NIS2 et PME : Guide pratique des Dirigeants

NIS2 — Network and Information Security directive 2 (UE 2022/2555)

Qu’est-ce que NIS2, et pourquoi elle concerne les PME ?

La directive NIS2, ce sont les dernières exigences de cybersécurité de l’Union européenne.

NIS2 concerne plus de PME qu’on ne le pense, directement ou indirectement via leurs clients. Pourtant, la majorité des dirigeants de PME avec lesquels nous échangeons connaissent peu ou pas cette directive, y compris dans des secteurs sensibles comme l’industrie ou la santé.

Et lorsqu’un dirigeant cherche à comprendre ce que NIS2 implique pour son entreprise, il se retrouve souvent face à une information très technique, destinée aux équipes IT ou juridiques. Peu de contenus s’adressent réellement au dirigeant, alors même que NIS2 impose sa responsabilité dans la gestion des risques de cybersécurité.

De fait, le premier obstacle à une démarche NIS2 n’est donc pas toujours le budget. C’est souvent de savoir par où commencer, quoi prioriser, jusqu’où aller.

C’est précisément l’objectif de notre guide pratique destiné aux dirigeants: vous aider à comprendre si votre entreprise est vraiment concernée, ce que NIS2 implique concrètement pour elle et par quelles actions commencer, sans jargon et sans devoir devenir expert de NIS2.

C’est une aide à la décision pour savoir quoi faire, dans quel ordre et avec quel niveau d’effort.

Quand NIS2 s’applique-t-elle en France ?

NIS2 s’applique en France avec la transposition de la directive en droit français et la publication de ses textes d’application.

L’Union européenne a formellement adopté NIS2 fin 2022, avec une date limite de transposition fixée au 17 octobre 2024. En France, le projet de loi « Résilience des infrastructures critiques et renforcement de la cybersécurité », appelée communément « loi Résilience » a été adopté par le Sénat. Il est en cours d’examen à l’Assemblée nationale. La promulgation de la loi et de ses textes d’application sont attendus pour 2026.

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) a publié en mars 2026 le Référentiel Cyber France (ReCyF) un référentiel de travail pour aider les organisations à atteindre les objectifs de cybersécurité fixés par NIS2.

Faut-il attendre ?
Non. La démarche de conformité NIS2 peut s’étaler sur plusieurs mois selon la complexité de votre structure. De plus l’ANSSI a demandé explicitement de démarrer la démarche sans attendre.

Une PME est-elle concernée par NIS2 ?

Oui, NIS2 concerne directement les PME lorsqu’elles répondent aux critères de secteur et de taille. Et beaucoup d’autres peuvent être indirectement impactées lorsqu’elles travaillent avec des clients eux-mêmes soumis à la directive.

Trois questions, dans l’ordre

Mon secteur d’activité principale figure-t-il dans la liste des secteurs couverts par NIS2 ? [détail des secteurs ci-dessous]
Ma taille: mon effectif atteint-il 50 personnes ou plus, ou au moins 10 M€ de chiffre d’affaires et de bilan ? [détail du critère de taille section suivante]
Est ce qu’un de mes clients ou donneurs d’ordre est soumis à NIS2 ?

Trois situations possibles

Vous êtes directement concerné par NIS2, si vous répondez « Oui » aux deux premières questions.
Vous êtes généralement hors champ si vous répondez « Non » à l’une des deux premières. vous n’êtes en général pas directement concerné par NIS2, mais la piste indirecte ci-dessous peut quand même vous concerner.
Vous êtes indirectement impacté par NIS2, si vous répondez « Oui » à la troisième.
C’est l’effet domino du risque cyber fournisseur qui vous expose indirectement. Vos clients assujettis ont l’obligation de gérer les risques cyber de leur chaîne d’approvisionnement, et vont vous imposer des exigences cyber (peut-être les mêmes que les leurs sous NIS2) via questionnaires, clauses contractuelles et audit.

À retenir

À partir de 50 personnes ou de 10 M€ de chiffre d’affaires et de bilan, dans un secteur concerné, vous êtes assujetti. En dessous, vous n’êtes généralement pas assujetti, sauf pour quelques activités spécifiques soumises quelle que soit leur taille [détail section suivante].
Que vous soyez directement concerné ou non, si vous travaillez avec des clients eux-mêmes soumis à NIS2, vous recevrez leurs exigences cyber. S’y préparer fait de vous un partenaire de confiance et vous évite de perdre des contrats existants ou de manquer un marché.

