Résumé pour les pressés
- NIS2, c’est quoi ? Une directive européenne de cybersécurité adoptée en octobre 2022, qui remplace NIS1 et élève le niveau d’exigence pour les entités critiques.
- Qui est directement visé ? Les entreprises de plus de 50 salariés dans 18 secteurs critiques (énergie, santé, transport, numérique, etc.), classées en entités essentielles ou importantes.
- Et les PME ? Pas directement dans le scope légal – mais indirectement visées via les clauses contractuelles de leurs donneurs d’ordre soumis à NIS2.
- Calendrier France ? La directive est en vigueur au niveau européen depuis octobre 2024. En France, la loi de transposition (loi Résilience) est toujours en cours d’adoption parlementaire en 2026 – mais l’ANSSI pousse déjà les entités à anticiper.
- Amendes ? Jusqu’à 10 M€ ou 2 % du CA mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes. Pour une PME sous-traitante, le risque est surtout la perte de contrat, pas l’amende directe.
- 4 piliers NIS2 : gouvernance cybersécurité, gestion des risques, notification des incidents, sécurité de la chaîne d’approvisionnement.
NIS2 ne vise pas directement les PME. C’est vrai. Mais si vous travaillez pour une grande entreprise dans l’énergie, la santé, l’industrie ou les transports, vous allez recevoir – ou vous avez déjà reçu – un questionnaire de sécurité. Et si vous n’êtes pas en mesure d’y répondre, vous risquez de perdre le contrat.
Voilà le vrai sujet de la directive NIS2 PME.
Qu’est-ce que NIS2 ?
NIS2 (Network and Information Security 2) est une directive européenne adoptée le 14 décembre 2022 et publiée au Journal officiel de l’UE le 27 décembre 2022. Elle remplace la directive NIS1 de 2016, jugée trop limitée dans son périmètre et trop inégalement appliquée entre États membres.
L’objectif est clair : élever le niveau de cybersécurité des entreprises à travers toute l’Union européenne, harmoniser les obligations, et renforcer la coopération entre États.
Ce qui change par rapport à NIS1 :
- Le périmètre passe de quelques centaines à + de 18 000 sociétés en France selon les estimations de l’ANSSI
- Les obligations de gouvernance et de notification sont renforcées
- La responsabilité des dirigeants est explicitement engagée
- La chaîne d’approvisionnement est intégrée dans le périmètre de risque
En France, où en est-on ?
La directive prévoyait une transposition nationale avant le 17 octobre 2024. La France a raté ce délai. La Commission européenne a d’ailleurs adressé un avis motivé à la France en mai 2025 pour défaut de transposition.
Le projet de loi dit « loi Résilience » (qui transpose à la fois NIS2, la directive REC et DORA) a été adopté par le Sénat en mars 2025, puis examiné en commission spéciale à l’Assemblée nationale en septembre 2025. En août 2026, la promulgation finale n’est toujours pas intervenue – les textes d’application (décrets, arrêtés) restent à publier.
Conséquence pratique : NIS2 n’est pas encore formellement applicable en droit français. Mais l’ANSSI recommande d’anticiper dès maintenant, et les donneurs d’ordre soumis à NIS2 au niveau européen imposent déjà leurs exigences à leurs fournisseurs.
Qui est visé par NIS2 ?
La directive cible les entités des 18 secteurs listés, selon deux seuils de taille.
Entités essentielles (EE)
Les secteurs hautement critiques : énergie, transport, santé, eau potable et non potable, infrastructures numériques, secteur bancaire, infrastructures des marchés financiers, espace, administrations publiques.
Seuil : ≥ 250 salariés ou CA annuel > 50 M€ et bilan > 43 M€.
Entités importantes (EI)
Les secteurs critiques : services postaux, gestion des déchets, chimie, alimentation, industries manufacturières, fournisseurs numériques, recherche.
Seuil : 50 à 249 salariés ou CA et bilan > 10 M€ (et ne pas être EE).
Tableau récapitulatif
| Type d'entité | Secteurs | Seuils | Niveau d'obligation |
|---|---|---|---|
| Entité essentielle (EE) | Énergie, santé, transport, eau, banque, numérique critique | ≥ 250 salariés ou CA > 50 M€ + bilan > 43 M€ | Maximum - supervision renforcée ANSSI |
| Entité importante (EI) | Chimie, alimentation, industrie, services postaux, fournisseurs numériques | 50–249 salariés ou CA + bilan > 10 M€ | Élevé - supervision allégée |
| PME sous-traitante | Tous secteurs si fournisseur d'une EE ou EI | Pas de seuil légal direct | Indirect - via clauses contractuelles |
Le point clé pour les PME
Une PME de 30 personnes qui fabrique des pièces pour un équipementier automobile ou qui assure la maintenance informatique d’un hôpital n’est pas directement soumise à NIS2. Mais son client, lui, l’est. Et NIS2 oblige ce client à s’assurer que ses fournisseurs respectent des exigences de sécurité équivalentes.
