Directive NIS2 2026 : guide conformité cybersécurité pour les PME françaises

En octobre 2022, le Parlement européen adoptait la directive NIS2. Deux ans plus tard, des milliers d'organisations françaises découvrent qu'elles sont désormais soumises à des obligations de cybersécurité contraignantes — avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Pour les PME habituées à gérer leur sécurité informatique avec une politique de bon sens et un antivirus, c'est un choc culturel. Ce guide détaille ce que NIS2 impose vraiment, qui est concerné, et comment aborder la mise en conformité sans se noyer.

Qu'est-ce que la directive NIS2 et pourquoi les PME françaises sont concernées

NIS2 (Network and Information Security Directive, version 2) succède à la directive NIS1 de 2016. Sa philosophie est radicalement différente de son prédécesseur : là où NIS1 ne ciblait que quelques centaines d'opérateurs d'importance vitale, NIS2 élargit le filet à environ 10 000 entités en France selon les estimations de l'ANSSI — contre moins de 500 auparavant.

Le raisonnement européen est simple : les cyberattaques ne frappent plus seulement les grands groupes. Les PME sous-traitantes, les fournisseurs de logiciels, les prestataires de services numériques sont devenus des cibles privilégiées précisément parce que leur niveau de protection est plus faible. La chaîne de valeur économique est aussi solide que son maillon le plus faible — et NIS2 oblige les maillons intermédiaires à se renforcer.

La transposition française est pilotée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Un projet de loi nationale a été soumis au Parlement en 2024-2025, et le calendrier d'application s'étale progressivement avec des périodes de grâce sectorielles. Mais l'attentisme est risqué : les audits et les premières mises en demeure ont déjà commencé dans certains secteurs prioritaires.

Concrètement, NIS2 repose sur quatre piliers : la gouvernance des risques, les mesures de sécurité techniques, la gestion des incidents, et la sécurité de la chaîne d'approvisionnement. Ce n'est pas une checklist à cocher une fois par an — c'est un système de management de la sécurité continu, documenté et auditlable.

Quelles entreprises sont dans le périmètre NIS2

NIS2 distingue deux catégories d'entités, avec des obligations légèrement différentes :

Entités essentielles (EE) : énergie (électricité, gaz, pétrole, hydrogène), transports (aérien, ferroviaire, maritime, routier), secteur bancaire et infrastructures de marchés financiers, santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux), eau potable et eaux usées, infrastructure numérique (points d'échange internet, DNS, registres de noms de domaine, cloud, datacenters, réseaux et services de communications électroniques), gestion des services TIC B2B, administration publique, espace.

Entités importantes (EI) : services postaux et de courrier, gestion des déchets, fabrication, production et distribution de produits chimiques, production, transformation et distribution de denrées alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, machines, véhicules automobiles, autres équipements de transport), fournisseurs numériques (marchés en ligne, moteurs de recherche, réseaux sociaux, services de cloud computing B2B), organismes de recherche.

Le critère de taille est déterminant : plus de 50 salariés OU plus de 10 M€ de CA pour les entités importantes. Pour les entités essentielles, le seuil est plus de 250 salariés ou plus de 50 M€ de CA — mais certaines catégories (infrastructure numérique, administration publique) sont soumises à NIS2 quelle que soit leur taille.

Un point souvent méconnu : même si votre entreprise ne remplit pas les critères ci-dessus, vous pouvez être indirectement concerné via la chaîne d'approvisionnement. Si vous êtes prestataire ou sous-traitant d'une entité NIS2, cette dernière a l'obligation de vérifier votre niveau de sécurité et peut vous imposer contractuellement ses exigences.