NIS2 couvre deux groupes de secteurs.

Les secteurs Hautement Critiques sont ceux dont la défaillance a l’impact systémique le plus élevé, et beaucoup étaient déjà régulés sous NIS1. La liste des 11 secteurs ci-dessous est issue de l’Annexe I de la directive NIS2:

Énergie: électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène;
Transports: transporteurs, gestionnaires et services aériens, ferroviaires, par eau et routiers;
Santé: hôpitaux, cliniques, prestataires de soins, laboratoires, fabrication de produits pharmaceutiques, de dispositifs médicaux, R&D médicaments;
Eau potable: fournisseurs et distributeurs d’eaux destinées à la consommation humaine;
Eaux usées: collecte, évacuation, traitement;
Infrastructure numérique: points d’échange internet, services DNS, noms de domaine de premier niveau, cloud, data center, réseaux de diffusion de contenu, services de confiance, communications électroniques publics ou accessibles au public;
Gestion des services TIC (Technologies de l’Information et de la Communication);
Administration publique: pouvoirs publics centraux et régionaux;
Espace: services spatiaux;
Secteur bancaire (articulation avec DORA selon le type d’entité);
Infrastructures des marchés financiers (articulation avec DORA selon le type d’entité).

Les secteurs Critiques ont un impact systémique moindre que les précédents mais tout aussi important. La liste des 7 secteurs ci-dessous est issue de l’Annexe II de la directive:

Recherche: organismes de recherche.
Services postaux et d’expédition;
Gestion des déchets;
Chimie: fabrication, production et distribution de produits chimiques;
Agroalimentaire: production, transformation et distribution de denrées alimentaires;
Industriels: dispositifs médicaux et diagnostic in-vitro, produits informatiques, électroniques et optiques, équipements électriques, machines et équipements n.c.a., automobile, remorques et semi-remorques et autres matériels de transport;
Fournisseurs numériques: places de marché, moteurs de recherche et réseaux sociaux.

Pour en savoir plus, lire nos articles NIS2 & PME #2 : l’effet domino du risque cyber fournisseur; Risque Cyber Supply-Chain #1 : comment vos fournisseurs vous exposent; Risque Cyber Supply-Chain #2 : quand vous exposez vos partenaires

Quelles différences entre « Entité Essentielle » et « Entité Importante » ?

NIS2 distingue ces 2 catégories d’entités assujetties car elle leur impose un niveau d’exigences, de contrôle et de sanctions différent et proportionné, en général plus élevé et plus stricts pour les EE.

	Secteur Hautement Critique	Secteur Critique
Grande entité	Essentielle (EE)	Importante (EI)
Entité Moyenne	Importante (EI)	Importante (EI)

Source: Directive EU2022/2555, LINARIS

Note: Il y a des Entités Essentielles quelle que soit leur taille : fournisseurs de noms de domaine (DNS), prestataires de services de confiance qualifiés, administrations centrales et les entités désignées par l’Etat.

A retenir

Une PME qui relève directement de NIS2, est en général une EI. Concrètement, cela signifie des contrôles a posteriori, et absence de sanction personnelle des dirigeants, réservée aux seuls cas EE.
Simulateur NIS2 ANSSI. Secteurs, taille et qualification EE/EI s’apprécient au niveau de l’entité, avec parfois des nuances. Si vous êtes proche d’un seuil, ne tranchez pas seul à partir d’une lecture simplifiée. Vérifiez votre situation avec le simulateur officiel de l’ANSSI.

Après le secteur, la taille est le second critère pour déterminer si vous êtes assujetti à NIS2 (Art. 3 de la directive). Combiné au secteur, le critère de taille permet de déterminer votre statut au sein des entités assujetti, Entité Essentielle (EE) ou Entité Importante (EI) (Art. 2).

Le projet de loi Résilience distingue deux catégories d’entités selon les critères de taille Effectifs, Chiffre d’affaires (CA) et Total bilan.

