NIS2 : êtes-vous concerné ? Le guide pour les PME et les collectivités

La directive NIS2 change la donne en matière de cybersécurité. Là où la réglementation ne visait qu’une poignée de grands acteurs, elle concerne désormais des milliers d’entreprises et de collectivités — dont beaucoup ne se savent pas encore concernées. Voici l’essentiel pour faire le point sereinement.

Cet article est informatif et ne constitue pas un conseil juridique. Le périmètre exact dépend de votre activité et de votre taille : en cas de doute, faites réaliser un diagnostic.

Qu’est-ce que NIS2 ?

NIS2 (Network and Information Security 2) est une directive européenne qui renforce et élargit la première directive NIS de 2016. Son objectif : relever le niveau de cybersécurité des organisations qui font fonctionner l’économie et les services essentiels.

Elle devait être transposée dans le droit de chaque État membre. En France, c’est l’ANSSI (Agence nationale de la sécurité des systèmes d’information) qui pilote le dispositif et joue le rôle d’autorité de contrôle.

Le grand changement par rapport à NIS1 : le périmètre. NIS2 couvre 18 secteurs et abaisse fortement les seuils, faisant entrer dans la boucle une multitude de PME et d’administrations qui n’étaient jamais concernées auparavant.

Suis-je concerné ?

NIS2 distingue deux catégories d’organisations :

• Les entités essentielles (EE) — les secteurs les plus critiques (énergie, transport, santé, eau, banque, infrastructures numériques, administration publique…).
• Les entités importantes (EI) — d’autres secteurs importants (poste et logistique, gestion des déchets, agroalimentaire, fabrication, chimie, fournisseurs de services numériques, recherche…).

En pratique, vous êtes potentiellement concerné si vous remplissez deux conditions :

1. Votre secteur figure dans la liste des secteurs visés ;
2. Votre taille atteint le seuil retenu — en général une moyenne entreprise (à partir de ~50 salariés ou ~10 M€ de chiffre d’affaires), avec des exceptions qui s’appliquent quelle que soit la taille pour certains acteurs critiques.

Deux points qui surprennent souvent :

• Les collectivités territoriales entrent dans le champ de l’administration publique : de nombreuses communes, intercommunalités et établissements publics sont concernés.
• L’effet de chaîne : même si vous n’êtes pas directement assujetti, vos clients soumis à NIS2 vont exiger de leurs fournisseurs et sous-traitants des garanties de sécurité. La sécurité de la chaîne d’approvisionnement est explicitement visée par la directive.

Autrement dit : ne pas être assujetti ne veut pas dire ne pas être impacté.

Quelles obligations ?

NIS2 repose sur trois piliers.

1. Gérer les risques cyber

Les entités doivent mettre en place des mesures techniques et organisationnelles proportionnées, parmi lesquelles :

• une politique d’analyse et de gestion des risques ;
• la gestion des incidents (détection, traitement) ;
• la continuité d’activité : sauvegarde, reprise après sinistre, gestion de crise ;
• la sécurité de la chaîne d’approvisionnement ;
• l’hygiène de base : MFA, chiffrement, contrôle des accès, mises à jour ;
• la formation et la sensibilisation des équipes.

2. Notifier les incidents

En cas d’incident significatif, des délais stricts s’appliquent :

• 24 h : alerte précoce (early warning) ;
• 72 h : notification d’incident ;
• 1 mois : rapport final.

Sans procédure préparée à l’avance, ces délais sont intenables. C’est là qu’une supervision (SOC) et une capacité de réponse à incident font la différence.

3. Engager la direction

Nouveauté majeure : la responsabilité des dirigeants. Les organes de direction doivent approuver les mesures, se former et superviser leur mise en œuvre. La cybersécurité n’est plus seulement un sujet technique, c’est un sujet de gouvernance.

Et en cas de manquement ?

La directive prévoit des sanctions dissuasives, qui peuvent atteindre jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles (montants moindres pour les entités importantes), sans compter le risque réputationnel.

Comment se mettre en conformité ?

Bonne nouvelle : la mise en conformité est un chemin progressif, pas un grand soir. Voici la démarche que nous appliquons.

1. Diagnostic. On détermine d’abord si — et comment — vous êtes concerné (entité essentielle ou importante), puis on réalise un audit d’écart entre votre existant et les exigences NIS2.
2. Feuille de route. On en tire un plan d’action priorisé et chiffré, adapté à votre taille et à vos moyens. On traite d’abord ce qui réduit le plus le risque.
3. Mise en œuvre. On déploie les mesures techniques et organisationnelles : gestion des risques, MFA, EDR/SOC, sauvegarde, durcissement, procédures.
4. Incidents et notification. On met en place des procédures de détection et de notification conformes aux délais, appuyées par notre SOC et notre intervention d’urgence.

La plupart de ces briques — supervision, sauvegarde, firewalling, sensibilisation — sont d’ailleurs utiles indépendamment de NIS2 : la conformité est souvent l’occasion de structurer une cybersécurité qui faisait défaut.

Par où commencer ?

Le bon premier pas est simple : savoir où vous en êtes. Un diagnostic vous dit si vous êtes assujetti, mesure votre écart et vous donne une feuille de route claire — sans jargon inutile.

Vous vous demandez si NIS2 vous concerne ? Faites le point avec nous : nous évaluons votre situation et vous accompagnons, du diagnostic à la conformité. Découvrez aussi notre approche cybersécurité — protéger, superviser, réagir et être conforme.