NIS2 : votre PME est-elle concernée ? Secteurs, seuils et obligations

En bref

• NIS2 fait passer le nombre d'entités régulées en France d'environ 500 à près de 15 000, réparties sur 18 secteurs.
• À la date de publication de cet article, la directive n'est toujours pas transposée en droit français : aucune obligation n'est encore exigible. Le projet de loi est en attente d'examen à l'Assemblée nationale.
• Le seuil d'entrée est fixé à 50 salariés ou 10 M€ de chiffre d'affaires, dans un secteur listé. En dessous, une PME peut néanmoins être concernée indirectement, par ses clients.
• L'ANSSI met à disposition un test d'éligibilité et un référentiel de mesures (ReCyF) pour se préparer sans attendre le texte.

Qu'est-ce que NIS2 ?

La directive NIS2 (pour Network and Information Security) est le texte européen qui remplace la directive NIS de 2016. Adoptée en décembre 2022 sous la référence (UE) 2022/2555, elle poursuit un objectif simple à énoncer : relever le niveau de sécurité minimal d'un très grand nombre d'organisations dont la défaillance aurait des conséquences sur l'économie ou la société.

Le changement d'échelle est le point essentiel. Sous NIS1, la France régulait environ 500 opérateurs, essentiellement de très grandes structures. NIS2 porte ce nombre à près de 15 000 entités, et fait passer le nombre de secteurs concernés de six à dix-huit. Beaucoup d'organisations qui n'avaient jamais eu affaire à l'ANSSI vont entrer dans son périmètre, dont un nombre significatif d'ETI et de PME.

Point de situation : où en est la France ?

Il faut être précis, car la confusion est répandue et beaucoup de contenus en ligne affirment que NIS2 « s'applique » depuis janvier 2026. Ce n'est pas le cas.

Une directive européenne n'est pas directement applicable : elle doit être transposée par une loi nationale. En France, cette transposition est portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose simultanément trois directives (REC, NIS2 et DORA). Son parcours :

• Déposé au Sénat le 15 octobre 2024 ;
• Adopté par le Sénat en première lecture le 12 mars 2025 ;
• Examiné en commission spéciale à l'Assemblée nationale le 10 septembre 2025 ;
• Toujours en attente d'examen en séance publique à ce jour.

La date limite de transposition fixée par l'Union européenne était le 17 octobre 2024. Ce retard a des conséquences : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas, en demandant des sanctions financières. Le blocage est politique et sans rapport avec les obligations des entreprises : il porte sur un article relatif au chiffrement des messageries, introduit par le Sénat.

En pratique : aujourd'hui, aucune sanction NIS2 ne peut vous être appliquée en France. Mais le texte finira par être voté, et le calendrier de mise en conformité courra à partir de là. L'entreprise qui aura attendu le vote découvrira le chantier avec un délai contraint.

Votre entreprise est-elle concernée ?

Deux conditions doivent être réunies : appartenir à un secteur listé, et dépasser un seuil de taille.

Les secteurs

NIS2 distingue les secteurs « hautement critiques » et les « autres secteurs critiques ». On y trouve les domaines attendus (énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, espace), mais aussi des secteurs qui n'étaient pas régulés jusqu'ici : services postaux et d'expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication de dispositifs médicaux, d'équipements informatiques et électroniques, de machines, de véhicules, recherche, et surtout les fournisseurs de services numériques et de services TIC.

Ce dernier point mérite l'attention des dirigeants d'ESN, d'éditeurs de logiciels, d'hébergeurs, d'infogéreurs et de fournisseurs de services managés : ces activités sont explicitement visées, et beaucoup de ces entreprises sont des PME.

Les seuils de taille

Le critère général s'appuie sur la définition européenne des PME : sont visées les entreprises de taille moyenne et grande, c'est-à-dire à partir de 50 salariés, ou d'un chiffre d'affaires annuel et d'un total de bilan dépassant 10 millions d'euros. En dessous, une entité n'est en principe pas concernée, sauf exceptions prévues par la directive, notamment pour certains fournisseurs d'infrastructures numériques ou lorsqu'une entité est le seul prestataire d'un service essentiel.

Entité essentielle ou entité importante ?

La directive crée deux catégories, qui déterminent l'intensité du contrôle et le plafond des sanctions :

• Les entités essentielles (grandes entreprises des secteurs hautement critiques) sont soumises à une supervision a priori, avec des contrôles pouvant intervenir sans incident préalable. La directive impose aux États membres un plafond d'amende d'au moins 10 M€ ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Les entités importantes relèvent d'une supervision a posteriori, déclenchée par un incident ou un signalement. Plafond d'au moins 7 M€ ou 1,4 % du chiffre d'affaires annuel mondial.

La plupart des ETI et des PME entrant dans le périmètre seront classées « entités importantes ». L'ANSSI met à disposition un test d'éligibilité sur la plateforme MonEspaceNIS2 : c'est la seule réponse qui fasse foi, et elle prend quelques minutes.

Les obligations attendues

Le détail relèvera de la loi et de ses décrets d'application, mais la directive fixe déjà quatre blocs sur lesquels rien ne devrait bouger.

1. La responsabilité de la direction

C'est la nouveauté la plus structurante, et la moins commentée. NIS2 place l'approbation et le suivi des mesures de gestion du risque cyber sous la responsabilité des organes de direction, qui doivent en outre suivre une formation. La cybersécurité cesse d'être un sujet délégable au service informatique : elle devient un sujet de gouvernance, avec une responsabilité personnelle des dirigeants.

