Conformité NIS2 pour les PME : êtes-vous concerné, et par où commencer ?
NIS2 est la directive européenne sur la cybersécurité des entreprises moyennes et grandes de 18 secteurs. Voyez si elle vous concerne, directement ou via un client, et par quoi commencer.
Êtes-vous concerné ?
Trois questions pour vous situer en deux minutes.
Oui aux deux premières : vous êtes probablement concerné. Oui seulement à la troisième : NIS2 vous atteint quand même. Les critères exacts figurent plus bas, dans la partie destinée à votre DSI.
- Votre activité relève-t-elle de l’un des 18 secteurs ?Par exemple l’énergie, les transports, la santé, les services numériques, l’alimentation, la chimie, les déchets, ou la fabrication de machines, d’électronique, de véhicules ou de dispositifs médicaux.
- Êtes-vous une entreprise moyenne ou plus grande ?En général, 50 salariés ou plus, ou un chiffre d’affaires et un bilan tous deux supérieurs à 10 M€, groupe compris. Quelques activités, comme le DNS et les services de confiance, sont visées quelle que soit la taille.
- Une entreprise concernée achète-t-elle chez vous ?Ses contrôles fournisseurs vous atteignent alors, même si la directive ne vous vise pas directement.
Point au 7 octobre 2026
Où en est la loi en France ?
Le projet de loi de transposition a été adopté par le Sénat en mars 2025, puis examiné en commission spéciale à l’Assemblée nationale en septembre 2025. Son examen en séance, prévu début octobre 2026, a été retiré de l’ordre du jour le 6 octobre ; aucune nouvelle date n’est fixée. Entre-temps, la Commission européenne a saisi la Cour de justice de l’UE, le 8 juillet 2026. En France, les obligations s’appliqueront à l’entrée en vigueur de la loi et de ses décrets. La Belgique et le Luxembourg, entre autres, l’appliquent déjà.
Pas concerné ?
Pas concerné vous-même ? Vos clients le sont peut-être.
La directive impose aux entreprises concernées de contrôler la sécurité de leurs fournisseurs directs. Elles envoient donc des questionnaires de sécurité et ajoutent des clauses aux contrats, y compris à de petits fournisseurs. Une réponse claire et documentée facilite ces renouvellements.
Comment nous répondons aux questionnaires clientsCe qui change pour vous
La direction valide la sécurité, et en répond.
Pour une entreprise concernée, la direction approuve les mesures de sécurité, en supervise l’application et suit une formation. Un incident grave se signale vite, avec une première alerte sous 24 heures. C’est déjà la règle en Belgique et au Luxembourg ; en France, ce le sera à l’entrée en vigueur de la loi.
Le vrai risque porte sur la confiance de vos clients : une sanction rendue publique ou un incident notifié coûte en général plus cher que l’amende. La réponse tient en une liste courte de mesures, mises en place dans le bon ordre, avec des preuves à montrer. Si vous êtes certifié ISO 27001, une bonne partie est déjà là.
Par où commencer
Obtenir une réponse claire, puis traiter l’essentiel.
Ce que nous livrons
- Une réponse documentée : concerné ou non, entité essentielle ou importante, et où s’enregistrer
- Vos écarts face aux dix mesures exigées, classés par niveau de risque
- Un plan d’incident que vos équipes savent suivre, avec l’alerte sous 24 heures prête à partir
- Des contrôles fournisseurs et des clauses contractuelles qui tiennent face à vos clients
- La formation de votre direction à ses nouvelles obligations
Qui fait quoi
Nous pilotons le travail. Votre prestataire informatique garde la partie technique.
Ce que nous pilotons
- Établir si NIS2 vous concerne, et comment
- Classer les écarts et fixer le plan
- Rédiger les politiques et la procédure d’incident
- Former votre direction et lui rendre compte
- Préparer votre dossier d’enregistrement (vous le déposez)
Ce qui reste chez votre prestataire informatique
- Mettre en place la double authentification, les sauvegardes et la journalisation
- Appliquer les mises à jour et corriger les écarts techniques
- Exploiter vos systèmes au quotidien
Nous vérifions que son travail suit le plan, pour que les changements techniques mènent bien à la conformité.
Pour commencer
Première étape : le Diagnostic Périmètre & Écarts NIS2.
