NIS2 (Network and Information Security 2) est une directive européenne entrée en vigueur en 2023, qui élargit considérablement le champ des obligations de cybersécurité par rapport au texte précédent de 2016. En France, elle doit être transposée par une loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité : le texte a été adopté par le Sénat en mars 2025, examiné en commission spéciale à l'Assemblée nationale (travaux achevés en septembre 2025), avec un examen en séance attendu à l'automne 2026. La France, comme la majorité des États membres, a dépassé l'échéance de transposition initiale d'octobre 2024, ce qui a valu à plusieurs pays une procédure d'infraction ouverte par la Commission européenne fin 2024.
Concrètement, environ 15 000 entités françaises seront directement concernées, sous la supervision de l'ANSSI (à l'exception du secteur financier, encadré par l'ACPR et l'AMF via le règlement DORA). L'ANSSI a déjà publié en mars 2026 son référentiel ReCyF, qui traduit les obligations NIS2 en objectifs de sécurité concrets : 20 objectifs pour les entités dites « essentielles », 15 pour les entités « importantes ».
Qui est directement concerné ?
NIS2 ne s'applique pas à toutes les entreprises. Elle vise les entreprises de taille moyenne (50 à 249 salariés) et grande (250 salariés et plus, ou plus de 50M€ de chiffre d'affaires), actives dans une liste sectorielle précise : énergie, transport, banque, infrastructures de marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, administration publique, espace (secteurs « hautement critiques »), ainsi que services postaux, gestion des déchets, chimie, agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, automobile), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche (secteurs « critiques »). Une petite entreprise de moins de 50 salariés hors de ces secteurs n'entre donc généralement pas dans le périmètre direct.
Le vrai risque pour les plus petites structures : l'effet de ruissellement
C'est le point le plus souvent ignoré. NIS2 impose aux entités concernées de sécuriser leur chaîne d'approvisionnement — ce qui signifie qu'une grande entreprise soumise à NIS2 doit désormais s'assurer que ses prestataires et sous-traitants respectent eux aussi un niveau de sécurité minimal. Concrètement, une PME qui travaille comme fournisseur, prestataire informatique ou sous-traitant d'une entité NIS2 peut se voir demander des garanties de sécurité (audit, questionnaire, certification) sans être elle-même directement régulée. C'est déjà une pratique en développement chez les grands donneurs d'ordre, avant même l'entrée en vigueur définitive du texte.
Une nouveauté importante : la responsabilité personnelle du dirigeant
NIS2 introduit un principe qui change la donne : les organes de direction doivent approuver et superviser eux-mêmes les mesures de gestion des risques cyber, et peuvent être tenus personnellement responsables en cas de manquement grave. La cybersécurité cesse d'être un sujet purement technique délégué à un prestataire informatique — elle devient un sujet de gouvernance, au même titre que la conformité financière.
Que peut faire une PME dès maintenant, concernée ou non ?
- Savoir précisément quelle surface de son site est exposée publiquement (configuration, composants, versions) — c'est la première question que pose tout questionnaire de sécurité fournisseur.
- Mettre en place une procédure simple de gestion des correctifs et des mises à jour.
- Documenter une démarche de vérification régulière, plutôt qu'un contrôle ponctuel — un audit unique ne suffit pas à démontrer une gestion continue du risque.
- Se rapprocher d'un conseil spécialisé pour une analyse précise de son propre statut réglementaire — cet article présente le cadre général, pas un diagnostic juridique de votre situation.
Que votre entreprise soit directement visée par NIS2 ou simplement fournisseur d'une entité qui l'est, la première étape reste la même : savoir où vous en êtes réellement. Un scan de sécurité gratuit avec CYBERIA donne en quelques minutes un premier état des lieux technique, sans engagement.