La directive européenne NIS2 renforce les obligations de cybersécurité de milliers d’entreprises et de collectivités. En France, la loi qui doit la transposer n’est pas encore votée, mais les questions arrivent déjà chez les dirigeants de PME : sommes-nous concernés ? Que faut-il faire, et quand ? Voici l’état des lieux à la mi-octobre 2026, et ce qu’il est utile de faire dès maintenant, que votre entreprise soit concernée ou non.
NIS2 en bref
NIS2 est la directive (UE) 2022/2555, qui remplace la première directive NIS de 2016. Elle élargit fortement le nombre d’organisations soumises à des règles de cybersécurité : là où NIS visait surtout quelques centaines d’opérateurs de services essentiels, NIS2 couvre dix-huit secteurs d’activité et les entreprises moyennes de ces secteurs. Les États membres devaient la transposer avant le 17 octobre 2024.
Où en est la loi en France
En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Le Sénat l’a adopté en première lecture le 12 mars 2025. À l’Assemblée nationale, son examen prévu début octobre 2026 a été retiré de l’ordre du jour le 6 octobre, sans nouvelle date à ce jour.
Concrètement, il n’existe donc pas encore d’obligation NIS2 en vigueur en France. Une fois la loi votée, des décrets préciseront les seuils, les secteurs et le calendrier, et l’ANSSI, désignée autorité compétente, accompagnera la mise en conformité. Pendant l’examen parlementaire, l’ordre de grandeur avancé était d’environ 15 000 entités concernées en France, dont des collectivités.
Qui sera concerné
D’après la directive, sont visées les entités moyennes et grandes des secteurs listés : à partir de 50 salariés, ou de plus de 10 millions d’euros de chiffre d’affaires annuel et de total de bilan. Les petites entreprises en sont en principe exclues, sauf cas particuliers (fournisseur unique d’un service essentiel, certains services numériques).
Les secteurs couvrent notamment l’énergie, les transports, la santé, l’eau, les infrastructures numériques, l’administration publique, la gestion des déchets, la fabrication de certains produits (dispositifs médicaux, électronique, machines, véhicules), l’agroalimentaire, la chimie, les services postaux et les fournisseurs numériques. Selon leur taille et leur secteur, les entités sont classées « essentielles » ou « importantes ».
Pour les collectivités, le projet de loi vise notamment les régions, les départements et les communes de plus de 30 000 habitants, ainsi que certaines intercommunalités. Le texte peut encore évoluer d’ici son adoption.
Ce que NIS2 demande
- Des mesures de gestion des risques : analyse des risques, sécurité des systèmes, gestion des incidents, continuité d’activité et sauvegardes, contrôle des accès, chiffrement, double authentification, formation.
- La notification des incidents importants : une alerte précoce dans les 24 heures, une notification dans les 72 heures, puis un rapport final.
- L’implication de la direction : les dirigeants approuvent les mesures, en suivent la mise en œuvre et se forment.
- La sécurité de la chaîne d’approvisionnement : chaque entité concernée doit tenir compte de la sécurité de ses fournisseurs et prestataires.
La directive prévoit des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes. Le projet de loi français prévoit des règles propres pour les collectivités.
Votre PME n’est pas concernée ? Elle le sera par ses clients
C’est le point le plus important pour une petite entreprise. Une entité soumise à NIS2 doit vérifier la sécurité de ses fournisseurs. Si vous êtes sous-traitant, prestataire ou fournisseur d’un hôpital, d’une collectivité, d’un industriel ou d’un transporteur, attendez-vous à recevoir des questionnaires de sécurité, des clauses dans vos contrats ou des demandes de preuves : sauvegardes, mises à jour, gestion des accès, procédure en cas d’incident.
Les entreprises qui pourront répondre avec des mesures réelles et documentées auront un avantage commercial ; les autres risquent d’être écartées des appels d’offres.
Ce qu’il est utile de faire dès maintenant
Inutile d’attendre la loi pour commencer : les mesures de base de NIS2 sont celles qui protègent n’importe quelle entreprise.
- Faites le point. Le test de cybersécurité gratuit donne une première idée en deux minutes ; un audit gratuit la vérifie sur votre installation.
- Sécurisez les comptes. Double authentification sur la messagerie, sur Microsoft 365 et sur les accès à distance ; droits d’administrateur limités.
- Protégez vos données. Sauvegarde automatique avec une copie hors de votre réseau, et restauration testée : voyez notre sauvegarde externalisée.
- Fermez les portes. Mises à jour suivies, antivirus surveillé, pare-feu professionnel : c’est ce que couvre notre offre de cybersécurité.
- Préparez la réaction. Une fiche réflexe en cas d’incident, avec les numéros à appeler, et une équipe sensibilisée aux messages piégés.
- Documentez. Notez ce qui est en place et qui le suit : c’est ce que vous demanderont vos clients, et demain l’ANSSI si vous êtes concerné.
Nous suivrons l’adoption de la loi et de ses décrets ; cet article sera mis à jour à chaque étape.
Où en est votre entreprise ? Faites notre test de cybersécurité gratuit en deux minutes, ou parlez-en avec un expert : un membre de l’équipe vous rappelle.
