NIS2 élargit les obligations de cybersécurité européennes à des milliers d’entreprises qui pensaient n’être jamais concernées par une réglementation pensée pour les grands groupes. Le texte impose un inventaire des risques, des mesures techniques précises et une déclaration de périmètre auprès de l’ANSSI. Reste à savoir si votre PME entre dans ce périmètre, à quelle échéance, et par où commencer sans mobiliser une équipe dédiée.
En bref
NIS2 s’applique en France à toute entité de plus de 50 salariés (ou 10 millions d’euros de chiffre d’affaires) opérant dans l’un des secteurs listés par la directive européenne 2022/2555, y compris comme sous-traitant critique d’un opérateur essentiel. La transposition française est encore en cours d’adoption en 2026, mais les obligations de fond (cartographie des risques, mesures de sécurité, notification d’incidents sous 24 heures) se préparent dès maintenant, indépendamment de la date d’entrée en vigueur du texte français.
Attendre la loi de transposition pour agir revient à découvrir son périmètre au moment où un donneur d’ordre l’exige dans un appel d’offres. Les PME qui avancent avant l’échéance gagnent du temps sur l’inventaire technique, l’étape la plus longue du dispositif.
Qu’est-ce que NIS2 et pourquoi ce texte change la donne
La directive (UE) 2022/2555, dite NIS2, fixe un socle commun de cybersécurité pour les États membres de l’Union européenne. Adoptée en décembre 2022 par le Parlement et le Conseil, elle remplace la première directive NIS de 2016, dont le périmètre s’était révélé trop restreint face à la montée des cyberattaques visant les chaînes d’approvisionnement. Le texte distingue deux catégories de structures : les entités essentielles, soumises aux contrôles les plus stricts, et les entités importantes, à obligations comparables mais à supervision allégée.
Pour la France, l’ANSSI estime que ce changement d’échelle fait passer le nombre d’entités régulées d’environ 500 sous l’ancien régime à plusieurs milliers désormais concernées, PME et ETI comprises. Ce basculement s’explique par l’élargissement des secteurs couverts (énergie, santé, transport, numérique, industrie, gestion des déchets, agroalimentaire) et par l’intégration des sous-traitants critiques dans le champ d’application, même quand ils n’appartiennent pas eux-mêmes à un secteur régulé.
Une PME est-elle concernée ?
Trois critères déterminent l’appartenance au périmètre : la taille de l’entreprise, son secteur d’activité, et sa position dans la chaîne d’approvisionnement d’un opérateur régulé. Une entreprise de moins de 50 salariés peut être concernée si elle fournit un service numérique critique à une entité essentielle, même sans figurer directement dans les secteurs annexés au texte.
| Critère | Entités essentielles | Entités importantes |
|---|---|---|
| Taille type | ≥ 250 salariés ou ≥ 50 M€ de chiffre d’affaires | 50 à 249 salariés ou 10 à 50 M€ de chiffre d’affaires |
| Secteurs représentatifs | Énergie, transport, banque, santé, eau potable, infrastructures numériques | Fabrication industrielle, services numériques, courrier, gestion des déchets, agroalimentaire |
| Sanction administrative maximale | 10 M€ ou 2 % du chiffre d’affaires mondial | 7 M€ ou 1,4 % du chiffre d’affaires mondial |
Une PME sous les seuils de taille reste hors périmètre en tant qu’entité directement régulée, mais elle peut être rattrapée par contrat : un donneur d’ordre soumis à NIS2 répercute mécaniquement des exigences de sécurité sur ses prestataires, sans attendre que la loi française ne l’y oblige.
Calendrier de transposition en France
La loi française transposant NIS2 est encore en cours d’adoption en 2026. L’ANSSI a néanmoins publié, dès le 17 mars 2026, un premier document de travail : le Référentiel Cyber France (ReCyF), qui liste les mesures de sécurité attendues des futures entités régulées. Une plateforme dédiée, MonEspaceNIS2, permet déjà de vérifier son éligibilité et d’anticiper la déclaration de périmètre.
Ce décalage entre le calendrier législatif et la disponibilité des outils de préparation n’est pas anecdotique : il signifie qu’une entreprise peut commencer son inventaire technique et son alignement sur le ReCyF avant même l’entrée en vigueur formelle du texte, ce que l’ANSSI recommande explicitement aux futures entités concernées.