En 15 jours ouvrables, vous savez si NIS2 s’applique, quelle serait votre classification, si vous devrez vous enregistrer et quels écarts traiter en premier. Le montant est intégralement déduit si vous poursuivez avec nous dans les 60 jours.
- À partir de
- 4 900 €HT
- Durée
- 15 jours ouvrables
- Votre temps
- 3 à 6 courts entretiens
Prix fixe, selon votre effectif.
Découvrir le Diagnostic NIS2Pour votre DSI, DPO ou DAF
Les dix mesures de sécurité exigées par NIS2.
- 01Art. 21(2)(a)
Analyse des risques et politiques de sécurité
Politiques documentées sur la sécurité des systèmes d'information et processus opérationnel d'analyse et de traitement des risques.
- 02Art. 21(2)(b)
Gestion des incidents
Procédures documentées de détection, classification, traitement et signalement des incidents, incluant les délais de notification NIS2.
- 03Art. 21(2)(c)
Continuité d'activité et gestion de crise
Plans de continuité, gestion des sauvegardes, reprise après sinistre et procédures de gestion de crise.
- 04Art. 21(2)(d)
Sécurité de la chaîne d'approvisionnement
Exigences de sécurité pour les fournisseurs directs et prestataires de services, incluant l'évaluation des pratiques de chaque fournisseur.
- 05Art. 21(2)(e)
Sécurité dans l'acquisition et le développement
Sécurité tout au long de l'achat, du développement et de la maintenance des systèmes d'information, y compris la gestion des vulnérabilités.
- 06Art. 21(2)(f)
Évaluation de l'efficacité
Politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques : audits et tests réguliers.
- 07Art. 21(2)(g)
Hygiène informatique et formation
Pratiques d'hygiène de base et formation à la cybersécurité pour tous les collaborateurs, plus une formation dédiée des organes de direction au titre de l'article 20.
- 08Art. 21(2)(h)
Cryptographie et chiffrement
Politiques d'usage de la cryptographie et, le cas échéant, chiffrement des données au repos et en transit.
- 09Art. 21(2)(i)
Sécurité RH et contrôle d'accès
Contrôle d'accès, gestion des actifs, processus d'arrivée, de mobilité et de départ, et sécurité des ressources humaines.
- 10Art. 21(2)(j)
Authentification multifacteur et communications sécurisées
Authentification multifacteur, authentification continue le cas échéant, et communications voix, vidéo et texte chiffrées.
Les amendes diffèrent selon la catégorie d’entité.
L'article 20 impose aux organes de direction d'approuver et de superviser les mesures de sécurité, de suivre une formation et d'en répondre. Au-delà des amendes, l'autorité peut émettre des injonctions contraignantes, exiger que l'organisation informe ses clients des menaces et lui ordonner de rendre publiques les infractions. Pour les entités essentielles, elle peut aussi, en dernier recours, demander l'interdiction temporaire pour le dirigeant ou le représentant légal d'exercer des fonctions de direction (article 32, paragraphe 5, point b).
Pour une entreprise qui vend à d'autres entreprises ou travaille dans un secteur réglementé, le coût d'image d'une sanction publique, ou d'un incident notifié, dépasse en général le montant de l'amende.
Amende max — entité essentielle
10 M€ / 2 %
selon le plus élevé, du chiffre d'affaires annuel mondial total.
Amende max — entité importante
7 M€ / 1,4 %
selon le plus élevé, du chiffre d'affaires annuel mondial total.
Notification en trois étapes
24h · 72h · 1mois
alerte précoce sous 24 h et notification sous 72 h après la prise de connaissance ; rapport final dans le mois qui suit la notification.
Combien de temps cela prend
Cela dépend de votre point de départ. ISO 27001 déjà en place ? Plus rapide.
4 à 8 semaines
À partir d’un socle ISO 27001 existant
Un programme ciblé sur les écarts propres à NIS2 : processus de notification sous 24 heures, enregistrement auprès de l’autorité nationale, évaluation des fournisseurs, formation de la direction.
3 à 6 mois
À partir de mesures existantes limitées
De bout en bout : analyse d’écarts, évaluation des risques, politiques, réponse aux incidents, évaluation des fournisseurs, formation des équipes, et supervision des mesures techniques mises en place par votre équipe ou votre prestataire informatique.
FAQ