Conformité

NIS2 et PME : qui est concerné, ce qui va changer, et où en est la France

Équipe Cyber-Guard · 2026-10-14 · 8 min de lecture

La directive européenne NIS2 renforce les obligations de cybersécurité de milliers d'entreprises. Elle devait s'appliquer dans toute l'Union au 17 octobre 2024, mais la France ne l'a toujours pas transposée. Voici ce qu'il faut savoir pour une PME, que vous soyez directement concerné ou fournisseur d'une entreprise qui l'est.

Où en est la loi française

Au 14 octobre 2026, NIS2 n'est pas encore applicable en France. Le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », qui la transpose, a été adopté par le Sénat en mars 2025, puis par une commission spéciale de l'Assemblée nationale en septembre 2025. Son examen en séance, prévu le 7 octobre 2026, a été reporté la veille, sans nouvelle date. En parallèle, la Commission européenne a saisi la Cour de justice de l'Union européenne en juillet 2026 pour ce retard.

Une fois la loi votée, il faudra encore des décrets d'application pour fixer les délais et les modalités. L'ANSSI a annoncé une mise en œuvre progressive. En attendant, elle met déjà à disposition un simulateur d'éligibilité et un référentiel de mesures de sécurité.

Votre entreprise est-elle concernée ?

Deux critères se cumulent : votre secteur et votre taille.

Le secteur d'abord. NIS2 couvre 18 secteurs, dont l'énergie, les transports, la santé, l'eau, les infrastructures et services numériques, la gestion des services informatiques pour d'autres entreprises, l'administration publique, mais aussi les services postaux, la gestion des déchets, la chimie, l'agroalimentaire, la recherche et une partie de l'industrie (dispositifs médicaux, électronique, machines, véhicules).

La taille ensuite. Sont visées les entreprises moyennes et grandes de ces secteurs :

• Entité importante : à partir de 50 salariés, ou plus de 10 millions d'euros à la fois de chiffre d'affaires et de bilan.
• Entité essentielle : en général les grandes entreprises des secteurs les plus critiques, à partir de 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et 43 millions de bilan.

Les plus petites entreprises sont en principe exclues, sauf exceptions (certains fournisseurs de services DNS ou de confiance, ou entités désignées par l'État). Le simulateur de l'ANSSI, sur MesServicesCyber, permet de vérifier votre cas.

Ce que NIS2 va demander

Les entités concernées devront s'enregistrer auprès de l'ANSSI, puis :

• Mettre en place des mesures de gestion des risques : analyse de risques, gestion des incidents, continuité d'activité, sécurité des systèmes et des réseaux, contrôle des accès, chiffrement, authentification multifacteur, formation du personnel.
• Maîtriser la sécurité de leurs fournisseurs et prestataires.
• Déclarer les incidents importants : une alerte précoce sous 24 heures, une notification sous 72 heures, un rapport final sous un mois.
• Impliquer la direction : les dirigeants approuvent les mesures, suivent une formation et peuvent voir leur responsabilité engagée.

Les sanctions prévues par la directive vont jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions ou 1,4 % pour les entités importantes. Les montants applicables en France seront fixés par la loi.

Petite entreprise hors périmètre : pourquoi vous serez quand même concerné

C'est le point que beaucoup de PME découvrent tard. Les entreprises soumises à NIS2 doivent s'assurer de la sécurité de leur chaîne d'approvisionnement. Concrètement, si vous êtes prestataire, sous-traitant ou fournisseur informatique d'une entreprise concernée, attendez-vous à recevoir des questionnaires de sécurité et des clauses contractuelles nouvelles. Être capable d'y répondre deviendra un argument commercial.

Par où commencer, sans attendre la loi

1. Vérifiez votre éligibilité avec le simulateur de l'ANSSI.
2. Faites un premier état des lieux gratuit avec MonAideCyber, le dispositif de l'ANSSI destiné aux PME : un aidant cyber vous accompagne en environ une heure et demie.
3. Corrigez les bases techniques visibles depuis internet : chiffrement HTTPS, configuration du serveur, protection des emails contre l'usurpation. Ce sont les premières choses qu'un client ou un auditeur regardera.

CyberGuard ne certifie pas la conformité NIS2. Il vérifie en revanche en 2 minutes ces mesures techniques de base, du certificat SSL aux en-têtes de sécurité et à la protection des emails, et vous explique comment corriger chaque point.