Obligations concrètes à anticiper
NIS2 impose une dizaine de familles de mesures : analyse et gestion des risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, sécurité de l’acquisition et de la maintenance des systèmes, politiques d’accès et authentification multifacteur, chiffrement, hygiène cyber de base et formation des équipes. Ces obligations s’appliquent avec un niveau d’exigence proportionné à la taille et à la criticité de l’entité, mais aucune n’est facultative une fois le périmètre confirmé.
La notification des incidents suit un calendrier strict : alerte précoce sous 24 heures auprès de l’ANSSI, notification formelle sous 72 heures, puis rapport final dans le mois. Un audit technique du périmètre existant reste le point de départ le plus fiable pour mesurer l’écart entre l’état réel du système d’information et ces exigences, avant de prioriser les correctifs.
Sanctions et risques en cas de non-conformité
Au-delà des amendes administratives, NIS2 introduit une nouveauté : la responsabilité personnelle des organes de direction en cas de manquement grave aux obligations de gestion des risques. Un dirigeant peut voir sa responsabilité engagée, indépendamment de la sanction visant l’entreprise elle-même, ce qui change la nature de l’arbitrage interne sur le budget cybersécurité.
Ce niveau de risque rapproche mécaniquement les sujets de conformité NIS2 et de cyberassurance : un assureur demandera de plus en plus souvent la preuve d’une démarche de gestion des risques structurée avant de couvrir une PME exposée à ce type de sinistre.
Note terrain Lead4you
Dans nos diagnostics techniques, ce n’est jamais la volonté de se mettre en conformité qui bloque une PME : c’est l’absence d’inventaire à jour de ses systèmes et de ses prestataires numériques critiques. Les entreprises qui avancent vite sont celles qui cartographient leur chaîne de sous-traitance avant de recevoir une exigence contractuelle de leur donneur d’ordre, pas celles qui attendent la publication de la loi française pour ouvrir le dossier.
Checklist rapide
- Vérifier si votre secteur figure dans les annexes de la directive européenne 2022/2555
- Identifier si votre entreprise est sous-traitante d’une entité essentielle ou importante
- Cartographier vos systèmes d’information et vos prestataires numériques critiques
- Comparer vos mesures de sécurité actuelles au Référentiel Cyber France de l’ANSSI
- Désigner un référent interne responsable du dossier de conformité
Demander un diagnostic technique NIS2
À lire ensuite
Sources et repères utiles
FAQ
NIS2, c’est quoi exactement ?
NIS2 est la directive européenne 2022/2555 qui fixe un socle commun de cybersécurité pour les entités jugées essentielles ou importantes au fonctionnement de l’économie et de la société. Elle impose des mesures de gestion des risques, une notification des incidents et, en France, une supervision par l’ANSSI.
Une PME de moins de 50 salariés peut-elle être concernée par NIS2 ?
Oui, si elle fournit un service numérique critique à une entité essentielle ou importante, même sans appartenir directement à un secteur régulé. Le donneur d’ordre répercute alors ses exigences de sécurité par contrat, indépendamment des seuils de taille fixés par la directive.
Quand la loi de transposition NIS2 entre-t-elle en vigueur en France ?
La loi française est encore en cours d’adoption en 2026. L’ANSSI a toutefois déjà publié le Référentiel Cyber France et ouvert la plateforme MonEspaceNIS2, et recommande aux futures entités concernées de commencer leur préparation sans attendre le texte final.
Quelles sont les sanctions prévues par NIS2 ?
Les amendes administratives peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et 7 millions d’euros ou 1,4 % pour une entité importante. La directive prévoit aussi une responsabilité personnelle des dirigeants en cas de manquement grave.
Par où une PME doit-elle commencer sa mise en conformité NIS2 ?
Par un inventaire de ses systèmes d’information et de ses prestataires numériques critiques, puis une comparaison de ses mesures de sécurité actuelles au Référentiel Cyber France. C’est cette étape de cartographie, souvent sous-estimée, qui conditionne la durée réelle du projet.
NIS2 concerne-t-elle uniquement les grandes entreprises ?
Non. C’est l’un des changements majeurs par rapport à la première directive NIS : le nombre d’entités régulées en France passe d’environ 500 à plusieurs milliers, PME et ETI comprises, du fait de l’élargissement des secteurs couverts et de l’inclusion des sous-traitants critiques.