La directive NIS2 s'applique à des milliers de PME et ETI en Europe. Son applicabilité à une entreprise donnée dépend de trois critères : la taille, le secteur d'activité et la place dans la chaîne d'approvisionnement de clients régulés.
NIS2, la directive Network and Information Security 2 (Directive (UE) 2022/2555), est le cadre européen de cybersécurité au champ d'application le plus large à ce jour. Elle est entrée en vigueur le 16 janvier 2023, avec une date butoir de transposition au 17 octobre 2024. La transposition reste inégale : une majorité d'États membres ont notifié leur loi nationale, mais la Commission a saisi la Cour de justice de l'UE le 8 juillet 2026 contre quatre États en retard, dont la France (voir l'état de la transposition plus bas).
Ce guide décrit ce que NIS2 exige des PME : les critères d'assujettissement, les 10 mesures de l'article 21, les obligations de notification et une feuille de route de mise en conformité.
Qu'est-ce que la directive NIS2 ?
NIS2 remplace la première directive NIS de 2016. Là où NIS1 couvrait environ 7 secteurs et quelque 300 entités en France, NIS2 s'étend à 18 secteurs et devrait concerner plus de 10 000 entités en France, dont de nombreuses PME et ETI.
La directive a un objectif central : élever le niveau de cybersécurité en Europe en obligeant les organisations des secteurs critiques à mettre en place une gestion des risques adéquate, à notifier rapidement les incidents et à assumer la responsabilité au niveau de la direction.
Elle distingue deux catégories d'entités réglementées :
| Catégorie | Seuil de taille | Secteurs | Supervision |
|---|---|---|---|
| Entités essentielles (EE) | ≥250 salariés OU ≥50 M€ de CA ET ≥43 M€ de bilan | Énergie, transports, banque, santé, eau, infrastructure numérique, administration publique, espace | Proactive (ex-ante) |
| Entités importantes (EI) | ≥50 salariés OU ≥10 M€ de CA OU ≥10 M€ de bilan | Services postaux, gestion des déchets, chimie, alimentaire, fabrication, fournisseurs numériques, recherche | Réactive (ex-post) |
Point clé pour les PME : les obligations de cybersécurité (les 10 mesures de l'article 21) sont identiques pour les entités essentielles et importantes. Les différences portent sur le régime de supervision et les plafonds d'amende. Pour déterminer votre catégorie, voir NIS2 : entité essentielle ou importante ?.
Où en est la transposition ? (état au 25 juillet 2026)
La directive ne s'applique pas directement aux entreprises : chaque État membre la transpose dans son droit national. Le 7 mai 2025, la Commission a adressé un avis motivé à 19 États membres n'ayant pas notifié de transposition complète. Le 8 juillet 2026, elle a saisi la Cour de justice de l'Union européenne contre quatre d'entre eux : l'Irlande, l'Espagne, la France et les Pays-Bas. L'état pays par pays est tenu à jour par la Commission.
En France, le véhicule de transposition est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat le 12 mars 2025 et voté en commission spéciale de l'Assemblée nationale le 10 septembre 2025. Le texte n'a pas été inscrit à l'ordre du jour de la session extraordinaire de juillet 2026 et son examen en séance publique n'est pas attendu avant septembre 2026 (dossier législatif de l'Assemblée nationale). À la date de mise à jour de cet article, la loi n'est pas promulguée ; les obligations françaises entreront en vigueur avec la loi, ses décrets et arrêtés d'application.
L'attente n'est pas un statu quo. L'ANSSI a mis en ligne le 17 mars 2026 le Référentiel Cyber France (ReCyF), diffusé comme document de travail en attendant la transposition : il liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2, avec un principe de proportionnalité selon la maturité de l'entité, et s'accompagne d'un outil de comparaison avec les autres référentiels. Le pré-enregistrement des entités est par ailleurs déjà ouvert sur MonEspaceNIS2. Les 10 mesures de l'article 21, elles, sont fixées par la directive et ne changeront pas avec les textes français : c'est le socle sur lequel travailler dès maintenant.