Résultat : les PME sous-traitantes sont visées par la NIS2 cybersécurité PME de manière indirecte, via les contrats. C’est là que ça se joue concrètement.
Le calendrier de mise en conformité
| Date | Événement |
|---|---|
| 14 décembre 2022 | Adoption de la directive NIS2 par le Parlement européen |
| 27 décembre 2022 | Publication au Journal officiel de l'UE |
| 17 octobre 2024 | Deadline de transposition nationale pour tous les États membres |
| 15 octobre 2024 | Présentation du projet de loi Résilience en Conseil des ministres (France) |
| 12 mars 2025 | Adoption du projet de loi par le Sénat |
| 10 septembre 2025 | Vote en commission spéciale à l'Assemblée nationale |
| 17 septembre 2025 | Adoption à l'unanimité en commission spéciale AN |
| Mai 2025 | Avis motivé de la Commission européenne à la France pour retard |
| Août 2026 | Promulgation finale et décrets d'application : toujours en attente |
Ce que ça signifie en pratique :
La loi n’est pas encore promulguée. Les décrets d’application ne sont pas publiés. NIS2 n’est donc pas encore opposable en droit français.
Mais attention : les entités qui opèrent dans plusieurs pays européens sont déjà soumises à NIS2 dans les États qui ont transposé (Allemagne, Pays-Bas, Belgique…). Et les donneurs d’ordre français anticipent eux-mêmes pour ne pas être pris de court.
L’ANSSI a ouvert un service de pré-enregistrement sur MonEspaceNIS2 et publie déjà son référentiel de cybersécurité (ReCyF v2.5, mis à jour en mars 2026). Le signal est clair : commencer maintenant, pas après la promulgation.
Les 4 piliers de NIS2
Gouvernance cybersécurité
La direction est responsable. Ce n’est plus un sujet délégué au seul service IT.
NIS2 impose que le dirigeant exécutif soit formellement responsable de la sécurité numérique de l’entité. Pour les entités essentielles, il doit désigner un référent cybersécurité – l’équivalent d’un CISO – qui est le point de contact officiel de l’ANSSI.
Concrètement, ça veut dire :
- Une Politique de Sécurité des Systèmes d’Information (PSSI) approuvée par la direction
- Des formations obligatoires pour les dirigeants sur les risques cyber
- Un RACI clair : qui décide quoi, qui est responsable de quoi
- Une revue annuelle de la gouvernance
Fini le “c’est un problème informatique, pas le mien”. NIS2 met la cybersécurité au niveau du board.
Gestion des risques
Identifier, évaluer, traiter, documenter. Et recommencer chaque année.
Les entités doivent :
- Cartographier leurs systèmes d’information et leurs activités critiques
- Identifier les risques pesant sur chaque SI
- Mettre en place un plan de mitigation priorisé
- Documenter les écarts et les justifier à l’ANSSI en cas de contrôle
- Réviser l’analyse annuellement ou à chaque changement majeur
Ce n’est pas une case à cocher une fois. C’est un processus continu.
Notification des incidents
NIS2 impose des délais stricts, plus courts que ce que la plupart des entreprises pratiquent aujourd’hui.
| Étape | Délai |
|---|---|
| Alerte initiale (incident critique détecté) | < 24 heures |
| Rapport intermédiaire (évaluation de l'impact, mesures prises) | < 72 heures |
| Rapport final (analyse complète, causes, actions correctives) | < 1 mois |
La déclaration se fait auprès de l’ANSSI via MonEspaceNIS2. Un incident “important” au sens NIS2, c’est tout incident qui perturbe significativement la fourniture du service ou qui a un impact transfrontalier.
Pour les PME sous-traitantes, l’enjeu est d’avoir une procédure d’incident documentée à montrer à leur donneur d’ordre – même si elles ne sont pas directement soumises à l’obligation de déclaration.
Sécurité de la chaîne d’approvisionnement
C’est le pilier qui touche le plus directement les PME.
NIS2 oblige les entités essentielles et importantes à :
- Cartographier leurs fournisseurs et prestataires informatiques
- Inclure des clauses de sécurité dans tous les contrats (plan d’assurance sécurité, droit d’audit, indicateurs de conformité)
- Vérifier périodiquement que leurs fournisseurs respectent les exigences
- Pouvoir prouver la conformité de leur chaîne d’approvisionnement à l’ANSSI
En clair : si vous êtes prestataire IT, sous-traitant industriel ou fournisseur de services numériques pour une entité NIS2, vous allez devoir répondre à des questionnaires de sécurité et potentiellement accepter des audits.
Quelles amendes en cas de non-conformité ?
