La directive NIS2 est la directive européenne (UE) 2022/2555 qui fixe un niveau commun de cybersécurité dans l’Union. Adoptée le 14 décembre 2022 par le Parlement européen et le Conseil, elle remplace la directive NIS de 2016 et élargit fortement son périmètre. Selon l’ANSSI, elle concernera des milliers d’entités en France. Son critère de taille (dès 50 salariés) fait entrer de nombreuses entreprises moyennes dans son champ. Son texte officiel est publié sur EUR-Lex.
Pour une PME, trois questions se posent : suis-je concerné, que dois-je faire concrètement et à partir de quand ? La troisième est la plus délicate, car la loi française de transposition n’est toujours pas adoptée en octobre 2026.
Qui est concerné par NIS2 ?
Une organisation est concernée par NIS2 si elle exerce dans l’un des 18 secteurs listés par la directive et si elle atteint au moins la taille d’une entreprise moyenne. Les deux critères sont cumulatifs, à quelques exceptions près.
Le critère de taille
La directive s’applique aux entreprises qui ne sont pas des petites entreprises au sens européen, c’est-à-dire qui emploient au moins 50 personnes, ou dont le chiffre d’affaires annuel et le total de bilan dépassent tous deux 10 millions d’euros. Certaines activités sont visées quelle que soit la taille : fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance qualifiés ou encore entités désignées par l’État en raison de leur rôle unique dans un secteur.
Les secteurs visés
Les annexes de la directive distinguent deux groupes :
- Secteurs hautement critiques (annexe I) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques (dont l’informatique en nuage et les centres de données), gestion des services TIC entre entreprises, administration publique et espace
- Autres secteurs critiques (annexe II) : services postaux, gestion des déchets, produits chimiques, production et distribution alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche
Entités essentielles et entités importantes
NIS2 classe les organisations concernées en deux catégories. Les entités essentielles sont, en principe, les grandes entreprises (250 salariés ou plus, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions d’euros de bilan) des secteurs de l’annexe I, ainsi que certaines entités désignées. Les entités importantes regroupent les autres organisations visées, notamment les entreprises moyennes des deux annexes. C’est cette seconde catégorie qui concerne le plus de PME.
Pour vérifier votre situation, l’ANSSI propose un simulateur « Suis-je concerné ? » sur MonEspaceNIS2. La définition précise du périmètre français dépendra toutefois du texte finalement adopté.
Où en est la transposition de NIS2 en France ?
Au 8 octobre 2026, la France n’a pas encore transposé NIS2. Le projet de loi qui doit le faire a été adopté par le Sénat, mais l’Assemblée nationale ne l’a pas encore examiné en séance publique. Le délai de transposition fixé par la directive avait expiré le 17 octobre 2024.
Le texte porteur est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive sur la résilience des entités critiques et une partie du règlement DORA pour le secteur financier. Son parcours, retracé par le dossier législatif du Sénat et celui de l’Assemblée nationale, est le suivant :
- 15 octobre 2024 : dépôt au Sénat, avec engagement de la procédure accélérée
- 12 mars 2025 : adoption par le Sénat en première lecture
- 10 septembre 2025 : adoption du texte par la commission spéciale de l’Assemblée nationale
- 6 octobre 2026 : la Conférence des présidents retire le texte de l’ordre du jour de la séance prévue le 7 octobre
Aucune nouvelle date n’est fixée à ce jour. Après le vote de l’Assemblée, le texte devra encore faire l’objet d’un accord entre les deux chambres, puis de décrets d’application qui fixeront notamment les modalités d’enregistrement auprès de l’ANSSI et les délais de mise en conformité. Ces étapes peuvent évoluer : vérifiez l’état du dossier avant toute décision engageante.
En attendant, l’ANSSI publie sur sa page consacrée à NIS2 le Référentiel Cyber France (ReCyF), mis à disposition le 17 mars 2026 comme document de travail. Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2.
Quelles sont les obligations concrètes de NIS2 ?
NIS2 impose trois familles d’obligations : gérer les risques de cybersécurité, notifier les incidents importants et impliquer la direction. Elles sont identiques pour les entités essentielles et importantes. Seuls la supervision et le niveau des sanctions diffèrent.
