NIS2 et PME : ce que la directive change vraiment en 2026

De moins de 300 à plus de 15 000 entités régulées en France. La directive NIS2 fait entrer des milliers de PME dans le périmètre cyber, avec des obligations concrètes et des sanctions qui peuvent atteindre 7 millions d'euros. Ce qu'il faut comprendre, et par où commencer.

NIS2, qu'est-ce que c'est exactement ?

NIS2, pour Network and Information Security Directive 2, est la directive (UE) 2022/2555 adoptée en décembre 2022 par le Parlement européen. Elle remplace la première directive NIS de 2016, jugée insuffisante face à l'explosion des cybermenaces. Son ambition : rehausser de façon homogène le niveau de cybersécurité des entreprises et organisations qui font fonctionner les économies européennes.

Le changement d'échelle est massif. Sous NIS1, la France comptait moins de 300 « opérateurs de services essentiels » régulés. Avec NIS2, ce sont entre 10 000 et 15 000 entités qui basculent dans le périmètre, selon les estimations de l'ANSSI. Les grandes entreprises bien sûr, mais aussi — et c'est la nouveauté — un très grand nombre de PME et d'ETI dont les activités sont jugées critiques pour la société européenne.

Où en est la France au printemps 2026 ?

Le calendrier français accuse un retard notable sur l'échéance européenne. Les États membres devaient avoir transposé NIS2 dans leur droit national au plus tard le 17 octobre 2024. Comme une vingtaine d'autres pays, la France n'a pas tenu cette date. Le projet de loi dit « REN » (Résilience des activités d'importance vitale et résilience des entités critiques) a été déposé fin 2024, et son adoption définitive ainsi que la publication des décrets d'application se sont étalées sur le premier semestre 2026.

Concrètement, depuis le 24 novembre 2025, l'ANSSI met à disposition la plateforme MonEspaceNIS2. Tout dirigeant peut s'y rendre, répondre à un questionnaire d'auto-évaluation, et savoir si son entreprise relève du périmètre NIS2 — et avec quel statut. Cette pré-inscription sera transformée en enregistrement officiel dès la publication des derniers décrets. Pour les entités concernées, l'ensemble des mesures techniques, de gouvernance et d'audit doit être pleinement en place à l'horizon fin 2027, avec un dispositif de notification d'incident déjà attendu en pratique depuis début 2025.

On nous a expliqué qu'on était une entité importante. J'ai d'abord cru à une erreur. On fabrique des emballages plastiques alimentaires, on n'a rien d'un opérateur télécom. Sauf que la directive considère que tout ce qui touche à la chaîne alimentaire est sensible. Le rapport de l'auditeur faisait 42 pages.

Catherine D., dirigeante, fabricant d'emballages — 110 collaborateurs, Eure

Êtes-vous concerné ? Les deux critères qui décident

Pour savoir si une PME entre dans le périmètre NIS2, deux conditions doivent être réunies simultanément : appartenir à l'un des 18 secteurs visés par les annexes de la directive, et dépasser un seuil de taille. La directive distingue ensuite deux statuts, qui n'ont pas le même niveau d'exigence ni le même plafond de sanction.

Les secteurs hautement critiques (annexe I) — Entités essentielles

Énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC interentreprises, administration publique, espace. Une PME qui opère dans l'un de ces secteurs et dépasse 250 salariés ou 50 M€ de chiffre d'affaires sera classée comme entité essentielle (EE).

Les autres secteurs critiques (annexe II) — Entités importantes

Services postaux et de messagerie, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules), recherche, fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux). Une PME dans ces secteurs qui dépasse 50 salariés ou 10 M€ de chiffre d'affaires sera classée entité importante (EI).

Important : certaines entités sont concernées indépendamment de leur taille en raison du caractère stratégique de leur activité — fournisseurs de services DNS, registres de noms de domaine de premier niveau, ou prestataires de services de confiance qualifiés notamment.