Les 10 mesures techniques obligatoires sous NIS2

L'article 21 de la directive NIS2 liste les domaines dans lesquels des mesures de sécurité appropriées et proportionnées doivent être mises en œuvre. En pratique, cela se traduit par 10 catégories d'actions :

1. Politique de sécurité des systèmes d'information : document formel, validé par la direction, décrivant les objectifs, responsabilités et procédures de sécurité.
2. Gestion des risques : cartographie des actifs critiques, analyse des menaces et vulnérabilités, plan de traitement des risques mis à jour annuellement.
3. Gestion des incidents : procédure documentée de détection, qualification, réponse et notification des incidents de sécurité.
4. Continuité des activités : plan de continuité (PCA) et plan de reprise (PRA) testés régulièrement, incluant les sauvegardes et la restauration des systèmes.
5. Sécurité de la chaîne d'approvisionnement : évaluation des fournisseurs critiques, clauses contractuelles de sécurité, audit des sous-traitants exposés.
6. Sécurité lors de l'acquisition, du développement et de la maintenance : prise en compte de la sécurité dans les projets IT dès la conception (Security by Design).
7. Évaluation de l'efficacité des mesures : tests de pénétration, audits de sécurité, tableaux de bord et indicateurs de sécurité (KPI).
8. Pratiques de base en matière de cyberhygiène : mise à jour régulière des systèmes, gestion des accès (MFA, principe du moindre privilège), sauvegardes, protection contre les malwares.
9. Politiques et procédures relatives à la cryptographie : chiffrement des données sensibles au repos et en transit, gestion des clés cryptographiques.
10. Sécurité des ressources humaines : sensibilisation et formation obligatoire des employés, contrôle des accès selon les rôles, gestion des départs.

Pour les PME qui partent de zéro, les points 8 (cyberhygiène) et 1 (politique de sécurité) constituent les fondations sur lesquelles tout le reste s'appuie. Sur la sécurisation des systèmes Linux très répandus dans les infrastructures, le guide sécurité Linux : pare-feu, SSH et mises à jour détaille les configurations pratiques à mettre en œuvre.

Délais de conformité et sanctions

La transposition française a prévu une approche progressive. L'ANSSI a identifié plusieurs vagues de mise en conformité selon les secteurs. Les entités des secteurs les plus critiques (énergie, eau, santé) sont en première ligne, les secteurs importants bénéficiant de délais supplémentaires. En pratique, la fenêtre de conformité complète est estimée à 2 à 5 ans selon la catégorie.

Les sanctions pour non-conformité sont graduées :

• Entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel total.
• Entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du CA mondial.
• Mesures correctives obligatoires, audits imposés, publication des manquements (name-and-shame).
• Responsabilité personnelle des dirigeants en cas de faute caractérisée.

La responsabilité des dirigeants est une nouveauté majeure par rapport à NIS1. Les PDG, DG et membres du conseil d'administration peuvent être tenus personnellement responsables si l'organisation n'a pas mis en œuvre les mesures de sécurité appropriées. Cela change profondément la dynamique interne : la cybersécurité n'est plus une question IT, c'est une question de gouvernance d'entreprise.

La notification d'incident en 24h/72h

L'une des obligations les plus opérationnellement exigeantes de NIS2 est le régime de notification des incidents. En cas d'incident de sécurité ayant un impact significatif sur la prestation de services, les entités ont l'obligation de :

• Dans les 24 heures : notifier l'ANSSI d'une alerte précoce (signalement initial, même partiel).
• Dans les 72 heures : transmettre une notification d'incident avec évaluation initiale de la gravité, de l'impact et des mesures prises.
• Dans le mois suivant : soumettre un rapport final incluant la cause racine, les mesures correctives et les enseignements tirés.

Le seuil de significativité est défini par l'impact sur la disponibilité, l'intégrité ou la confidentialité des services. Un ransomware bloquant vos systèmes de production pendant 6 heures est typiquement un incident NIS2. Une tentative de phishing bloquée par votre antispam ne l'est probablement pas.

Pour les PME, cette obligation révèle souvent un vide organisationnel : qui est responsable de qualifier un incident ? Qui a le pouvoir de déclencher la notification ? Ces questions doivent être répondues dans le plan de gestion des incidents avant qu'un incident ne survienne. Les menaces cyber évoluent vite — notre dossier sur les cyberattaques par IA qui ciblent les PME françaises montre comment les attaquants exploitent précisément les failles des petites structures.