La directive NIS2 s'applique-t-elle à votre PME ?
Trois critères déterminent si votre entreprise est concernée. Vous devez réunir les critères de taille ET de secteur, ou relever d'une exception.
Critère 1 : la taille
Votre PME est potentiellement concernée si elle dépasse au moins un de ces seuils :
- 50 salariés ou plus, OU
- 10 millions d'euros de chiffre d'affaires annuel, OU
- 10 millions d'euros de total de bilan annuel
Nuance importante. Cela s'applique au niveau de l'entité juridique, pas au niveau du groupe. Une filiale avec 60 salariés et 12 M€ de CA est concernée même si le groupe parent est plus petit.
Critère 2 : le secteur
Votre entreprise doit exercer dans l'un des 18 secteurs listés aux annexes I et II de la directive :
Annexe I. Secteurs essentiels :
- Énergie (électricité, gaz, pétrole, hydrogène)
- Transports (aérien, ferroviaire, maritime, routier)
- Secteur bancaire et infrastructures des marchés financiers
- Santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux)
- Eau potable et eaux usées
- Infrastructure numérique (DNS, data centers, cloud, télécoms)
- Administration publique
- Espace
Annexe II. Secteurs importants :
- Services postaux et de livraison
- Gestion des déchets
- Production et distribution de produits chimiques
- Production, transformation et distribution de produits alimentaires
- Fabrication (dispositifs médicaux, électronique, machines, véhicules)
- Fournisseurs numériques (marketplaces, moteurs de recherche, réseaux sociaux)
- Recherche
Critère 3. L'entraînement par la chaîne d'approvisionnement
Même si vous êtes en dessous des seuils de taille, vous pouvez tout de même être entraîné dans NIS2 si vous fournissez des produits ou services à une entité essentielle ou importante. L'article 21(2)(d) oblige ces entités à évaluer la cybersécurité de leurs fournisseurs, et elles transmettent généralement cela sous forme de clauses contractuelles de sécurité.
Par exemple, une ESN de 20 personnes développant une application sur mesure pour un hôpital (entité essentielle) fera probablement face à des exigences de sécurité alignées NIS2 dans son contrat, même si l'ESN elle-même est en dessous des seuils de taille.
Sont toujours concernées quelle que soit la taille : les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les prestataires de services de confiance qualifiés, et les réseaux/services de communications électroniques publics.
Les 10 mesures de l'article 21
L'article 21 de NIS2 énumère 10 mesures minimales de gestion des risques cyber que chaque entité concernée doit mettre en œuvre. La directive les encadre explicitement comme « appropriées et proportionnées ». Ce qui signifie qu'un fabricant de 50 personnes ne sera pas jugé selon les mêmes critères qu'une banque multinationale. Mais vous devez couvrir les 10 domaines.
Les 10 mesures s'alignent directement sur les fonctions du NIST CSF 2.0. Voici ce que chaque mesure exige concrètement pour une PME.
1. Analyse des risques et politiques de sécurité de l'information
Ce que ça signifie : connaissez vos risques, consignez-les par écrit, et ayez un plan.
Baseline PME :
- Maintenir un registre des risques avec vos 10 à 15 risques cyber principaux
- Disposer d'une politique de sécurité de l'information approuvée par la direction (même si elle fait 2 pages)
- Réviser les risques au moins une fois par an
Preuves attendues : registre des risques, document de politique avec signature d'approbation, comptes-rendus de réunions de révision.
2. Gestion des incidents
Ce que ça signifie : être capable de détecter, répondre et se remettre d'un incident de sécurité.
Baseline PME :
- Plan de réponse aux incidents documenté avec rôles et chemins d'escalade
- Détection de base (EDR, SIEM, ou au minimum un antivirus avec alertes)
- Processus de revue post-incident
Preuves attendues : plan d'intervention, tickets/journal d'incidents, modèle de revue post-incident.
