NIS2 : qui est concerné ? Guide PME 2026 (obligations)

NIS2, c’est quoi exactement ? (et ce qui change par rapport à NIS1)

La directive NIS2 (Network and Information Security 2) est le texte européen qui rehausse le niveau de cybersécurité des organisations jugées critiques pour le fonctionnement de l’économie et de la société. Elle succède à la première directive NIS de 2016, jugée trop étroite face à la multiplication des cyberattaques, des rançongiciels et des attaques via la chaîne d’approvisionnement.

Le changement d’échelle est spectaculaire. Là où NIS1 ne visait que quelques centaines d’opérateurs en France, NIS2 étend son périmètre à environ 15 000 entités françaises, réparties sur 18 secteurs critiques. Concrètement, une grande partie des PME et ETI qui n’avaient jamais entendu parler de réglementation cyber vont devoir s’y conformer. Pour comprendre le cadre global, consultez notre guide NIS2 complet.

Trois différences majeures avec NIS1 méritent d’être retenues :

• Un périmètre bien plus large : de quelques centaines à environ 15 000 entités, avec des secteurs nouveaux (agroalimentaire, gestion des déchets, fabrication, services numériques, espace…).
• Deux catégories d’entités (essentielles et importantes) au lieu d’un statut unique d’opérateur.
• La responsabilité de la direction explicitement engagée, avec des sanctions nettement plus dissuasives.

NIS2 : qui est concerné ? Seuils, secteurs et catégories

C’est LA question que se posent les dirigeants. La réponse tient à trois critères combinés : le secteur d’activité, la taille de l’entreprise, et parfois la place dans la chaîne d’approvisionnement d’un acteur régulé. Pour aller droit au but, testez si vous êtes concerné par NIS2.

Les 18 secteurs critiques

NIS2 couvre 18 secteurs qualifiés de hautement critiques ou critiques : énergie, transports, banque, marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administrations publiques, espace, services postaux, gestion des déchets, produits chimiques, agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche. Si votre activité relève de l’un d’eux, la question de la taille se pose immédiatement.

Les seuils de taille (à titre indicatif)

Autrement dit, une PME de 30 à 45 salariés peut être concernée si elle dépasse les seuils financiers ou si elle opère dans un secteur particulièrement sensible. Et même sous les seuils, une petite structure peut être visée indirectement : si vous êtes sous-traitant ou fournisseur d’une entité régulée, celle-ci vous imposera contractuellement des exigences de sécurité au titre de la chaîne d’approvisionnement.

Entité essentielle vs entité importante

La distinction n’est pas cosmétique : elle détermine l’intensité du contrôle et le plafond des sanctions.

Quand NIS2 entre-t-il en vigueur en France ? Le calendrier 2026

C’est le point le plus délicat, et le plus mal compris. Sur le plan européen, l’échéance de transposition était fixée au 17 octobre 2024. La France ne l’a pas respectée et figure parmi les quatre pays retardataires, avec l’Irlande, l’Espagne et les Pays-Bas.

En droit interne, la directive doit être transposée via le projet de loi « résilience ». Selon l’annonce de Anne Le Hénanff, ministre déléguée au numérique, le texte est désormais attendu au plus tôt en septembre 2026. Le blocage tient notamment à l’article 16 bis relatif au chiffrement, sujet politiquement sensible. En savoir plus sur l’état d’avancement de NIS2 en France.

Face à ce retard, la Commission européenne a franchi une étape en saisissant la CJUE le 8 juillet 2026, avec demande de somme forfaitaire et d’astreintes journalières. Message implicite : la France va devoir accélérer, et les entreprises ont tout intérêt à anticiper.

Quelles obligations concrètes impose NIS2 ?

NIS2 ne se contente pas de grands principes : elle liste des mesures de gestion des risques que chaque entité doit mettre en œuvre. Voici les obligations à connaître, traduites en actions concrètes.

• Analyse de risque et politique de sécurité : cartographier vos actifs, vos menaces et formaliser une politique de sécurité des systèmes d’information.
• Gestion et notification des incidents : détecter, traiter et surtout notifier à l’ANSSI — une alerte sous environ 24 h, puis un rapport sous environ 72 h.
• Continuité d’activité : sauvegardes testées, plan de reprise (PRA) et gestion de crise.
• Sécurité de la chaîne d’approvisionnement : évaluer et encadrer vos fournisseurs et sous-traitants.
• Hygiène informatique : authentification multifacteur (MFA), chiffrement, contrôle des accès, gestion des correctifs.
• Formation et sensibilisation des équipes et des dirigeants.