Entité Moyenne	[50 ≤ Effectifs < 250] OU [10 M€ ≤ CA < 50 M€ ET 10 M€ ≤ bilan < 43 M€]
Grande entité	[Effectifs ≥ 250] OU [CA ≥ 50 M€ ET bilan ≥ 43 M€]

À noter: Une ETI française peut être qualifiée de Moyenne ou de Grande entité selon ses indicateurs financiers au sens NIS2. Cette définition française diffère de celle de l’Union européenne pour les PME, ce qui complexifie souvent la lecture des critères cumulatifs (ET / OU).

Quelles sont les exigences de cybersécurité NIS2 ?

Les exigences sous NIS2 couvrent l’ensemble de l’entreprise, et pas uniquement les aspects de technique de sécurité informatique ou les points juridiques. C’est un sujet qui touche la gouvernance, les ventes, les achats, la production, les finances et les RH. C’est pourquoi nous abordons ici les exigences NIS2 du point de vue du dirigeant.

On peut présenter ces exigences en trois groupes: celles qui relèvent de la direction, les mesures spécifiques à déployer, et les obligations en cas d’incident.

1. Les dirigeants doivent être responsables de la cybersécurité

En pratique, les « organes de direction » (gérant, président, directeur général, PDG, conseil d’administration ou directoire, selon la forme de la société) doivent piloter la cybersécurité en établissant une gouvernance cyber. Dans ce cadre, ils doivent:

Approuver
les mesures de gestion des risques cyber
Superviser, suivre
la mise en œuvre des mesures
Se former
à l’analyse des risques cyber

NIS2 prévoit aussi que la direction puisse être tenue responsable si l’entreprise ne respecte pas les mesures de cybersécurité de l’article 21 (ref. section suivante). Selon nous, c’est la contrepartie de l’obligation de gouvernance.

Cela ne signifie pas que le dirigeant doit devenir expert cyber. Il doit pouvoir comprendre les risques, arbitrer les priorités et s’assurer que les mesures décidées sont effectivement mises en œuvre, comme c’est le cas pour tous les enjeux stratégiques de l’entreprise.

Pour en savoir plus, lire notre article NIS2 et PME #1 : la responsabilité des dirigeants, ce que dit vraiment le texte.

2. Comment préparer la mise en place des dix mesures minimales NIS2 ?

NIS2 impose dix mesures de cybersécurité minimales à toutes les entités assujetties (EE et EI). Et contrairement aux idées reçues, elles ne se limitent pas à l’informatique de sécurité, mais concernent aussi largement la gouvernance et la gestion d’entreprise. C’est pourquoi, la mise en place de ces exigences demande presque toujours autant de gouvernance que de technique.

D’où l’intérêt de notre « Checklist NIS2 by LINARIS » qui va au-delà d’une liste muette des exigences. Il s’agit de notre grille de lecture pour aider les dirigeants à anticiper où doit se porter l’effort et qui mobiliser pour la mise en place: vos équipes (informatique, RH, autres), vous-même?

Checklist NIS2 by LINARIS

Guide de lecture du tableau: Si la gouvernance est nécessaire pour toutes les mesures, nos coches indiquent où se situe l’effort principal: « Tech » implique essentiellement des outils et solutions techniques de cybersécurité, tandis que « Non-tech » relève principalement de l’organisation, des processus et de la gouvernance. Notre analyse s’appuie sur la directive NIS2, le ReCyF, DORA, et sur notre expérience terrain.

Tableau d’analyse LINARIS : Répartition de l’exécution des 10 mesures minimales NIS2
Les 10 mesures article 21.2	Tech selon LINARIS	Non-tech selon LINARIS
a. Analyse des risques et politiques de sécurité		✔
b. Gestion des incidents	✔	✔
c. Continuité d’activité et gestion de crise	✔	✔
d. Sécurité de la chaîne d’approvisionnement		✔
e. Sécurité du développement et de la maintenance	✔
f. Évaluation de l’efficacité des mesures		✔
g. Cyberhygiène et formation	✔	✔
h. Cryptographie et chiffrement	✔
i. Sécurité RH, contrôle d’accès et gestion des actifs	✔	✔
j. Authentification multifacteur et communications sécurisées	✔