3. Continuité d'activité et gestion de crise
Ce que ça signifie : maintenir l'activité pendant et après un incident.
Baseline PME :
- Politique de sauvegarde suivant la règle 3-2-1 (3 copies, 2 supports, 1 hors site)
- Processus de restauration testé (pas seulement « on a des sauvegardes »)
- Plan de communication de crise de base
Preuves attendues : politique de sauvegarde, résultats de tests de restauration, objectifs RTO/RPO, plan de communication de crise. (Définir des objectifs RTO/RPO réalistes commence par une analyse d'impact sur l'activité.)
4. Sécurité de la chaîne d'approvisionnement
Ce que ça signifie : vos fournisseurs sont vos risques.
Baseline PME :
- Inventaire des fournisseurs critiques avec évaluation des risques
- Clauses de sécurité dans les contrats avec les fournisseurs clés
- Checklist de due diligence de base pour les nouveaux fournisseurs
Preuves attendues : inventaire fournisseurs, clauses contractuelles, checklist de révision.
5. Sécurité dans l'acquisition, le développement et la maintenance des systèmes
Ce que ça signifie : la sécurité dès la conception, pas en dernier recours.
Baseline PME :
- Exigences de sécurité dans les achats
- Processus de gestion des vulnérabilités avec SLA de patch
- Gestion des changements pour les systèmes de production
Preuves attendues : exigences de sécurité à l'achat, politique de patch, journaux de changements.
6. Évaluation de l'efficacité
Ce que ça signifie : prouver que vos contrôles fonctionnent réellement.
Baseline PME :
- Revue interne ou audit de base annuel
- Indicateurs clés (couverture MFA, conformité des patchs, taux de succès des sauvegardes)
- Suivi des actions correctives
Preuves attendues : rapports de révision, tableau de bord KPI, suivi des actions correctives.
7. Hygiène cyber et formation
Ce que ça signifie : vos collaborateurs sont votre première ligne de défense.
Baseline PME :
- Formation annuelle à la sensibilisation à la sécurité pour tout le personnel
- Simulations de phishing (optionnel mais recommandé)
- Formation spécifique par rôle pour les administrateurs et développeurs
Preuves attendues : supports de formation, registres de participation, checklist d'entrée/sortie de poste.
8. Cryptographie et chiffrement
Ce que ça signifie : protéger les données en transit et au repos.
Baseline PME :
- TLS 1.2+ pour toutes les communications externes
- Chiffrement complet des disques sur les ordinateurs portables
- Chiffrement pour les bases de données sensibles
Preuves attendues : politique de chiffrement, captures de configuration, inventaire des certificats.
9. Sécurité RH, contrôle d'accès et gestion des actifs
Ce que ça signifie : contrôler qui peut accéder à quoi.
Baseline PME :
- Processus d'entrée/sortie/changement de poste pour les droits d'accès
- Revues annuelles des accès
- Inventaire des actifs (matériel et logiciel)
- Principe du moindre privilège
Preuves attendues : checklist JML, journaux de revue des accès, inventaire des actifs.
10. Authentification multifacteur (MFA) et communications sécurisées
Ce que ça signifie : les mots de passe seuls ne suffisent plus.
Baseline PME :
- MFA sur tous les systèmes critiques et les comptes administrateurs
- Canaux de communication sécurisés pour la réponse aux incidents
- Plan de communication d'urgence
Preuves attendues : preuve de configuration MFA, durcissement des accès admin, compte-rendu d'exercice de canal d'urgence.
Notification d'incidents : la règle des 24h/72h/1 mois
L'article 23 de NIS2 impose un calendrier de notification strict en trois étapes pour les incidents significatifs, ceux causant une perturbation opérationnelle grave, une perte financière substantielle, ou un préjudice considérable à autrui.
| Étape | Délai | Quoi signaler |
|---|---|---|
| Alerte précoce | Dans les 24 heures suivant la prise de connaissance | Cause malveillante suspectée ? Impact transfrontalier potentiel ? |
| Notification d'incident | Dans les 72 heures suivant la prise de connaissance | Évaluation actualisée, sévérité, impact, indicateurs de compromission |
| Rapport final | Dans le mois suivant la notification d'incident | Description complète, cause racine, mesures d'atténuation, impact transfrontalier |
Point critique : le délai commence à courir dès que vous prenez connaissance de l'incident, pas à la fin de votre enquête. Vous devez donc avoir un processus d'escalade 24/7, weekends et jours fériés compris. Pour beaucoup de PME, c'est le changement opérationnel le plus important.
