NIS2 et PME : beaucoup de dirigeants pensent que cette réglementation européenne ne les concerne pas, parce qu’elle vise d’abord les entreprises de taille moyenne et grande dans des secteurs jugés essentiels. C’est en partie vrai, mais incomplet. Par le jeu des relations entre clients et fournisseurs, NIS2 va toucher bien plus d’entreprises que celles qu’elle nomme directement. Voici, sans jargon, ce que dit le texte, qui est concerné, pourquoi les plus petites structures le seront aussi indirectement, et les dix premières mesures à prendre dès maintenant.
NIS2, de quoi parle-t-on ?
NIS2 est une directive européenne (directive (UE) 2022/2555) adoptée en décembre 2022. Elle remplace une première directive de 2016, dite NIS, qui ne concernait qu’un nombre limité d’opérateurs. Son objectif : relever le niveau de cybersécurité de l’ensemble des organisations dont l’activité compte pour l’économie et la société.
Une directive doit être transposée, c’est-à-dire intégrée dans le droit de chaque pays. Les États membres avaient jusqu’au 17 octobre 2024 pour le faire. En France, la transposition passe par une loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, puis par des textes d’application. Calendrier d’adoption et d’entrée en vigueur des obligations : [calendrier de transposition française À VALIDER]. L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, est l’autorité chargée de sa mise en œuvre et du suivi des entités concernées.
Quelles PME sont directement concernées par NIS2 ?
NIS2 distingue deux catégories : les entités essentielles et les entités importantes. Les obligations sont proches, mais le contrôle est plus strict pour les premières.
Deux critères s’additionnent pour savoir si votre entreprise est directement visée.
Le secteur d’activité
La directive couvre 18 secteurs. Certains sont attendus (énergie, transports, santé, banque, eau, infrastructures numériques), d’autres moins : gestion des déchets, fabrication de produits chimiques, production et distribution alimentaire, fabrication de dispositifs médicaux, d’équipements électriques, de machines ou de véhicules, services postaux, fournisseurs de services numériques. Des PME industrielles, des transporteurs ou des entreprises agroalimentaires peuvent donc entrer dans le champ.
La taille
En règle générale, sont concernées les entreprises moyennes et grandes de ces secteurs. Seuils d’effectif, de chiffre d’affaires et de bilan retenus en France : [seuils précis À VALIDER]. Certaines activités sont visées quelle que soit la taille de l’entreprise, par exemple certains fournisseurs de services numériques ou de confiance [liste des exceptions retenues en France À VALIDER].
Si vous êtes dans un de ces secteurs et proche des seuils, faites vérifier votre situation : l’ANSSI met à disposition un service en ligne pour aider les organisations à savoir si elles sont concernées. Notre page dédiée à l’accompagnement à la conformité NIS2 détaille la démarche.
L’effet cascade : pourquoi NIS2 concerne aussi les petites entreprises
C’est le point le plus important pour une TPE ou une petite PME. NIS2 demande aux entités concernées de maîtriser la sécurité de leur chaîne d’approvisionnement, c’est-à-dire les risques liés à leurs fournisseurs et sous-traitants.
Concrètement, une entreprise soumise à NIS2 doit s’assurer que ses prestataires ne sont pas une porte d’entrée pour une attaque. Elle va donc se tourner vers vous si vous êtes :
- sous-traitant d’un industriel concerné, par exemple pour l’usinage, la maintenance ou la logistique ;
- fournisseur d’un hôpital, d’une clinique ou d’un établissement médico-social ;
- prestataire informatique, cabinet comptable ou bureau d’études qui accède aux systèmes ou aux données d’un client concerné ;
- transporteur ou entreprise de services intervenant sur un site sensible.
Ce que vos clients vont vous demander
Les demandes prennent généralement trois formes : un questionnaire de sécurité à remplir lors d’un appel d’offres ou d’un renouvellement de contrat, des clauses contractuelles sur la sécurité et la notification des incidents, et parfois un audit ou des preuves (politique de sauvegarde, gestion des accès, plan de réaction en cas d’attaque).
Une PME qui ne peut pas répondre risque de perdre des marchés. À l’inverse, celle qui montre une démarche sérieuse en fait un argument commercial. Pour les PME industrielles et leurs sous-traitants, ces exigences apparaissent désormais dans les appels d’offres et les contrats.
Ce que NIS2 change concrètement pour les entreprises concernées
Pour celles qui sont directement visées, NIS2 apporte trois grandes nouveautés.