Sources: Directive UE 2022/2555, LINARIS

3. Les incidents cyber doivent être notifiés

NIS2 fixe un calendrier de notification strict en trois étapes “24/ 72/ 1 mois” pour alerter les autorités de contrôle (ANSSI en France) en cas d’incident important, c’est à dire un événement qui compromet un système et entraîne soit un blocage grave de l’activité, soit un préjudice sérieux pour des tiers. (Article 23)

Alerte obligatoire
en cas d’incident important

24 heures
alerte précoce

72 heures
notification avec analyse

1 mois
rapport détaillé final

Pour vous aider, l’ANSSI met en place une procédure d’alerte sur monespacenis2.gouv.fr.

Quelles sont les sanctions prévues par NIS2 ?

Les sanctions prévues par NIS2 dépendent du statut de l’entité et de la gravité du manquement. Elles peuvent aller de l’avertissement et de l’injonction de mise en conformité jusqu’à des amendes importantes et, dans certains cas, à des sanctions visant les dirigeants.

Ces sanctions donnent la mesure de l’enjeu, mais elles ne doivent pas paralyser. NIS2 est justement construite sur un principe de proportionnalité, c’est à dire qu’une PME n’a pas les mêmes obligations qu’un grand groupe. Typiquement, l’interdiction temporaire de diriger est réservée aux dirigeants des Entités Essentielles (EE). Or les PME concernées par NIS2 sont généralement des Entités Importantes (EI).

Le risque réel n’est pas de tout faire immédiatement ou de mal faire, mais de ne rien faire ou de s’y prendre trop tard.

Mode de supervision: La supervision est proactive pour les EE (audits et inspections réguliers) et réactive (en cas d’incidents ou de doute) pour les EI.
Avertissements au niveau de l’entité: Injonctions de mise en conformité et publication des manquements à toutes les entités assujetties (Articles 32 et 33).
Amendes lourdes au niveau de l’entité (Article 34):
– jusqu’à 10 M€ ou 2 % du CA mondial (le plus élevé des deux) pour les EE;
– jusqu’à 7 M€ ou 1,4 % du CA mondial (le plus élevé des deux) pour les EI.
Sanction personnelle des dirigeants: Réservée aux EE, en dernier recours (interdiction temporaire d’exercer des fonctions de direction) (Article 32).

PME et conformité NIS2 : quelle démarche selon votre situation ?

Selon votre position dans la chaîne d’approvisionnement, aborder la directive européenne ne se résume pas toujours à une stricte conformité NIS2.

D’abord, commencez par déterminer dans quelle situation se trouve votre PME. Êtes-vous directement concernée, indirectement impacté par un client, ou hors périmètre ?

Par quoi commencer?

Pour votre situation, nous vous conseillons les premiers pas pour démarrer sereinement. Mais nos 2 premiers pas communs à toute situation sont:

« Faites un état des lieux » pour savoir d’où vous partez, les étapes à franchir pour atteindre les objectifs NIS2 et par quoi commencer.
« Mettez la cybersécurité à l’agenda de votre prochaine réunion de direction ». Même si cela ne vous est pas demandé, pouvoir démontrer que les risques cyber sont regardés de près par le direction vous crédibilise auprès de vos partenaires.

Découvrez les premiers pas spécifiques à votre situation.

Pré-enregistrez-vous sur le site de l’ANSSI monespacenis2.gouv.fr. Seuls les EE seront notifiées. Les EI devront faire une démarche volontaire.
Nommez un référent cyber rattaché directement à la Direction. Cela évite les conflits d’intérêts, car l’état des lieux va couvrir toutes les fonctions de l’entreprise, y compris l’informatique.
Formez-vous à la gestion des risques cyber. C’est demandé par le directive, mais l’objectif n’est pas de devenir un expert en cyber, mais de savoir gouverner la cyber de manière informée.
Mettez la cybersécurité à l’agenda de votre prochaine réunion de direction. Ce sera votre première action de gouvernance de la cybersécurité, comme demandé par la directive.
Faites un état des lieux. Identifiez ce qui est déjà en place, ce qui manque et les écarts qui pèsent vraiment sur votre activité. C’est le point de départ indispensable pour prioriser vos actions et vous préparer à démontrer votre conformité.

