À PROPOS FORMATIONS PRESTATIONS BLOG CONTACT

NIS2 : votre PME est-elle concernée ?

— 14 min de lecture #NIS2 #Conformité #PME

NIS2 est la directive européenne qui étend les obligations de cybersécurité à des dizaines de milliers d'organisations qui n'étaient soumises jusqu'ici à aucune obligation de cybersécurité. En France, on passe d'environ 500 infrastructures critiques régulées sous NIS1 à près de 15 000 entités essentielles et importantes, auxquelles s'ajoutent près de 1 500 collectivités territoriales et groupements. Le nombre de secteurs régulés passe de 6 à 18.

Traduction pour un dirigeant de PME : il y a de vraies chances que votre entreprise soit concernée, directement ou par ricochet, sans que personne ne vous l'ait jamais dit.

Cet article répond à une seule question, la première qu'il faut trancher :

Suis-je dans le champ ?

Les obligations qui en découlent et les sanctions encourues feront l'objet d'un second article. Tout ce qui suit est sourcé : les règles dans le texte même de la directive, dont les références d'articles sont indiquées, et les chiffres français dans les documents du Sénat et de l'ANSSI cités en fin d'article. Vous pouvez contrôler chaque point.

NIS2, c'est quoi exactement ?

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022, publiée au Journal officiel de l'Union européenne du 27 décembre 2022 et est entrée en vigueur le 16 janvier 2023, soit le vingtième jour suivant sa publication (article 45).

Elle remplace la première directive NIS, adoptée en 2016 et abrogée avec effet au 18 octobre 2024 (article 44). Le bilan de cette première version était sévère : un périmètre étroit, des règles appliquées différemment d'un pays à l'autre, et rien sur la sécurité de la chaîne d'approvisionnement — devenue entre-temps une porte d'entrée privilégiée des attaquants.

Une directive n'est pas une loi

C'est le point que tout le monde escamote, et il commande tout le reste.

Une directive européenne s'adresse aux États membres, pas directement aux entreprises. Elle fixe un résultat à atteindre ; chaque État le traduit ensuite dans son droit national. Les obligations qui s'imposeront à votre PME ne seront donc pas celles de la directive telle quelle, mais celles de la loi française de transposition et de ses décrets d'application.

Les critères de champ d'application décrits ci-dessous sont donc ceux du cadre européen. Ils donnent la bonne grille de lecture, et le projet de loi français retient les mêmes catégories d'entités essentielles et importantes, mais les seuils définitifs seront ceux du texte promulgué.

Où en est la France ?

C'est la question qu'on nous pose le plus souvent, et la réponse surprend toujours.

Les États membres devaient adopter et publier leurs textes de transposition au plus tard le 17 octobre 2024, pour application au 18 octobre 2024 (article 41). La France ne l'a pas fait dans les délais. Le véhicule législatif choisi est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose d'un seul coup trois directives européennes : REC, NIS2 et DORA.

Son parcours, tel qu'il figure au dossier législatif de l'Assemblée nationale :

Depuis, le texte n'a jamais été examiné en séance publique à l'Assemblée nationale. Fin août 2026, la loi n'est toujours pas promulguée et aucun examen en séance ne figure au dossier.

Il serait tentant d'en conclure qu'il n'y a rien à faire. C'est l'erreur à ne pas commettre, pour trois raisons :

  1. Le contenu de la directive est connu et stable depuis 2022. Ce qui reste en discussion, ce sont les modalités françaises — seuils exacts, montants, calendrier — pas les mesures de fond.
  2. Les délais de mise en conformité, une fois les textes publiés, se compteront en mois. C'est notre lecture, pas une certitude : la France accuse déjà près de deux ans de retard sur l'échéance européenne, ce qui plaide mal en faveur de délais de grâce généreux.
  3. L'ANSSI a déjà publié sa cible. Le Référentiel Cyber France (ReCyF), dont la version de travail 2.5 date du 17 mars 2026, est le référentiel mentionné à l'article 14 du projet de loi. Il comporte deux niveaux qu'il ne faut pas confondre : d'un côté 20 objectifs de sécurité, dont l'atteinte sera obligatoire, fixée par le décret pris en application de cet article 14 — les objectifs 1 à 15 s'appliquant aux entités importantes comme essentielles, les objectifs 16 à 20 aux seules entités essentielles ; de l'autre des moyens acceptables de conformité proposés par l'ANSSI pour atteindre ces objectifs, eux non obligatoires, mais qu'une entité qui décide de les appliquer pourra invoquer pour démontrer qu'elle atteint les objectifs. La cible est donc déjà écrite ; seule sa valeur juridique attend le décret.