Qu'est-ce qu'un incident significatif :
- Perturbation opérationnelle grave des services
- Perte financière substantielle
- Dommages considérables à d'autres personnes ou organisations
Signalement volontaire. L'article 30 permet de signaler volontairement des quasi-incidents et des menaces qui n'atteignent pas le seuil de signification. Cela crée de la bonne volonté avec votre CSIRT et ne peut déclencher d'obligations supplémentaires.
Responsabilité des dirigeants & sanctions
NIS2 est explicite : la cybersécurité est une responsabilité de la direction, pas seulement un sujet IT.
Article 20. Gouvernance
Les organes de direction doivent :
- Approuver les mesures de gestion des risques cyber
- Superviser leur mise en œuvre
- Suivre une formation régulière pour comprendre les risques cyber
- Potentiellement être tenus personnellement responsables en cas de manquement
Article 34. Sanctions
| Type d'entité | Amende maximale |
|---|---|
| Entités essentielles | 10 millions d'euros OU 2 % du chiffre d'affaires mondial annuel (le plus élevé) |
| Entités importantes | 7 millions d'euros OU 1,4 % du chiffre d'affaires mondial annuel (le plus élevé) |
Au-delà des amendes, les autorités peuvent :
- Émettre des injonctions de mise en conformité
- Suspendre des certifications
- Interdire temporairement à des individus d'exercer des fonctions de direction
- Imposer des audits de sécurité aux frais de l'entité
- Publier publiquement les sanctions (« name and shame »)
Pour les dirigeants de PME, la conséquence est directe : la directive place l'approbation et la supervision des mesures au niveau de l'organe de direction, qui ne peut pas s'en décharger entièrement sur le référent sécurité ou l'équipe informatique.
La pression supply chain via les contrats clients
Même si votre PME est en dessous des seuils de taille NIS2, vous pouvez faire face à des exigences de conformité via vos clients. Le mécanisme est le suivant :
- Votre client est une entité essentielle ou importante sous NIS2
- L'article 21(2)(d) l'oblige à évaluer la cybersécurité de ses fournisseurs
- Il insère des clauses de sécurité dans ses contrats avec vous
- Vous devez désormais démontrer vos contrôles, fournir des preuves, et éventuellement accepter des audits
Secteurs où cela se produit déjà :
- Santé (hôpitaux exigeant des attestations de sécurité des fournisseurs de dispositifs médicaux)
- Services financiers (banques transmettant les exigences DORA/NIS2 aux prestataires fintech)
- Infrastructure publique (marchés publics avec normes de sécurité obligatoires)
- Fabrication (chaînes d'approvisionnement automobile et aéronautique)
Une startup SaaS de 15 personnes vendant à un hôpital devra probablement fournir une politique de sécurité de l'information, des preuves de MFA en production, des procédures de réponse aux incidents, des sauvegardes testées, et des registres de formation du personnel. Ces demandes arrivent le plus souvent sous forme de questionnaire de sécurité client.
Si vous construisez ces capacités de manière systématique, les mêmes preuves satisferont généralement les clients qui exigent ISO 27001 ou SOC 2.
Une feuille de route de conformité sur 12 mois
La séquence suivante ordonne les 10 mesures en un plan de mise en conformité sur 12 mois pour une PME, du cadrage à l'amélioration continue.
Mois 1 à 2. Découverte et cadrage
- Confirmer si vous êtes concerné : vérifier les seuils de taille et le secteur contre les annexes I/II
- Identifier l'exposition supply chain : êtes-vous un fournisseur critique d'une entité NIS2 ?