Les sanctions NIS2 sont significatives – et elles s’appliquent aux entités directement soumises à la directive.
| Type d'entité | Amende maximale |
|---|---|
| Entité essentielle | 10 M€ ou 2 % du CA annuel mondial (le plus élevé des deux) |
| Entité importante | 7 M€ ou 1,4 % du CA annuel mondial (le plus élevé des deux) |
Ces montants sont des plafonds. En pratique, les sanctions seront proportionnées à la gravité du manquement et à la bonne foi de l’entité dans sa démarche de conformité.
Et pour les PME sous-traitantes ?
Soyons honnêtes : une PME non directement soumise à NIS2 ne risque pas d’amende directe de l’ANSSI. Ce n’est pas son régulateur.
Le vrai risque, c’est commercial :
- Perte de contrat si vous ne pouvez pas répondre aux exigences de sécurité de votre donneur d’ordre
- Clause résolutoire dans les nouveaux contrats si vous n’atteignez pas le niveau de sécurité requis
- Exclusion des appels d’offres pour les marchés publics ou privés des secteurs critiques
- Responsabilité contractuelle en cas d’incident de sécurité chez vous qui se propage chez votre client NIS2
Pour une PME, NIS2 est d’abord un risque business, pas un risque pénal. Mais c’est un risque bien réel.
L’impact concret pour une PME sous-traitante
Voici ce qu’on observe sur le terrain depuis 2024.
Les questionnaires de sécurité se multiplient. Depuis 2024, on voit de plus en plus de PME clientes recevoir des questionnaires de sécurité de leurs donneurs d’ordre – parfois plusieurs dizaines de pages, couvrant la gestion des accès, les sauvegardes, la politique de mots de passe, les procédures d’incident, la formation des équipes. Des PME qui n’avaient jamais eu à formaliser leur posture cyber se retrouvent à devoir répondre à des questions auxquelles elles n’ont pas de réponse documentée. C’est là que le problème devient concret.
Les clauses NIS2 apparaissent dans les nouveaux contrats. Les entités soumises à NIS2 commencent à intégrer dans leurs contrats fournisseurs une obligation de conformité aux exigences de sécurité de la directive, un droit d’audit de la sécurité du prestataire, des SLA de sécurité (délais de notification d’incident, disponibilité des systèmes), ou encore des pénalités contractuelles en cas de manquement ayant causé un incident chez le client.
L’impact budgétaire est réel. Se mettre à niveau en partant de zéro prend 6 à 18 mois et mobilise des ressources. Audit de sécurité initial, mise en place d’une gouvernance, documentation des processus, formation des équipes, outils de supervision : comptez entre 15 000 € et 60 000 € selon la taille et le niveau de départ de la PME.
NIS2 vs ISO 27001 : complémentaires ou redondants ?
Bonne question. La réponse courte : complémentaires, avec un fort recouvrement.
| Critère | NIS2 | ISO 27001 |
|---|---|---|
| Nature | Obligation légale européenne | Certification volontaire internationale |
| Périmètre | Entités des 18 secteurs critiques | Toute organisation |
| Gestion des risques | Exigée | Exigée |
| Gouvernance SSI | Exigée (responsabilité dirigeant) | Exigée (engagement direction) |
| Gestion des incidents | Exigée + délais réglementaires stricts | Exigée (procédures, pas de délai légal) |
| Chaîne d'approvisionnement | Exigée (audit fournisseurs, clauses) | Exigée (contrôles contractuels) |
| Continuité d'activité | Exigée (PCA/PRA renforcés) | Exigée (PCA/PRA) |
| Notification légale | Obligatoire (ANSSI, délais stricts) | Pas de délai réglementaire |
| Responsabilité dirigeant | Explicite et personnelle | Engagement direction (moins contraignant) |
| Sanctions | Amendes jusqu'à 10 M€ ou 2 % CA | Perte de certification |
Le verdict : ISO 27001 couvre environ 70 à 80 % des exigences NIS2. C’est un excellent point de départ – et si vous êtes déjà certifié, vous avez une longueur d’avance significative.
Mais ISO 27001 ne suffit pas à être conforme NIS2. Les écarts principaux : les délais de notification d’incident imposés par NIS2, la responsabilité personnelle du dirigeant, et les obligations légales de déclaration à l’ANSSI.
Stratégie recommandée : si vous partez de zéro, construisez votre démarche en alignement ISO 27001 – elle vous donnera les bases solides pour couvrir NIS2 ensuite, avec un delta limité à combler.
Par où commencer ? Checklist PME
Voici 8 actions concrètes, dans l’ordre de priorité.
1. Évaluer si vous êtes dans le scope NIS2
Utilisez le simulateur officiel de l’ANSSI sur messervices.cyber.gouv.fr. Si vous êtes sous-traitant d’une entité soumise, anticipez les exigences contractuelles même si vous n’êtes pas directement visé.
