification

• Une procédure de gestion des incidents est documentée et connue des équipes
• Les critères d’un « incident significatif » NIS2 sont définis et connus
• Un modèle de notification ANSSI (24h/72h/1 mois) est préparé
• La procédure de notification CNIL (RGPD) est articulée avec celle de l’ANSSI
• Chaque incident est documenté et archivé
• Un système de détection des incidents est en place (EDR, alertes, logs)

Continuité d’activité et sauvegardes

• Un Plan de Continuité d’Activité (PCA) est documenté et validé
• Un Plan de Reprise d’Activité (PRA) est documenté et testé
• La politique de sauvegarde respecte la règle 3-2-1
• Les RTO et RPO sont définis pour chaque système critique
• Les sauvegardes sont testées au moins trimestriellement
• Un exercice de gestion de crise a été réalisé dans l’année

Chaîne d’approvisionnement

• L’inventaire des fournisseurs critiques (niveau 2 et 3) est à jour
• Un questionnaire de sécurité a été envoyé aux prestataires de niveau 2 et 3
• Les contrats des prestataires critiques incluent des clauses de sécurité NIS2
• La localisation des données chez les prestataires est connue et documentée

Authentification et accès

• Le MFA est activé sur tous les accès à distance et comptes administrateurs
• Le principe du moindre privilège est appliqué et documenté
• La revue des droits d’accès est réalisée au moins semestriellement
• La procédure de révocation des accès lors des départs est formalisée et appliquée
• Un gestionnaire de mots de passe d’équipe est déployé
• Les comptes partagés ont été supprimés ou formellement justifiés

Chiffrement et communications

• Une politique de chiffrement formalisée est en place
• Les disques de tous les postes de travail sont chiffrés (BitLocker / FileVault)
• Les sauvegardes sont chiffrées
• Toutes les connexions web utilisent HTTPS/TLS
• Un VPN est utilisé pour tous les accès distants aux ressources internes
• Les clés de chiffrement sont sauvegardées et gérées de façon sécurisée

Formation et sensibilisation

• Tous les collaborateurs ont suivi une formation cybersécurité dans l’année
• Les dirigeants ont suivi une formation cybersécurité adaptée à leur rôle
• Au moins une simulation de phishing a été réalisée dans l’année
• Les formations sont documentées (participants, date, contenu)