Première question : mon secteur est-il listé ?

L'annexe I de la directive liste 11 secteurs dits hautement critiques :

L'annexe II en liste 7 autres, dits critiques :

Deux remarques de terrain sur cette liste.

D'abord, le sous-secteur « gestion des services TIC (interentreprises) », à l'annexe I, vise nommément les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés. Beaucoup de sociétés informatiques régionales y figurent sans l'avoir réalisé. À taille de PME, cela ne change rien au statut — elles seront des entités importantes, comme à l'annexe II ; l'annexe I ne fait la différence qu'au-dessus des seuils des grandes entreprises, où elle fait basculer en entité essentielle.

Ensuite, la fabrication couvre à l'annexe II des activités très banales, définies par renvoi à la nomenclature NACE : produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules. Un industriel qui ne s'est jamais pensé comme un acteur « critique » peut parfaitement y figurer.

Deuxième question : est-ce que je dépasse les seuils ?

La directive s'applique aux entités des annexes I et II qui constituent des entreprises moyennes au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui dépassent ces plafonds (article 2, paragraphe 1, de la directive). Traduit en tableau, en croisant la taille et le type de secteur :

Situation de l'entité Secteur de l'annexe I Secteur de l'annexe II
250 salariés ou plus, ou chiffre d'affaires supérieur à 50 M€ et bilan supérieur à 43 M€ Entité essentielle Entité importante
50 salariés ou plus, ou chiffre d'affaires et bilan supérieurs à 10 M€, sans atteindre la ligne précédente Entité importante Entité importante
Moins de 50 salariés et chiffre d'affaires ou bilan n'excédant pas 10 M€ Hors champ, sauf cas ci-dessous Hors champ, sauf cas ci-dessous

Ces seuils ne sortent pas de la directive elle-même : ils viennent de l'annexe de la recommandation 2003/361/CE à laquelle elle renvoie, et ils se lisent au mot près.

D'abord, de quoi parle-t-on exactement ?

Et surtout : un dépassement ne compte que s'il dure. Franchir un seuil, dans un sens ou dans l'autre, ne fait acquérir ni perdre la qualité de petite ou moyenne entreprise que si le dépassement se produit sur deux exercices consécutifs (article 4 de l'annexe). Une bonne année isolée ne vous fait donc pas basculer dans le champ de NIS2 — et une mauvaise année ne vous en sort pas.

Ceci posé, trois pièges classiques.

Le « et » financier. Pour entrer dans le champ par le seul critère financier, il faut dépasser 10 M€ de chiffre d'affaires et 10 M€ de bilan. Une entreprise de 30 personnes réalisant 12 M€ de chiffre d'affaires mais dont le bilan atteint 6 M€ reste une petite entreprise au sens de l'article 2 de cette annexe : elle n'est pas assujettie au titre de sa taille. Même logique en haut du tableau, où la bascule en entité essentielle suppose de dépasser 50 M€ de chiffre d'affaires et 43 M€ de bilan — ou, indépendamment de tout montant, d'atteindre 250 salariés.

Les entreprises liées. L'effectif et les montants ne s'apprécient pas toujours sur vos seuls comptes. Les données d'une entreprise partenaire — celle qui détient 25 % ou plus de votre capital ou de vos droits de vote sans vous contrôler, mais aussi celle dont vous détenez 25 % ou plus — s'ajoutent aux vôtres au prorata de la participation ; celles d'une entreprise liée, qui détient la majorité des droits de vote ou exerce une influence dominante, s'ajoutent en totalité (articles 3 et 6 de l'annexe). Une filiale de vingt personnes dans un groupe de mille peut donc être assujettie.

L'exception écartée. L'annexe prévoit qu'une entreprise détenue à 25 % ou plus par des organismes publics n'est pas une PME (article 3, paragraphe 4). La directive écarte expressément cette règle (article 2, paragraphe 1) : pour NIS2, une société d'économie mixte s'apprécie donc à sa taille réelle, comme les autres.

