NIS2 : ce que la directive change concrètement pour les PME

01De NIS1 à NIS2 : un changement d'échelle

La première directive NIS, en 2016, visait quelques centaines d'opérateurs essentiels — énergie, transport, banque, santé. NIS2 change d'échelle : elle élargit la liste des secteurs concernés, abaisse les seuils d'application et, surtout, étend les obligations à la chaîne de sous-traitance. En France, plusieurs milliers d'entités entrent dans le périmètre, dont une part importante de PME et d'ETI.

02Êtes-vous concerné ?

Le périmètre se détermine en croisant deux critères : votre secteur d'activité et votre taille. En première approche, vous êtes susceptible d'être concerné si :

• Vous opérez dans un des secteurs visés : énergie, transport, santé, eau, infrastructures numériques, services informatiques, espace, mais aussi services postaux, gestion des déchets, agroalimentaire, fabrication de produits critiques, recherche, administration publique… ;
• Vous employez au moins 50 personnes ou réalisez plus de 10 millions d'euros de chiffre d'affaires annuel.

La directive distingue les entités essentielles (les plus grandes, dans les secteurs les plus critiques) des entités importantes, soumises à des obligations proches mais à un régime de contrôle allégé. Attention au point souvent oublié : même hors périmètre direct, vous pouvez être rattrapé par vos clients — les entités régulées doivent encadrer la sécurité de leurs fournisseurs, et répercutent leurs exigences par contrat.

03Les obligations, concrètement

NIS2 n'impose pas une liste de produits à acheter, mais des mesures de gestion des risques. Les grands blocs :

• Gouvernance : la direction est personnellement responsable de l'approbation et du suivi des mesures de cybersécurité — elle doit y être formée ;
• Gestion des risques : analyse de risques, politiques de sécurité, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités ;
• Mesures techniques : authentification multifacteur, chiffrement, sauvegardes, continuité d'activité, gestion des incidents ;
• Notification des incidents : alerte précoce de l'autorité dans les 24 heures après détection d'un incident important, notification détaillée sous 72 heures, rapport final sous un mois ;
• Hygiène et formation : sensibilisation des équipes et pratiques de base d'hygiène informatique.

04Sanctions : ce que vous risquez

Le régime de sanctions est aligné sur l'esprit du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes. S'y ajoutent des pouvoirs de contrôle, d'injonction et, dans certains cas, la mise en cause de la responsabilité des dirigeants. Mais le vrai risque pour une PME reste opérationnel : l'incident lui-même coûte presque toujours plus cher que l'amende.

05Calendrier et état des lieux en France

La directive est entrée en vigueur au niveau européen en janvier 2023, avec une transposition nationale engagée depuis. En France, la mise en œuvre est pilotée par l'ANSSI, qui a prévu une application progressive des exigences afin de laisser aux entités le temps de se mettre à niveau. Ne vous laissez pas endormir par ce calendrier : les chantiers de fond — gouvernance, sauvegardes, détection, notification — prennent des mois. Commencer tôt, c'est lisser l'effort et le budget.

06Par où démarrer, sans se disperser

1. Vérifier votre statut (essentielle, importante, hors périmètre mais exposée par vos clients) ;
2. Désigner un responsable du sujet et informer la direction de ses obligations ;
3. Faire un état des lieux : un audit de posture mesure l'écart avec les exigences ;
4. Prioriser sur 90 jours les fondamentaux qui comptent double — MFA, sauvegardes, détection, procédure de notification ;
5. Documenter au fil de l'eau : en cas de contrôle, la preuve de la démarche compte autant que la perfection du résultat.

NIS2 est moins une contrainte nouvelle qu'un alignement réglementaire sur ce qu'une PME devrait déjà faire pour sa propre survie. Bien abordée, la mise en conformité finance sa propre valeur : moins d'incidents, une meilleure assurabilité et un argument commercial face aux donneurs d'ordres.