NIS2 est une directive européenne de cybersécurité. En France, elle doit concerner près de 15 000 organisations, contre environ 500 avec la première version. La plupart des PME ne sont pas visées directement, mais beaucoup le seront par leurs clients.
NIS2, qu'est-ce que c'est ?
En France, elle doit être transposée par la loi dite « Résilience ». Le Sénat l'a adoptée le 12 mars 2025 ; le 6 octobre 2026, l'Assemblée nationale a de nouveau reporté son examen. L'ANSSI sera chargée du contrôle.
Le texte rend la direction responsable de la cybersécurité de l'entreprise.
Votre PME est-elle concernée ?
NIS2 vise principalement les entités de taille moyenne et grande opérant dans des secteurs dits essentiels ou importants : énergie, transports, santé, eau, secteur bancaire, infrastructures numériques, administration, mais aussi des domaines comme l'agroalimentaire, la fabrication ou la gestion des déchets. Le texte distingue deux catégories, « entités essentielles » et « entités importantes », avec des niveaux de contrôle différents.
Les petites entreprises sont en général hors du champ direct. Elles restent concernées si elles travaillent pour une entité soumise à NIS2.
Les nouvelles obligations, en clair
Pour les organisations concernées, NIS2 impose un socle de bonnes pratiques :
- Gouvernance : la direction est responsable et doit être formée aux enjeux cyber.
- Gestion des risques : analyse des risques, mesures de protection, sauvegardes, contrôle des accès, chiffrement.
- Notification des incidents : alerte sous 24 heures, notification complète sous 72 heures, rapport final un mois plus tard.
- Sécurité de la chaîne d'approvisionnement : les fournisseurs et prestataires doivent eux aussi présenter des garanties.
- Sanctions renforcées en cas de manquement, pouvant engager la responsabilité des dirigeants.
Si vous êtes fournisseur d'une entreprise concernée
Vos clients soumis à NIS2 vous enverront des questionnaires de sécurité, ajouteront des clauses à vos contrats et pourront demander un audit. Une PME qui sait y répondre vite prend l'avantage sur ses concurrents.
Comment s'y préparer
La plupart des mesures attendues sont des bases de sécurité. Dans l'ordre :
- Faire un état des lieux honnête de votre niveau actuel (accès, sauvegardes, sensibilisation, supervision).
- Activer les fondamentaux : authentification multifacteur, gestion des mots de passe, sauvegardes testées, mises à jour.
- Formaliser une politique simple et sensibiliser vos équipes.
- Documenter vos mesures pour pouvoir répondre à un client ou à un audit le jour venu.
Faisons le point ensemble
L'auto-diagnostic donne une première idée en deux minutes. Si un client vous a envoyé un questionnaire NIS2, appelez-nous : nous vous aidons à y répondre et à corriger ce qui manque.
Auto-diagnostic gratuit
Où en est votre conformité cyber ?
Neuf questions, un score sur 100 et les points à traiter en premier, sans inscription.