2. Les mesures de gestion des risques

La directive impose une approche « tous risques » proportionnée, couvrant notamment : l'analyse des risques et la politique de sécurité, la gestion des incidents, la continuité d'activité et la sauvegarde, la sécurité de la chaîne d'approvisionnement, la sécurité de l'acquisition et de la maintenance des systèmes, l'évaluation de l'efficacité des mesures, l'hygiène informatique et la formation, la cryptographie, la sécurité des ressources humaines et la gestion des accès, ainsi que l'usage de l'authentification multifacteur.

3. La notification des incidents

Un incident « important » devra être signalé selon un calendrier en trois temps : une alerte précoce sous 24 heures, une notification circonstanciée sous 72 heures, puis un rapport final sous un mois. Ce rythme suppose d'avoir désigné à l'avance qui déclenche, qui rédige et qui transmet, un exercice qui ne s'improvise pas le jour de l'incident.

4. L'enregistrement auprès de l'ANSSI

Les entités concernées devront se déclarer auprès de l'autorité nationale, et tenir à jour leurs informations.

« Nous sommes trop petits » : l'effet de ruissellement

C'est le point que la plupart des dirigeants de PME manquent, et il est probablement le plus important de cet article.

Même si votre entreprise reste hors périmètre, la sécurité de la chaîne d'approvisionnement figure parmi les obligations de vos clients régulés. Ils devront évaluer et maîtriser le risque que leurs fournisseurs leur font courir. Traduction concrète : questionnaires de sécurité à l'appel d'offres, clauses contractuelles sur les correctifs et la notification d'incident, exigences d'audit, parfois demande de certification.

Cette exigence n'a rien d'un excès de zèle. L'ANSSI documente dans son Panorama de la cybermenace 2025 de nombreux cas d'attaquants s'étant latéralisés depuis le système d'information d'un prestataire vers ceux de ses clients. De son côté, la CNIL relève que les violations de données notifiées en 2025 « impliquent souvent des sous-traitants ».

Autrement dit : pour beaucoup de PME, NIS2 arrivera par le contrat commercial avant d'arriver par la loi. Et là, il n'y aura pas de délai de transposition.

Comment se préparer dès maintenant

Attendre la publication de la loi est le pire calendrier possible : la mise en conformité prend des mois, le vote peut intervenir à tout moment, et les compétences disponibles sur le marché ne se démultiplieront pas au moment où 15 000 entités les chercheront en même temps.

1. Déterminez votre statut. Le test sur MonEspaceNIS2 tranche la question « suis-je concerné ? », y compris pour la catégorie (essentielle ou importante).
2. Mesurez l'écart. Un état des lieux de votre maturité par rapport aux quatre blocs d'obligations donne la liste des chantiers réels. Notre diagnostic de maturité cyber fournit ce point de départ.
3. Appuyez-vous sur le ReCyF. Depuis le 17 mars 2026, l'ANSSI publie le Référentiel Cyber France, qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Il n'est pas contraignant par défaut, mais il constitue la meilleure feuille de route disponible aujourd'hui, et une entité qui choisit de l'appliquer pourra s'en prévaloir en cas de contrôle.
4. Traitez d'abord les fondamentaux. Sauvegardes hors ligne testées, correctifs sur les équipements exposés, MFA, inventaire des accès, procédure d'incident écrite : ces mesures figurent dans toutes les versions du texte et servent immédiatement, indépendamment de la réglementation.
5. Impliquez la direction, formellement. Puisque la responsabilité remonte à la gouvernance, inscrivez le sujet à l'ordre du jour, tracez les décisions, planifiez la formation des dirigeants.
6. Regardez votre chaîne de sous-traitance dans les deux sens : ce que vos fournisseurs vous font courir, et ce que vos clients vont commencer à exiger de vous.

Questions fréquentes

Faut-il être certifié ISO 27001 pour être conforme à NIS2 ?

Non. NIS2 n'impose aucune certification. Une démarche ISO 27001 couvre une large part des exigences et facilite la démonstration de conformité, mais elle n'est ni obligatoire ni suffisante en elle-même.

Que risque-t-on concrètement en cas de non-conformité ?

Les plafonds de sanction sont élevés (jusqu'à 2 % du chiffre d'affaires mondial pour une entité essentielle), mais la directive prévoit surtout une gradation : mises en demeure, injonctions, audits imposés. Les sanctions financières interviennent en bout de chaîne. Rien de tout cela n'est applicable en France tant que la loi de transposition n'est pas publiée.

Une filiale française d'un groupe étranger est-elle concernée ?

L'appréciation se fait en principe au niveau de l'entité établie en France, en tenant compte des données consolidées lorsque l'entreprise n'est pas autonome au sens de la définition européenne des PME. Le test MonEspaceNIS2 intègre ces critères.

Nos clients nous envoient déjà des questionnaires de sécurité. Est-ce lié ?

Très probablement. Les entités qui anticipent leur mise en conformité commencent par cartographier leurs fournisseurs. Répondre sérieusement à ces questionnaires (et pouvoir documenter vos mesures) devient un argument commercial.

Pour aller plus loin

Évaluez votre maturité avec notre diagnostic cyber, puis consultez des prestataires certifiés pour les chantiers d'analyse de risques, de plan de continuité ou d'audit de conformité.

Sources

• ANSSI, La directive NIS 2 et plateforme MonEspaceNIS2.
• Commission européenne, NIS2 Directive, FAQs (seuils de sanction et calendrier de notification).
• Directive (UE) 2022/2555, texte intégral sur EUR-Lex.
• Assemblée nationale, Dossier législatif : projet de loi résilience des infrastructures critiques et renforcement de la cybersécurité.
• Commission européenne, Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice, 8 juillet 2026.
• ANSSI, Panorama de la cybermenace 2025, mars 2026.