NIS2 pour dirigeants de PME : qui est concerné ?

NIS2 est la grande directive européenne de cybersécurité de la décennie. Beaucoup de dirigeants de PME pensent encore qu'elle ne les concernera pas. Mauvaise lecture du texte.

NIS2 (Network and Information Security 2) est la directive européenne 2022/2555. Elle remplace la première directive NIS de 2016, jugée trop étroite. Trois objectifs :

En France, la transposition est portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, référencé PRMD2412608L. Le texte a été présenté en Conseil des ministres le 15 octobre 2024 et adopté en première lecture par le Sénat le 12 mars 2025. C'est l'ANSSI qui prépare la mise en œuvre opérationnelle de NIS2 et les futurs assujettis.

Pour savoir si NIS2 pourrait s'appliquer à votre PME, il faut franchir deux portes successives.

Les deux catégories d'entités

Les seuils de taille à retenir

1. Octobre 2024

   Date butoir européenne de transposition

   La France a pris du retard.

2. 15 octobre 2024

   Présentation du projet de loi

   Projet de loi PRMD2412608L présenté en Conseil des ministres.

3. 12 mars 2025

   Adoption en première lecture par le Sénat

   Étape parlementaire importante, mais pas publication d'une loi définitive.

4. 2026

   Préparation opérationnelle

   L'ANSSI met à disposition des ressources, dont MonEspaceNIS2 et le ReCyF en document de travail.

5. Après adoption

   Textes d'application

   Décrets, référentiels et modalités de contrôle préciseront les obligations françaises.

6. À anticiper

   Contrôles et sanctions

   Les plafonds prévus par la directive et repris par la transposition s'appliqueront selon le cadre final.

La directive NIS2 prévoit des mesures techniques et organisationnelles. Voici une traduction opérationnelle utile pour une PME, à ajuster aux textes français définitifs :

• Politique d'analyse des risques validée par la direction (mise à jour annuelle)
• Procédure de gestion des incidents avec un point de contact 24/7
• Plan de continuité d'activité : sauvegardes testées + plan de reprise
• Évaluation cybersécurité de vos fournisseurs critiques (cloud, MSP)
• Sécurité dans le développement et application des correctifs
• Audits techniques ou tests d'intrusion réguliers
• Sensibilisation annuelle de tous les collaborateurs
• Politiques de chiffrement des données sensibles
• MFA, moindre privilège, inventaire des actifs à jour
• Communications sécurisées en gestion de crise

Au-delà de l'amende : le dirigeant en première ligne

• Mesures de supervision renforcées selon la catégorie de l'entité
• Mise en demeure de corriger les manquements constatés
• Publication possible de certaines décisions selon le cadre final
• Perte de marchés : les grands comptes et le secteur public demanderont davantage de preuves cyber

L'urgence n'est pas de tout révolutionner. C'est de sécuriser les trois prochains trimestres dans cet ordre :

1. Semaine 1

   Vérifier votre éligibilité noir sur blanc

   Code NAF, salariés, CA. Documenter la décision.

2. Semaine 2

   Surveiller les ressources ANSSI

   MonEspaceNIS2, ReCyF et informations de transposition permettent d'anticiper le cadrage.

3. Semaines 3 à 10

   Diagnostic d'écart

   Posture actuelle vs 10 mesures minimales. 6 à 8 semaines suffisent.

4. Mois 3

   Feuille de route à 12 mois

   Priorisée par le risque, validée par la direction, traçable.

5. Mois 4

   Former la direction

   Indispensable pour démontrer une gouvernance cyber active.

Si vous voulez un point précis sur votre situation, demandez un diagnostic NIS2 gratuit : 30 minutes pour clarifier votre catégorie, vos obligations et votre exposition.