Ces réserves faites, le cas courant reste simple : une PME de 60 personnes dans un secteur listé est presque toujours une entité importante. La différence avec le statut d'entité essentielle n'est pas cosmétique : les entités essentielles font l'objet d'une supervision qui peut être exercée a priori, quand les entités importantes ne sont contrôlées qu'a posteriori, au vu d'éléments laissant penser à un manquement (articles 32 et 33). L'ANSSI estime à environ 2 000 le nombre d'entreprises privées françaises qui seront essentielles.

Une réserve, formulée par la commission spéciale du Sénat elle-même : la directive définit les seuils par exclusion, le projet de loi français les définit positivement, et cet écart reste source d'incompréhension. Les critères définitifs seront ceux de la loi promulguée et de ses décrets.

Troisième question : suis-je dans un cas où la taille ne compte pas ?

C'est l'angle mort le plus fréquent, et celui qui fait basculer des structures qui se croyaient tranquilles. La directive s'applique quelle que soit la taille de l'entité dans plusieurs situations (article 2, paragraphes 2 à 4), notamment :

Les États membres peuvent en outre étendre le dispositif aux administrations publiques locales et aux établissements d'enseignement, en particulier lorsqu'ils mènent des activités de recherche critiques (article 2, paragraphe 5). C'est précisément ce que fait le projet de loi français, qui inclut près de 1 500 collectivités territoriales, groupements de collectivités et organismes placés sous leur tutelle.

Et si je suis hors champ ? L'effet ricochet

Même hors champ, vous pouvez être rattrapé par la sécurité de la chaîne d'approvisionnement. Les entités assujetties doivent tenir compte des vulnérabilités propres à chacun de leurs fournisseurs et prestataires directs, et de la qualité globale de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé (article 21, paragraphe 3).

Concrètement, ça vous arrive sous forme de questionnaire sécurité avant renouvellement de contrat, de clauses ajoutées à un marché, ou d'audit demandé par un donneur d'ordre. Vous n'êtes pas assujetti, mais votre client l'est, et il doit pouvoir en répondre.

Et la menace, elle, ne fait pas le tri : d'après le panorama de la cybermenace 2023 de l'ANSSI, cité par le Sénat, 34 % des attaques par rançongiciel recensées cette année-là visaient des TPE et PME, et 24 % des collectivités territoriales.

Ce que vous pouvez faire dès maintenant

Sans attendre la promulgation, trois choses utiles quel que soit votre statut :

  1. Tranchez la question du champ d'application : secteur d'annexe, effectif, chiffre d'affaires, bilan, et les cas où la taille est indifférente. Écrivez la conclusion et sa justification. Le jour où un client ou un contrôleur pose la question, cette page vous fait gagner des semaines.
  2. Faites l'inventaire de vos actifs. On ne protège pas ce qu'on ne connaît pas : serveurs, postes, applications SaaS, accès distants, comptes à privilèges, prestataires disposant d'un accès à votre système.
  3. Regardez le ReCyF de l'ANSSI, objectif par objectif : conforme, partiel, absent. Vous obtenez une feuille de route hiérarchisée plutôt qu'une liste de courses.

Un second article détaillera la suite : les dix mesures de sécurité exigées, l'obligation d'enregistrement, les délais de notification des incidents, la responsabilité des dirigeants et le régime des sanctions.

Chez OOB-Security, nous accompagnons les PME et collectivités des Pays de la Loire sur ce chemin : audit de votre niveau de sécurité, formation de vos équipes et de vos dirigeants, puis mise en conformité progressive.

Sources

Article vérifié le 28 août 2026 contre les textes cités ci-dessus. Il présente le cadre européen à titre d'information et ne constitue pas un conseil juridique : les obligations qui s'imposeront à votre organisation seront celles de la loi française de transposition et de ses décrets. Nous mettons cette page à jour à chaque étape franchie.

Une question sur votre situation ? Parlons-en. Un échange de trente minutes suffit généralement à savoir si vous êtes concerné et par quoi commencer.

Photographie de Quentin Francheteau
Rédigé par Quentin Francheteau
Fondateur d'OOB-Security, formateur et consultant en cybersécurité à Angers.
Un besoin en cybersécurité ? Parlons-en