Pour vérifier votre écart réel avec ces exigences, un audit de conformité NIS2 est le point de départ le plus fiable.

La responsabilité du dirigeant : le vrai changement de culture

NIS2 place la gouvernance cyber au niveau de la direction. Concrètement, la direction doit approuver les mesures de gestion des risques et veiller à leur mise en œuvre. Sa responsabilité peut être engagée en cas de manquement. La cybersécurité cesse d’être « le problème de l’informatique » pour devenir un sujet de comité de direction, au même titre que la conformité financière.

Sanctions NIS2 : combien risque une PME ?

Les plafonds sont conçus pour être dissuasifs et s’alignent sur la logique du RGPD :

Au-delà de l’amende, une entité non conforme s’expose à des mesures d’exécution (injonctions, audits imposés) et à un risque réputationnel lourd auprès de ses clients — surtout si ces derniers sont eux-mêmes régulés et vous évaluent au titre de leur propre chaîne d’approvisionnement.

ISO 27001, RGPD : suis-je déjà conforme NIS2 ?

Deux idées reçues à corriger, car elles conduisent beaucoup de dirigeants à sous-estimer le chantier.

« Je suis certifié ISO 27001 »

La norme ISO 27001 est une base extrêmement utile : système de management de la sécurité, analyse de risque, mesures techniques et organisationnelles. Beaucoup d’exigences NIS2 y trouvent un écho direct. Mais une certification ISO 27001 ne vaut pas conformité NIS2 : il manque notamment les obligations de notification d’incidents à l’ANSSI dans les délais prévus, la responsabilité formelle de la direction et certains volets propres à la directive. ISO 27001 vous fait gagner du temps, elle ne vous exonère pas.

« Je suis conforme RGPD »

Le RGPD protège les données personnelles ; NIS2 protège la continuité et la sécurité des systèmes d’information. Les deux se recoupent (gouvernance, gestion des incidents, chiffrement) mais poursuivent des objectifs différents. Être conforme RGPD constitue un socle appréciable, notamment sur la culture de la donnée, mais ne couvre pas à lui seul les obligations techniques et de résilience de NIS2.

Par où commencer ? La feuille de route en 6 étapes

Inutile de tout faire d’un coup. Une démarche progressive et structurée suffit à sécuriser l’essentiel et à démontrer votre bonne foi.

1. Qualifier votre statut Déterminez votre secteur, votre taille et vos liens de sous-traitance pour savoir si vous êtes entité essentielle, importante ou concernée indirectement.
2. Réaliser une analyse de risque Cartographiez vos actifs, données et dépendances, identifiez vos menaces prioritaires.
3. Mesurer l’écart Comparez votre existant aux exigences NIS2 via un audit de conformité NIS2.
4. Traiter les fondamentaux Déployez MFA, chiffrement, sauvegardes testées, contrôle des accès et une procédure de notification d’incident.
5. Impliquer la direction Faites approuver la politique de sécurité au niveau du dirigeant et formalisez la gouvernance.
6. Sécuriser la chaîne d’approvisionnement Intégrez des clauses de sécurité à vos contrats fournisseurs et formez vos équipes.

Checklist express de démarrage

• ☐ MFA activée sur tous les accès sensibles (messagerie, VPN, admin).
• ☐ Sauvegardes régulières, isolées et testées (restauration vérifiée).
• ☐ Procédure d’incident écrite avec les délais de notification à l’ANSSI.
• ☐ Inventaire des systèmes et des fournisseurs critiques.
• ☐ Correctifs appliqués et postes à jour.
• ☐ Sensibilisation des équipes au phishing et aux bons réflexes.

Sur le coût, restons honnêtes : il dépend fortement de votre maturité de départ, de votre taille et de votre secteur. Une PME déjà équipée (sauvegardes, MFA, prestataire IT sérieux) engagera surtout un effort d’organisation et de formalisation. Une structure partant de zéro devra investir davantage dans l’outillage et l’accompagnement. La bonne nouvelle : la plupart des mesures relèvent de l’hygiène de base, rentabilisée dès la première attaque évitée.