Pour aller plus loin, lire nos articles NIS2 et PME #4 : quelles différences entre cybersécurité et informatique ? ; NIS2 et PME #1 : les 4 obligations cyber des dirigeants

Prenez les devants. N’attendez pas le premier questionnaire de votre client pour découvrir vos lacunes, car y répondre vous engage juridiquement, et les délais sont souvent très courts.
Mettez la cybersécurité à l’agenda de votre prochaine réunion de direction, même si cela ne vous est pas demandé formellement. La réalité terrain est qu’une bonne gouvernance de la cybersécurité peut parfois compenser des écarts éventuels par rapport aux exigences.
Faites un état des lieux de ce que vous pouvez démontrer aujourd’hui et ce qu’il faudra renforcer pour une cybersécurité alignée sur les objectifs de NIS2. Cette démarche est essentielle pour y voir clair, avant de prioriser et mettre en place les mesures manquantes.
Sécurisez en priorité ce qui concerne vos clients, puisque vous êtes un fournisseur ou prestataire direct d’un client soumis à NIS2, ne devenez pas leur maillon faible cyber.
Préparez-vous à démontrer vos pratiques de cybersécurité et comment elles sont alignées aux exigences de NIS2/ReCyF.

Pour aller plus loin sur certains points, lire nos articles NIS2 & PME #2 : l’effet domino du risque cyber fournisseur; Risque Cyber Supply-Chain #1 : comment vos fournisseurs vous exposent; Risque Cyber Supply-Chain #2 : quand vous exposez vos partenaires

Si vous êtes hors champ NIS2, ni directement, ni indirectement concerné, vous êtes au moins soumis au RGPD. Or, l’article 32 du RGPD vous impose déjà de sécuriser vos données, ce qui dépend étroitement de la sécurité globale de vos systèmes d’information.

Appuyez-vous sur les bonnes pratiques de NIS2 pour structurer progressivement votre cybersécurité, notamment si vous envisagez de travailler avec des clients eux-mêmes concernés.
Faites un état des lieux cyber. C’est le premier pas pour comprendre comment vos SI vous permettent aujourd’hui de protéger les données personnelles, et plus largement votre activité et sa pérennité. Ensuite, vous déciderez des actions prioritaires à mener s’il y en a.
Mettez la cybersécurité à l’agenda de votre prochaine réunion de direction, même si cela ne vous est pas demandé. Pouvoir démontrer que les risques majeurs comme la cybersécurité sont suivis par la direction générale vous crédibilise auprès de vos clients et assureurs.

Quels sont les pièges à éviter dans une démarche NIS2 ?

Quelle que soit votre situation, voici quatre pièges fréquents chez les PME qui abordent NIS2, que vous ayez déjà commencé ou pas encore.

1. Le sur ou sous-investissement

Souvent on observe deux extrêmes : soit de croire qu’être conforme à NIS2 exige une usine à gaz et l’empilement d’outils complexes, soit de céder au biais d’optimisme en se disant : « On est une PME, les hackers ne visent que les grands groupes, on a le temps ».

Sur le terrain, les PME sont massivement ciblées par les cybercriminels, souvent pour atteindre une cible plus grande via l’effet domino. Quant à NIS2, l’objectif n’est pas de tout barricader du jour au lendemain, mais d’adapter l’effort à la juste mesure de vos expositions réelles, sans sous- ni sur-investissement ni lourdeur bureaucratique inutile.

2. La procrastination

Le piège c’est de se dire que le délai de transition des 3 ans* laisse largement le temps de voir venir, ou espérer passer entre les mailles du filet.

Or, la mise en conformité est un marathon, pas un sprint. En cas d’effet domino, vos grands clients exigeront des garanties sans prévenir. Dans les 2 cas, les rattrapages en urgence sont souvent hasardeux et coûteux.

*source : discours public de Vincent STRUBEL, directeur général de l’ANSSI au Forum Incyber le 26 mars 2024.

3. Le piège des ressources

L’erreur c’est souvent de penser qu’il suffira d’engager un spécialiste cyber externe au dernier moment, ou de confier le sujet à votre équipe en mode « gérez ça en plus du reste ».