2. Faire un audit de sécurité informatique
Avant de construire quoi que ce soit, savoir où vous en êtes. Un audit couvre la gouvernance, les accès, les sauvegardes, la gestion des incidents, les mises à jour. C’est la base de tout plan de mise en conformité NIS2.
3. Cartographier vos fournisseurs critiques
Listez tous les prestataires et fournisseurs qui ont accès à votre SI ou qui sont critiques pour votre activité. C’est l’exigence 3.A.1 du référentiel ANSSI – et c’est ce que vos donneurs d’ordre vont vous demander.
4. Nommer un responsable cybersécurité
Pas forcément un CISO à temps plein. Mais quelqu’un de nommé, avec une fiche de mission, qui est le point de contact en cas d’incident et qui pilote la conformité NIS2. C’est la première question d’un questionnaire fournisseur.
5. Mettre en place une procédure d’incident documentée
Qui fait quoi en cas d’attaque ransomware à 3h du matin ? Qui appelle qui ? Qui décide d’isoler les systèmes ? Qui communique avec les clients ? Cette procédure doit être écrite, testée, et connue de tous.
6. Former la direction
NIS2 engage la responsabilité des dirigeants. Une demi-journée de sensibilisation cyber pour le CODIR, c’est à la fois une exigence réglementaire et un investissement de bon sens.
7. Documenter les risques
Pas besoin d’un document de 200 pages. Un registre des risques cyber simple – actifs critiques, menaces identifiées, mesures en place, plan d’action – suffit pour démarrer et répondre aux questionnaires fournisseurs.
8. Planifier une revue annuelle
La conformité NIS2 n’est pas un projet ponctuel. C’est un processus. Bloquez une revue annuelle de votre posture cyber, de vos fournisseurs critiques, et de votre plan d’action.
Si vous souhaitez être accompagné dans cette démarche – audit initial, mise en place de la gouvernance, réponse aux questionnaires fournisseurs – notre équipe sécurité informatique accompagne les PME franciliennes sur ces sujets au quotidien.
FAQ
NIS2 s'applique-t-elle directement à ma PME ?
Pas automatiquement. NIS2 cible les entités de plus de 50 salariés dans 18 secteurs critiques. Si votre PME est en dessous de ces seuils ou hors de ces secteurs, vous n’êtes pas directement soumis à la directive. En revanche, si vous êtes sous-traitant ou fournisseur d’une entité soumise à NIS2, vous serez indirectement concerné via les clauses contractuelles.
La France a-t-elle transposé NIS2 ?
Pas encore complètement en août 2026. Le projet de loi Résilience (qui transpose NIS2, REC et DORA) a été adopté par le Sénat en mars 2025 et examiné à l’Assemblée nationale en septembre 2025. La promulgation finale et les décrets d’application restent attendus. L’ANSSI recommande d’anticiper sans attendre.
Quelles sont les obligations NIS2 entreprise concrètes ?
Les 4 piliers : gouvernance cybersécurité (PSSI, responsable désigné, formation direction), gestion des risques (cartographie, analyse, plan d’action), notification des incidents (< 24h pour l’alerte initiale, < 72h pour le rapport intermédiaire, < 1 mois pour le rapport final), et sécurité de la chaîne d’approvisionnement (audit fournisseurs, clauses contractuelles).
Quels sont les risques financiers pour une PME non conforme ?
Pour une PME non directement soumise à NIS2 : pas d’amende directe de l’ANSSI. Le risque est commercial – perte de contrat, exclusion d’appels d’offres, clause résolutoire. Pour les entités directement soumises : jusqu’à 10 M€ ou 2 % du CA mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes.
Combien de temps faut-il pour se mettre en conformité NIS2 ?
En partant d’une posture cyber basique, comptez 6 à 18 mois pour une mise en conformité sérieuse. Les premières actions (audit, nomination d’un responsable, procédure d’incident) peuvent être réalisées en 2 à 3 mois. La documentation complète et la mise en place des processus prennent plus de temps.
ISO 27001 suffit-il pour être conforme NIS2 ?
Non, mais c’est un excellent point de départ. ISO 27001 couvre environ 70 à 80 % des exigences NIS2. Les écarts principaux : les délais légaux de notification d’incident, la responsabilité personnelle du dirigeant, et les obligations de déclaration à l’ANSSI. Une entreprise certifiée ISO 27001 a une longueur d’avance significative.
Comment savoir si mon entreprise est dans le scope NIS2 ?
L’ANSSI propose un simulateur en ligne sur messervices.cyber.gouv.fr. Il suffit de renseigner votre secteur d’activité, votre taille et votre CA pour obtenir une première évaluation. Vous pouvez aussi vous pré-enregistrer sur MonEspaceNIS2 pour être informé des prochaines étapes réglementaires.