NIS2 et RGPD : comment aligner les deux obligations

Beaucoup d'organisations subissent NIS2 comme une contrainte supplémentaire qui s'ajoute au RGPD. En réalité, les deux cadres sont conçus pour se compléter, et une approche intégrée permet de rationaliser considérablement les efforts.

Points de convergence :

• Les deux imposent une analyse des risques documentée.
• La notification d'incident RGPD (72h à la CNIL) est similaire à la notification NIS2 (72h à l'ANSSI).
• Les deux exigent des contrats avec les sous-traitants incluant des clauses de sécurité.
• La sensibilisation des employés est requise dans les deux cadres.

Différences fondamentales :

• Le RGPD protège les données personnelles des individus. NIS2 protège la résilience des systèmes des organisations.
• Le RGPD s'applique dès le premier euro de CA et le premier salarié (selon l'activité). NIS2 a des seuils de taille.
• Le RGPD est géré par la CNIL. NIS2 est géré par l'ANSSI.

La stratégie recommandée : s'appuyer sur votre Registre des activités de traitement (RAT) RGPD comme point de départ de la cartographie des actifs NIS2. Vos données personnelles sont souvent stockées dans vos systèmes les plus critiques — identifier où elles se trouvent couvre une grande partie de l'inventaire NIS2.

Budget NIS2 : combien coûte la mise en conformité pour une PME

La question du budget est celle qui revient systématiquement dans les comités de direction. La réponse varie énormément selon la maturité de départ, mais des fourchettes indicatives permettent de calibrer les efforts :

PME de 50-100 salariés partant de zéro :

• Audit initial et cartographie des risques : 5 000 à 15 000 euros (prestataire externe).
• Mise en œuvre des mesures de base (MFA, sauvegarde sécurisée, EDR, segmentation réseau) : 15 000 à 40 000 euros.
• Formation des employés : 2 000 à 8 000 euros par an.
• Documentation et procédures : 3 000 à 10 000 euros (rédaction + validation légale).
• Accompagnement RSSI externe (RSSI as a Service) : 1 500 à 4 000 euros par mois.
• Budget total première année : 30 000 à 80 000 euros, avec 20 000 à 40 000 euros de charges récurrentes annuelles.

Ces chiffres paraissent élevés mais doivent être mis en perspective avec le coût d'une cyberattaque. En France, le coût moyen d'un incident ransomware pour une PME est estimé entre 50 000 et 250 000 euros (arrêt de production, rançon, reconstruction IT, perte de clients, atteinte à la réputation). La conformité NIS2 est aussi une assurance opérationnelle.

Pour les PME qui ne peuvent pas se permettre un RSSI à temps plein, le modèle RSSI as a Service (vRSSI) est une alternative viable : un expert en cybersécurité intervient 2 à 5 jours par mois pour piloter le programme NIS2 de l'entreprise. Notre interview avec Sarah Maubert, RSSI freelance spécialisée PME, détaille précisément comment cette formule fonctionne en pratique.

Désigner un correspondant NIS2 : rôle, missions, compétences requises

NIS2 n'impose pas formellement la désignation d'un RSSI (Responsable de la Sécurité des Systèmes d'Information) à temps plein. Mais elle exige que la direction soit impliquée dans la gouvernance de la sécurité et que des responsabilités claires soient définies. En pratique, les organisations désignent un "correspondant NIS2" ou "référent cybersécurité".

Ce référent doit être capable de :

• Piloter la cartographie des risques et mettre à jour annuellement.
• Coordonner la réponse aux incidents et déclencher la notification ANSSI dans les délais requis.
• Assurer le suivi de la conformité et préparer les audits.
• Gérer la relation avec les prestataires de sécurité (SOC, PRIS, auditeurs).
• Former et sensibiliser les collaborateurs.
• Maintenir les plans de continuité et de reprise à jour.

