Qu’est-ce que la directive NIS2, concrètement ?
NIS2 (Network and Information Security 2) est une directive européenne adoptée en décembre 2022, qui vient remplacer et durcir une première version datant de 2016. L’objectif affiché par Bruxelles est simple à énoncer, moins simple à atteindre : relever le niveau de cybersécurité minimum dans l’ensemble de l’Union, parce que les attaques contre les PME et leurs sous-traitants se sont multipliées ces dernières années et qu’elles fragilisent toute la chaîne économique, pas seulement l’entreprise visée.
En France, la transposition de cette directive dans la loi se fait en plusieurs étapes et prend du retard par rapport au calendrier européen initial (la directive aurait dû être transposée dès octobre 2024). Le projet de loi dit « résilience » a été adopté par le Sénat en mars 2025, puis examiné en commission à l’Assemblée nationale à l’automne 2025, avant de poursuivre son parcours parlementaire. Concrètement, cela veut dire que le texte français définitif n’est pas encore totalement stabilisé au moment où nous écrivons ces lignes — mais que les grandes lignes, elles, sont connues depuis longtemps et ne devraient pas bouger fondamentalement. Autrement dit : ce n’est pas le moment d’attendre la publication au Journal officiel pour commencer à s’y intéresser.
Qui est réellement concerné ? Entités essentielles et entités importantes
C’est le point que beaucoup de dirigeants de PME comprennent mal, souvent parce qu’ils confondent NIS2 avec DORA. NIS2 distingue deux catégories d’entreprises assujetties : les entités essentielles (au moins 250 salariés, ou un chiffre d’affaires supérieur à 50 millions d’euros et un bilan supérieur à 43 millions) opérant dans des secteurs hautement critiques (énergie, transport, banque, santé, eau, infrastructures numériques, administrations publiques, espace), et les entités importantes (à partir de 50 salariés, ou 10 millions d’euros de chiffre d’affaires et de bilan) dans ces mêmes secteurs ainsi que dans d’autres secteurs critiques (chimie, déchets, industrie manufacturière, agroalimentaire, fournisseurs de services numériques, recherche, services postaux).
Si votre entreprise compte moins de 50 salariés et un chiffre d’affaires sous les 10 millions d’euros, vous êtes en principe hors du champ direct de NIS2. Mais voilà le piège auquel peu de dirigeants pensent : même une PME non directement visée peut se retrouver concernée par ricochet, parce que l’un de ses clients ou donneurs d’ordre, lui, est soumis à NIS2. La directive impose explicitement aux entités assujetties de sécuriser leur chaîne d’approvisionnement, ce qui se traduit très concrètement par des clauses contractuelles de cybersécurité imposées à leurs sous-traitants et fournisseurs informatiques.
Les obligations concrètes qu’impose NIS2
Une fois qu’une entreprise entre dans le champ de la directive, les obligations touchent aussi bien la gouvernance que la technique. Les organes de direction doivent eux-mêmes être formés aux enjeux de cybersécurité, approuver les mesures mises en place et peuvent voir leur responsabilité personnelle engagée en cas de manquement grave.
Sur le plan technique, l’article 21 de la directive liste un socle de mesures minimales : analyse et gestion des risques, politique de gestion des incidents, plans de continuité d’activité et de sauvegarde, sécurisation de la chaîne d’approvisionnement, gestion des vulnérabilités, formation et hygiène numérique de base, usage de la cryptographie, gestion des accès et authentification multifacteur.
En cas d’incident de sécurité significatif, l’entreprise doit le signaler à l’ANSSI (via le CERT-FR) selon un calendrier précis : une alerte précoce dans les 24 heures suivant la détection, une notification plus complète dans les 72 heures, puis un rapport final dans le mois qui suit.
Que risque-t-on en cas de non-conformité ?
Les sanctions prévues par NIS2 ne sont pas symboliques. Pour les entités essentielles, l’amende peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, le montant le plus élevé des deux étant retenu. Pour les entités importantes, le plafond est de 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial. L’ANSSI, qui sera l’autorité de contrôle en France, dispose aussi de pouvoirs d’audit, d’injonction et, dans les cas les plus graves, peut aller jusqu’à proposer la suspension temporaire des fonctions de direction.
Comment savoir si mon entreprise est concernée ?
L’ANSSI met à disposition, sur son portail MesServicesCyber (messervices.cyber.gouv.fr), un simulateur en ligne gratuit qui permet de répondre à quelques questions sur votre secteur d’activité, votre effectif et votre chiffre d’affaires pour savoir si vous êtes potentiellement entité essentielle, entité importante, ou hors champ. Au-delà du simulateur, posez-vous une question complémentaire : vos principaux clients sont-ils eux-mêmes dans un secteur régulé (santé, énergie, finance, collectivités) ? Si oui, il y a de bonnes chances que la question de votre propre conformité cyber remonte un jour dans un cahier des charges ou un audit fournisseur.
Et si mon entreprise n’est pas concernée du tout ?
Même en l’absence d’obligation légale, l’essentiel des mesures listées par NIS2 — authentification multifacteur, sauvegardes testées, gestion des accès, procédure de réaction aux incidents — recoupe très largement les bonnes pratiques de cybersécurité qu’on recommande de toute façon à n’importe quelle PME aujourd’hui, directive ou pas. La vraie question n’est donc peut-être pas « suis-je légalement obligé ? » mais « est-ce que mon niveau de protection actuel tiendrait si un incident survenait demain ? ».
Le sujet NIS2 est encore en mouvement en France. Si vous avez un doute sur votre situation ou si vous souhaitez vous faire accompagner vers la conformité NIS2, nos équipes peuvent faire le point avec vous et vous aider à mettre en place les mesures attendues.
FBI Services peut vous accompagner vers la conformité NIS2
Chez FBI Services, nous pouvons vous aider à y voir clair sur votre situation face à NIS2 et à mettre en place concrètement les mesures attendues : évaluation de votre niveau de sécurité actuel, gestion des accès et authentification multifacteur, politique de sauvegarde, procédure de réaction aux incidents. Que vous soyez directement concerné ou simplement amené à rassurer un client qui l’est, c’est un accompagnement qui s’inscrit naturellement dans notre offre de cybersécurité.
Comment FBI Services peut vous accompagner
Si le simulateur de l’ANSSI indique que votre entreprise est concernée, ou si vous préférez simplement sécuriser votre système d’information en amont, nos équipes peuvent vous accompagner dans votre mise en conformité NIS2 : audit de votre niveau de sécurité actuel au regard des exigences de l’article 21, mise en place des mesures techniques manquantes (authentification multifacteur, sauvegardes testées, gestion des accès), et sécurisation de votre chaîne de sous-traitance si vous fournissez vous-même une entité régulée. N’hésitez pas à nous solliciter pour en discuter.
Pour en savoir plus, consultez notre page Cybersécurité.
Une question sur votre informatique ? Parlons-en.
Contactez-nous