Votre PME est concernée par NIS2 si elle compte au moins 50 salariés ou réalise plus de 10 millions d'euros de chiffre d'affaires annuel, et si elle opère dans l'un des dix-huit secteurs visés : énergie, transports, santé, agroalimentaire, industrie ou services numériques, entre autres. Et même en dessous de ces seuils, vous pouvez être rattrapé par vos clients : les entités régulées doivent sécuriser leur chaîne d'approvisionnement, donc leurs sous-traitants. Point rassurant : la mise en conformité suit une logique progressive, pilotée en France par l'ANSSI.
NIS2 : d'où vient cette directive et qui la pilote en France
La directive européenne NIS2 (2022/2555) succède à la première directive NIS et élargit massivement le périmètre de la cybersécurité réglementée : de quelques centaines d'opérateurs en France, on passe à environ quinze mille entités selon les estimations de l'ANSSI. Elle est transposée en droit français par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont les décrets et référentiels d'application se déploient progressivement. L'ANSSI est l'autorité nationale : enregistrement des entités, référentiels d'exigences, contrôles et accompagnement passent par elle, notamment via son portail MonEspaceNIS2.
Qui est concerné ? Secteurs et seuils
Entités essentielles et entités importantes
NIS2 distingue deux catégories. Les entités essentielles : en règle générale, les entreprises d'au moins 250 salariés ou 50 millions d'euros de chiffre d'affaires opérant dans les secteurs hautement critiques (énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace). Les entités importantes : à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires, dans ces mêmes secteurs ou dans les secteurs critiques additionnels (services postaux, gestion des déchets, chimie, agroalimentaire, fabrication de dispositifs médicaux, d'électronique, de machines et de véhicules, fournisseurs numériques, recherche). Les obligations de fond sont proches ; le régime de contrôle et de sanction est plus strict pour les entités essentielles.
Les sous-traitants, concernés par ricochet
Même hors périmètre, une PME qui fournit des entités régulées, en infogérance, logiciels, maintenance industrielle ou logistique, verra les exigences NIS2 redescendre dans ses contrats : questionnaires de sécurité, clauses d'audit, obligations de notification. La conformité devient un argument commercial autant qu'une obligation réglementaire.
Suis-je concerné ? L'arbre de décision
- Effectif et chiffre d'affaires : moins de 50 salariés et moins de 10 millions d'euros de chiffre d'affaires ? Vous êtes en principe hors périmètre direct, sauf cas particuliers comme les fournisseurs DNS ou de services de confiance. Passez tout de même à l'étape 4.
- Secteur d'activité : votre activité figure-t-elle dans l'un des dix-huit secteurs listés par la directive ? Si non, vous n'êtes pas directement soumis.
- Catégorie : au moins 250 salariés ou 50 millions d'euros dans un secteur hautement critique, vous êtes une entité essentielle ; sinon, à partir de 50 salariés ou 10 millions d'euros, une entité importante.
- Chaîne d'approvisionnement : comptez-vous parmi vos clients des entités essentielles ou importantes ? Attendez-vous alors à des exigences contractuelles équivalentes.
- Dans le doute : le test d'éligibilité en ligne de l'ANSSI sur MonEspaceNIS2 donne une première réponse ; les cas complexes, groupes, filiales ou activités multiples, méritent une analyse dédiée.
Les grandes obligations de NIS2
- Gestion des risques : analyse de risques, politique de sécurité, gestion des vulnérabilités et des correctifs, authentification multifacteur, chiffrement, sauvegardes, continuité d'activité et sécurité de la chaîne d'approvisionnement.
- Notification des incidents : alerte précoce à l'ANSSI sous 24 heures pour tout incident important, notification détaillée sous 72 heures, puis rapport final sous un mois environ.
- Enregistrement : les entités concernées doivent se déclarer auprès de l'ANSSI.
- Gouvernance responsabilisée : les organes de direction approuvent les mesures de gestion des risques, se forment à la cybersécurité et peuvent voir leur responsabilité engagée en cas de manquement.
Checklist de mise en conformité
- Déterminez votre statut (entité essentielle, importante ou hors périmètre) et enregistrez-vous auprès de l'ANSSI si nécessaire.
- Impliquez la direction : désignez un responsable, allouez un budget et actez la démarche au niveau du comité de direction.
- Cartographiez votre système d'information : actifs critiques, flux, dépendances et prestataires.
- Menez une analyse de risques et un état des lieux face au référentiel de l'ANSSI.
- Déployez les mesures socles : MFA généralisée, sauvegardes testées, gestion des correctifs, journalisation, détection sur les postes et serveurs, cloisonnement réseau.
- Formalisez la gestion d'incident : détection, qualification, notification 24h/72h et exercices de crise réguliers.
- Traitez la chaîne d'approvisionnement : clauses de sécurité dans les contrats et évaluation des prestataires critiques.
- Formez dirigeants et collaborateurs, puis auditez régulièrement pour entretenir la conformité dans la durée.
Quelles sanctions en cas de manquement ?
Les ordres de grandeur fixés par la directive : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes, avec des possibilités d'injonctions, d'astreintes et de mise en cause personnelle des dirigeants. En pratique, la France a annoncé une montée en charge progressive privilégiant l'accompagnement, avec un délai d'adaptation de l'ordre de trois ans pour une partie des mesures techniques. Ce délai est une opportunité : mieux vaut étaler l'investissement que subir l'urgence.
NIS2 formalise surtout ce qu'une bonne hygiène cyber exige déjà. Un état des lieux initial mené avec un partenaire technique aguerri permet de prioriser les mesures à fort impact, de chiffrer la trajectoire de mise en conformité et de transformer une contrainte réglementaire en gage de confiance pour vos clients.