Mais sur le marché, les compétences cyber qualifiées sont rares et courtisées. En parallèle, vos équipes internes (RH, ventes, production, finances, IT, etc.) sont déjà à flux tendu. Le vrai coût du projet intègre aussi ce temps partagé et cette mobilisation interne, qu’il faut anticiper pour éviter l’asphyxie.

4. Subir la perte de marchés

On a souvent tendance à attendre le premier appel d’offres perdu ou le questionnaire bloquant pour se préoccuper de son niveau de cybersécurité.

Dans les faits, vos clients et donneurs d’ordre soumis à NIS2 répercutent déjà ces exigences cyber sur leur chaîne d’approvisionnement, et peuvent dès demain vous demander des garanties cyber, via un questionnaire, une clause ou un audit. Y répondre vous engage juridiquement, et demande une préparation, sans quoi vous risquez de perdre des contrats existants ou des nouveaux marchés.

Il s’agit ici des erreurs les plus fréquentes chez les PME qui abordent NIS2 seules ou dans l’urgence. Les anticiper et les intégrer dans votre préparation à une démarche NIS2 peut vous éviter de transformer le projet en gouffre financier et organisationnel.

NIS2 et PME : ce qu’il faut retenir

NIS2 est le nouveau socle de la cybersécurité dans l’Union européenne. Elle impose à la direction générale de la piloter de manière informée et de pouvoir la démontrer. Elle fixe des mesures exigeantes mais ne demande pas la même chose à une PME qu’à une grande entreprise. Elle vise ainsi à ce que chaque structure ait un niveau de protection cohérent avec son exposition aux risques cyber, pour assurer la continuité de ses activités. La résilience de l’économie est la finalité de la directive.

Concrètement, nous pensons que NIS2 introduit les nouveaux standards de cybersécurité à atteindre, que l’on soit assujetti ou non. Car par le biais de l’obligation de gérer les risques cyber de la chaîne d’approvisionnement, les exigences de NIS2 s’étendront de fait bien au-delà des entités directement assujetties.

Pour une PME, nous pensons que l’objectif n’est pas de faire « tout NIS2 ». C’est plutôt de construire le niveau de cybersécurité dont votre entreprise a réellement besoin, et de pouvoir exposer les raisons.

Enfin, bâtir une cybersécurité défendable se compte en mois, voire en années, pas en semaines. La meilleure stratégie, c’est d’agir dès maintenant, sans attendre la promulgation des textes.

Juin 2026
Actualisé septembre 2026

Auteurs

Stéphane HIVERT
Spécialiste Cybersécurité opérationnelle

Lai LY
Spécialiste Gouvernance cyber

Pour aller plus loin, retrouvez notre série « NIS2 et PME »

NIS2 et PME #1: la responsabilité des dirigeants, ce que dit vraiment le texte

NIS2 et PME #2: l’effet domino du risque cyber fournisseur

NIS2 et PME #3: NIS2, RGPD, DORA, CRA, CER : qui couvre quoi ?

NIS2 et PME #4: quelles différences entre cybersécurité et informatique ?

Ne restez pas seul face à la complexité de NIS2.

Que vous soyez directement ou indirectement concerné,
commencez par obtenir une vision claire de vos priorités, de vos écarts
et de la feuille de route à suivre.

Tester votre niveau de préparation NIS2
gratuitement Avec un conseiller LINARIS

30 minutes • Aucun engagement • Aucun prérequis technique

Disclaimer & mentions légales

Ce contenu est mis à disposition à titre purement informatif et pédagogique. Il ne constitue en aucun cas un avis juridique, réglementaire ou un conseil en cybersécurité personnalisé pour votre entreprise, et ne saurait engager la responsabilité de l’éditeur quant à son exhaustivité. Ce guide constitue une aide à la décision pragmatique mais ne remplace pas une analyse de conformité réalisée sur mesure pour votre structure par un professionnel qualifié. Comme indiqué, les éléments présentés découlent de la directive européenne (UE) 2022/2555 et s’inscrivent dans le cadre du projet de transposition en droit français. Le paysage cyber et les textes d’application évoluant constamment, toute décision prise sur la base de cette lecture relève de la seule responsabilité du lecteur.