Dans une PME sans DSI structurée, c'est souvent le responsable informatique existant qui prend ce rôle, avec une formation complémentaire. Les certifications les plus reconnues dans ce contexte sont : ISO 27001 Lead Implementer, CISSP (Certified Information Systems Security Professional), CEH (Certified Ethical Hacker) ou la certification ANSSI "Expert en Cybersécurité". Le CLUSIF propose également des formations spécifiques NIS2 adaptées aux structures moyennes.

Les 5 erreurs à éviter dans votre démarche NIS2

1. Attendre la loi française définitive avant de commencer
La transposition nationale est en cours de finalisation, mais les obligations de fond ne changeront pas significativement par rapport à la directive européenne. Attendre la loi nationale, c'est prendre du retard sans bénéfice réel.

2. Confondre NIS2 avec une certification ISO 27001
NIS2 et ISO 27001 ne sont pas équivalentes, bien qu'elles partagent des éléments communs. Une certification ISO 27001 existante est valorisée par l'ANSSI, mais ne constitue pas une conformité NIS2 complète. En particulier, les obligations de notification d'incident et de gestion de la chaîne d'approvisionnement ont des spécificités NIS2.

3. Traiter NIS2 comme un projet IT et non comme une transformation de gouvernance
La directive impose des obligations à la direction, pas uniquement au DSI. Les COMEX qui délèguent NIS2 entièrement à l'informatique s'exposent à une non-conformité sur les volets gouvernance et responsabilité des dirigeants.

4. Négliger la chaîne d'approvisionnement
C'est l'angle mort le plus fréquent. Un fournisseur non sécurisé peut compromettre toute votre infrastructure. NIS2 impose d'évaluer vos fournisseurs critiques et de contractualiser des exigences de sécurité. Sur les techniques de manipulation utilisées par les attaquants pour cibler les sous-traitants, notre analyse de la cyberinfluence et des deepfakes en 2026 illustre comment les chaînes d'approvisionnement deviennent des vecteurs d'attaque.

5. Acheter de la technologie sans construire les processus
Un EDR dernier cri ou un SIEM sophistiqué ne servent à rien si personne ne les surveille et si aucune procédure de réponse aux incidents n'existe. NIS2 valorise les processus documentés autant que les outils. Commencez par les procédures, choisissez ensuite les outils adaptés.

Ressources et accompagnements disponibles

Les organisations françaises disposent de plusieurs ressources pour aborder NIS2 :

ANSSI (Agence nationale de la sécurité des systèmes d'information)
L'ANSSI est l'autorité nationale de supervision NIS2. Elle publie des guides, des outils d'évaluation et des référentiels. Son portail dédié NIS2 propose notamment un outil d'auto-évaluation de périmètre et des guides sectoriels. L'ANSSI labellise également les prestataires PRIS (Prestataires de Réponse aux Incidents de Sécurité) qui peuvent vous accompagner.

CLUSIF (Club de la Sécurité de l'Information Français)
Le CLUSIF est l'association professionnelle de référence en cybersécurité en France. Il propose des formations, des groupes de travail sectoriels et des publications NIS2 adaptées aux PME.

Cybermalveillance.gouv.fr
Pour les PME TPE, la plateforme gouvernementale offre des ressources d'auto-évaluation, des guides pratiques accessibles et un annuaire de prestataires de confiance dans toute la France.

ISAC sectoriels
Les Information Sharing and Analysis Centers (ISAC) sont des structures de partage des menaces spécifiques à chaque secteur (santé, énergie, finance, etc.). Rejoindre l'ISAC de votre secteur permet d'accéder à des informations sur les menaces en temps réel et de bénéficier de l'expérience collective.

Pour consolider votre maîtrise du vocabulaire réglementaire et technique, notre lexique de la cybersécurité 2026 — 50 termes essentiels vous aidera à décoder les communications de l'ANSSI et les rapports d'audit.

NIS2 n'est pas une menace à fuir mais une opportunité : les organisations qui engagent sérieusement leur mise en conformité renforcent leur résilience opérationnelle, améliorent leur posture face aux cybermenaces croissantes et gagnent un avantage concurrentiel vis-à-vis de leurs clients et partenaires qui auront à vérifier leur niveau de sécurité.