- Vous pré-enregistrer auprès de votre autorité nationale (en France : MonEspaceNIS2, ouvert avant même la promulgation de la loi)
- Réaliser une analyse d'écart par rapport aux 10 mesures de l'article 21
Mois 3 à 4. Gouvernance et documentation
- Désigner un responsable de la sécurité (peut être un prestataire externe pour les PME)
- Rédiger et approuver une politique de sécurité de l'information
- Créer un registre des risques avec vos principaux risques
- Documenter les procédures de réponse aux incidents alignées sur la notification 24h/72h/1 mois
- Planifier la formation des dirigeants aux obligations NIS2
Mois 5 à 7. Socle technique
- Déployer le MFA sur tous les systèmes critiques et les comptes administrateurs
- Mettre en place l'EDR (Endpoint Detection and Response) sur tous les postes
- Établir une politique de sauvegarde avec la règle 3-2-1 et tester la restauration
- Activer le chiffrement des données au repos et en transit
- Déployer la gestion des vulnérabilités avec des SLA de patch définis
Mois 8 à 9. Processus et formation
- Déployer la formation de sensibilisation à la sécurité pour tout le personnel
- Mettre en place le processus d'entrée/sortie/changement de poste pour le contrôle d'accès
- Créer une checklist d'évaluation de la sécurité fournisseurs
- Réaliser un premier exercice de crise pour la réponse aux incidents
- Tester la restauration des sauvegardes et documenter les résultats
Mois 10 à 11. Évaluation et amélioration
- Mener un audit interne des 10 mesures
- Réaliser un test d'intrusion ou une évaluation des vulnérabilités
- Réviser et mettre à jour le registre des risques et les politiques
- Préparer le pack de preuves pour chaque mesure de l'article 21
- Combler les lacunes identifiées lors de l'évaluation
Mois 12 : validation et amélioration continue
- Réaliser un deuxième exercice de crise
- Réviser les KPI (couverture MFA, conformité des patchs, taux de réalisation de la formation)
- Informer la direction de l'état de conformité
- Planifier le cycle d'amélioration de l'année suivante
Le coût dépend du point de départ (outillage déjà en place, maturité des sauvegardes et du MFA, recours ou non à un prestataire) ; aucune fourchette générique ne tient sans évaluation préalable. L'analyse d'écart des mois 1 et 2 fournit la base de chiffrage.
Comment Komplyo gère NIS2
Les 10 mesures s'alignent directement sur les fonctions du NIST CSF 2.0. Komplyo utilise cette alignement : vous évaluez une fois sur le CSF 2.0, et la plateforme projette vos réponses sur NIS2, le RGPD, ISO 27001 et SOC 2 à partir d'une seule évaluation.
Les réponses CSF 2.0 se projettent sur les obligations de NIS2, le RGPD, ISO 27001 et SOC 2 via les correspondances entre référentiels (méthodologie). Les écarts identifiés alimentent une feuille de route priorisée et des politiques générées (politique de sécurité de l'information, réponse aux incidents, sauvegarde), les documents demandés par les superviseurs NIS2 et les clients. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un score de maturité indicatif par fonction CSF et un premier repérage des écarts au regard de l'article 21.
La page Conformité NIS2 pour PME détaille comment Komplyo couvre chaque obligation de l'article 21.
Foire aux questions
Quand NIS2 s'appliquera-t-elle en France ?
La loi de transposition n'est pas promulguée à la date de mise à jour de cet article (25 juillet 2026) ; la France a été renvoyée devant la Cour de justice de l'UE le 8 juillet 2026 pour ce retard. Les obligations s'appliqueront avec la loi et ses textes d'application. En attendant, l'ANSSI a publié le référentiel ReCyF (document de travail) et ouvert le pré-enregistrement sur MonEspaceNIS2 : les entités concernées peuvent démarrer sans attendre la promulgation.
Ma petite entreprise est-elle vraiment concernée par NIS2 ?