Gérer les risques (article 21)
La directive exige des mesures techniques, opérationnelles et organisationnelles proportionnées aux risques, selon une approche « tous risques ». Elle cite au minimum :
- une analyse des risques et des politiques de sécurité des systèmes d’information
- la gestion des incidents
- la continuité d’activité : sauvegardes, reprise après sinistre, gestion de crise
- la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs
- la sécurité de l’acquisition, du développement et de la maintenance des systèmes, dont la gestion des vulnérabilités
- l’évaluation de l’efficacité des mesures
- l’hygiène informatique de base et la formation
- l’usage de la cryptographie et du chiffrement
- la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs
- l’authentification multifacteur et des communications sécurisées
Notifier les incidents importants (article 23)
Un incident est « important » lorsqu’il cause ou peut causer une perturbation grave des services ou des pertes financières pour l’entité, ou des dommages considérables à d’autres personnes. Sa notification suit trois échéances :
- 24 heures après en avoir pris connaissance : une alerte précoce, qui précise si l’incident semble malveillant ou avoir un impact transfrontière
- 72 heures : une notification d’incident avec une première évaluation de sa gravité et de son impact
- un mois après la notification : un rapport final décrivant l’incident, sa cause probable et les mesures prises
En France, ces notifications seront adressées à l’ANSSI. Ce calendrier suppose d’avoir défini à l’avance qui détecte, qui qualifie et qui notifie.
Impliquer la direction (article 20)
Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation en cybersécurité. Ils peuvent être tenus responsables des manquements. La cybersécurité cesse ainsi d’être un sujet délégué au seul prestataire informatique.
Quelles sanctions prévoit NIS2 ?
NIS2 prévoit des amendes administratives dont le plafond est d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et d’au moins 7 millions d’euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (article 34).
Ce sont des plafonds minimaux que la loi française devra reprendre ou dépasser. Les montants exacts dépendront du texte adopté. Pour les entités essentielles, la directive permet aussi, en dernier recours, d’interdire temporairement à un dirigeant d’exercer des fonctions de direction.
Comment une PME peut-elle se préparer dès maintenant ?
Une PME peut se préparer sans attendre la loi en commençant par vérifier son statut, puis en traitant les mesures qui seront exigées quel que soit le texte final. La plupart relèvent de bonnes pratiques déjà recommandées par l’ANSSI.
- Qualifier votre situation avec le simulateur MonEspaceNIS2 : secteur, taille, appartenance à un groupe
- Inventorier vos actifs et vos fournisseurs critiques : logiciels, hébergeurs et infogérants, avec le droit auquel chacun est soumis
- Mesurer votre niveau actuel face au ReCyF, par exemple avec notre diagnostic de souveraineté et de sécurité numérique pour un premier état des lieux
- Activer les mesures de base : authentification multifacteur, sauvegardes hors ligne testées, gestion des droits d’accès, mises à jour
- Écrire une procédure d’incident compatible avec les délais de 24 heures, 72 heures et un mois, puis la tester
- Former la direction et formaliser son approbation des mesures
- Revoir vos contrats fournisseurs : clauses de sécurité, notification des incidents, réversibilité
NIS2 et souveraineté numérique : quel lien ?
NIS2 n’impose pas d’héberger ses données en Europe, mais elle rend obligatoire la maîtrise des risques liés aux fournisseurs. La juridiction de vos prestataires devient ainsi une question de conformité. Un hébergeur ou un éditeur soumis au droit américain expose ses clients aux demandes d’accès prévues par le CLOUD Act. C’est un risque à identifier et à documenter.
L’article 22 de la directive prévoit d’ailleurs des évaluations coordonnées, au niveau européen, des risques pesant sur les chaînes d’approvisionnement critiques, en tenant compte de facteurs techniques et, le cas échéant, non techniques. Pour les données les plus sensibles, un hébergeur qualifié SecNumCloud apporte des garanties de sécurité et de protection contre les lois extra-européennes, détaillées dans notre guide SecNumCloud pour les données sensibles. Pour replacer NIS2 dans le cadre plus large du RGPD et de l’AI Act, voir notre définition de la souveraineté numérique et de ses enjeux et la fiche NIS2 de notre lexique.
Chez bontrain, nous accompagnons des PME du Grand-Ouest sur ce double sujet : cartographier les dépendances numériques, puis migrer les briques critiques vers des logiciels souverains hébergés en France. Pour savoir par où commencer, le plus simple reste de mesurer votre exposition avec notre diagnostic gratuit.