Des mesures de sécurité obligatoires
La directive impose une approche fondée sur les risques et liste des mesures minimales : analyse des risques, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, formation, contrôle des accès, chiffrement, authentification forte. Rien d’exotique : ce sont les bonnes pratiques que toute entreprise devrait appliquer.
Le signalement des incidents
Un incident important doit être signalé à l’autorité selon un calendrier précis. Dans la directive : une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final dans le mois. Modalités françaises : [modalités de notification retenues en France À VALIDER].
La responsabilité de la direction
Les dirigeants doivent approuver les mesures de cybersécurité, en superviser la mise en œuvre et se former. Leur responsabilité peut être engagée en cas de manquement. Des sanctions financières sont prévues, dont les montants dépendent de la catégorie de l’entité [montants des sanctions retenus en France À VALIDER].
Les 10 premières mesures à prendre, que vous soyez concerné ou non
Que votre entreprise soit directement soumise à NIS2 ou simplement fournisseur d’une entité concernée, ces dix mesures constituent un socle solide. Elles sont accessibles à une PME et répondent à la plupart des questionnaires clients.
- Faire l’inventaire de vos équipements, logiciels, comptes et données sensibles : on ne protège bien que ce que l’on connaît.
2. Désigner un responsable de la cybersécurité, en interne ou via un RSSI externalisé, c’est-à-dire un responsable de la sécurité des systèmes d’information à temps partagé.
3. Réaliser une analyse des risques simple : quelles activités sont vitales, que se passerait-il si elles s’arrêtaient ?
4. Mettre en place des sauvegardes externalisées, protégées contre l’effacement, et tester leur restauration.
5. Activer la double authentification sur la messagerie, les accès à distance et les comptes administrateurs.
6. Tenir à jour les systèmes et logiciels, avec une règle claire et suivie.
7. Protéger les postes et les serveurs avec un outil capable de détecter et bloquer une attaque en cours.
8. Rédiger une procédure de gestion d’incident : qui fait quoi, qui prévenir, dans quels délais.
9. Former et sensibiliser l’équipe, à commencer par la direction.
10. Évaluer vos propres fournisseurs informatiques et formaliser vos exigences dans les contrats.
Par où commencer ?
Le plus efficace est de partir d’un état des lieux. Un audit de cybersécurité mesure votre niveau réel, identifie les écarts avec les exigences de NIS2 et donne un plan d’action priorisé, que vous pourrez présenter à vos clients. Pour aller plus loin sur l’ensemble des réglementations (NIS2, DORA, RGPD, exigences des assureurs), consultez notre page conformité cybersécurité.
Questions fréquentes sur NIS2 et les PME
Ma PME de 20 salariés est-elle concernée par NIS2 ?
En général, pas directement : la directive vise surtout les entreprises moyennes et grandes de secteurs précis, sauf exceptions pour certaines activités. Mais si vous êtes fournisseur ou sous-traitant d’une entité concernée, vos clients vous demanderont des garanties de sécurité. Il est donc utile de s’y préparer.
Quand NIS2 s’applique-t-elle en France ?
La directive devait être transposée au plus tard le 17 octobre 2024. En France, l’entrée en vigueur des obligations dépend de la loi de transposition et de ses textes d’application, avec des délais de mise en conformité progressifs [calendrier précis À VALIDER].
Quelles sanctions en cas de non-conformité ?
La directive prévoit des amendes administratives dont le plafond diffère entre entités essentielles et importantes, ainsi que la possibilité de mettre en cause la responsabilité des dirigeants. Les montants applicables en France sont fixés par la loi de transposition [montants À VALIDER].
NIS2 et ISO 27001, est-ce la même chose ?
Non. NIS2 est une obligation légale, ISO 27001 est une norme volontaire de management de la sécurité. Les deux se recoupent largement : une démarche structurée selon ISO 27001 aide à répondre aux exigences de NIS2, sans être obligatoire pour autant.
Combien de temps faut-il pour se mettre en conformité ?
Cela dépend de votre point de départ. Une PME qui a déjà des sauvegardes, des mises à jour suivies et une double authentification part avec de l’avance. L’audit initial permet de chiffrer précisément le chemin restant et de le découper en étapes réalistes.
Vos clients vous parlent de NIS2 ?
Faisons le point ensemble : nous évaluons votre situation et vous aidons à répondre sereinement aux exigences de vos clients.
Ou appelez-nous au 06 30 39 95 06.