Vous êtes probablement concerné si vous dépassez au moins un seuil de taille (50 salariés ou plus, ou 10 M€ de CA, ou 10 M€ de bilan) et exercez dans l'un des 18 secteurs des annexes I/II. En dessous des seuils, vous pouvez tout de même être entraîné par contrat en tant que fournisseur d'une entité essentielle ou importante. L'assistant MonEspaceNIS2 est le moyen le plus rapide de vous auto-évaluer.
Quelle différence entre entités essentielles et importantes ?
Les obligations de cybersécurité (les 10 mesures de l'article 21) sont identiques. Les différences portent sur la supervision (proactive/ex-ante pour les essentielles, réactive/ex-post pour les importantes) et les plafonds d'amende (10 M€ ou 2 % du CA contre 7 M€ ou 1,4 %).
Quels sont les délais de notification d'incident NIS2 ?
Trois étapes pour les incidents significatifs. Une alerte précoce sous 24 heures, une notification d'incident plus complète sous 72 heures, et un rapport final sous un mois. Le délai court dès que vous prenez connaissance de l'incident, pas à la fin de l'enquête.
Les dirigeants peuvent-ils être tenus personnellement responsables sous NIS2 ?
Oui. L'article 20 rend les organes de direction responsables de l'approbation et de la supervision des mesures de gestion des risques et leur impose une formation. Des individus peuvent être temporairement interdits d'exercer des fonctions de direction en cas de manquement grave.
Quel lien entre NIS2, le NIST CSF 2.0, ISO 27001 et le RGPD?
Les mesures de l'article 21 s'alignent sur les fonctions du NIST CSF 2.0 et recoupent largement les contrôles ISO 27001 et l'article 32 du RGPD (sécurité du traitement). C'est le cœur du modèle « on répond une fois, on projette partout » de Komplyo. Vous répondez une fois sur le CSF 2.0 et lisez votre préparation sur chacun d'eux. Voir SOC 2 vs ISO 27001 : lequel choisir ?.
Ressources et outils gratuits
| Ressource | Source | Ce qu'elle fournit |
|---|---|---|
| Texte complet de la directive NIS2 | Journal officiel de l'UE | Le texte juridique de la Directive (UE) 2022/2555 |
| Page NIS2 de l'ENISA | ENISA | État de la transposition pays par pays |
| Suivi de transposition de la Commission | Commission européenne | État officiel de la transposition et procédures d'infraction |
| Ressources NIS2 ANSSI (France) | ANSSI | Guide de transposition français, modèles, FAQ |
| Référentiel Cyber France (ReCyF) | ANSSI | Mesures recommandées pour atteindre les objectifs NIS2 (document de travail, 17 mars 2026) |
| FAQ NIS2 du NCSC Irlande | NCSC Irlande | Guide spécifique à l'Irlande et enregistrement |
| MonEspaceNIS2 (France) | Gouvernement français | Assistant d'auto-évaluation pour vérifier si vous êtes concerné |
| Suivi de transposition ECSO | ECSO | Analyse détaillée de la transposition pays par pays |
| NIST CSF 2.0 | NIST | Cadre qui correspond bien aux mesures de l'article 21 NIS2 |
| Cyber Essentials du CISA | CISA | Guide de sécurité de base gratuit pour les petites entreprises |
En résumé
Pour une PME, la question NIS2 se traite dans cet ordre : déterminer l'assujettissement (taille, secteur, exposition par la chaîne d'approvisionnement), mesurer l'écart par rapport aux 10 mesures de l'article 21, puis désigner un responsable identifié de la mise en conformité, même à temps partiel. Un programme de sécurité documenté couvre à la fois les obligations directes de la directive et les exigences que les clients assujettis répercutent sur leurs fournisseurs lors des appels d'offres et des évaluations. Le NIST CSF 2.0 et la méthode EBIOS Risk Manager de l'ANSSI fournissent le cadre structurel ; la directive et sa transposition fixent le calendrier.