⚠️ Attention à l'effet sous-traitance

Même si votre PME n'entre pas directement dans le périmètre NIS2, vos clients qui en relèvent vont devoir sécuriser leur chaîne d'approvisionnement numérique. Concrètement : ils auront l'obligation d'évaluer la cybersécurité de leurs fournisseurs et sous-traitants. En 2026 et 2027, attendez-vous à recevoir des questionnaires de conformité de la part de vos donneurs d'ordre — et à devoir prouver un niveau minimum de sécurité pour conserver le marché.

Les 10 obligations de l'article 21, traduites en français concret

Le cœur de NIS2, ce sont les dix mesures de gestion des risques listées à l'article 21 de la directive. Toute entité régulée — essentielle ou importante — doit les mettre en œuvre, de façon proportionnée à sa taille et à son exposition. Voici ce que cela signifie concrètement pour une PME française.

1. Analyse de risques documentée — un document écrit qui identifie les actifs critiques (données, systèmes, applications) et les scénarios d'attaque, mis à jour au moins une fois par an.

2. Plan de gestion des incidents — qui appeler, qui décide, qui parle aux clients, qui notifie l'ANSSI dans les 24 heures (alerte précoce) puis 72 heures (notification complète).

3. Continuité d'activité (PCA) et reprise après sinistre (PRA) — sauvegardes testées, procédures de bascule, plan de redémarrage chiffré en heures et en euros.

4. Sécurité de la chaîne d'approvisionnement — clauses cyber dans les contrats fournisseurs, évaluation périodique des prestataires sensibles.

5. Sécurité de l'acquisition et de la maintenance — patchs appliqués, fin de support tracée, configurations durcies (« security by design »).

6. Évaluation de l'efficacité des mesures — tests d'intrusion, audits techniques, indicateurs de pilotage rapportés au comité de direction.

7. Hygiène cyber et formation continue — sensibilisation annuelle de tous les salariés, formation spécifique des équipes IT, exercices de phishing.

8. Cryptographie et chiffrement — politique de chiffrement des données sensibles, au repos et en transit.

9. Sécurité des ressources humaines, contrôle d'accès et gestion des actifs — moindre privilège, MFA généralisée pour les accès distants et privilégiés, inventaire à jour.

10. Authentification multifactorielle, communications sécurisées et systèmes de communication d'urgence — MFA devient un standard, pas une option.

Aucune de ces mesures n'est exotique. Elles correspondent, pour l'essentiel, à ce que les bons référentiels (guide d'hygiène ANSSI, cyber-score, ISO 27001) recommandent depuis dix ans. La nouveauté de NIS2, c'est qu'elles deviennent une obligation légale, contrôlable et sanctionnable.

Aucune de ces mesures n'est exotique. La nouveauté, c'est qu'elles deviennent une obligation légale — contrôlable et sanctionnable.

Sanctions : l'addition peut être très lourde

NIS2 introduit un régime de sanctions qui n'a rien de symbolique. Pour les entités essentielles, l'amende administrative peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. À titre de comparaison, c'est un régime calqué sur celui du RGPD — avec le même esprit dissuasif.

La directive va plus loin. Son article 20 introduit la responsabilité personnelle des dirigeants : les organes de direction doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre, et suivre une formation cyber adaptée. En cas de manquement grave, des États membres pourront suspendre temporairement un dirigeant de ses fonctions exécutives. C'est une rupture culturelle : la cybersécurité quitte définitivement le bureau du DSI pour entrer en salle de comité de direction.

JF

Julien F., RSSI consultant

Cybersécurité PME / ETI — Île-de-France

« Ce qui change radicalement avec NIS2, ce n'est pas tant les mesures techniques. C'est qu'un dirigeant ne peut plus dire ''je ne savais pas, c'était l'affaire de l'informatique''. La directive lui impose de savoir, de valider et de signer. Beaucoup de patrons que j'accompagne découvrent en 2026 qu'ils ont, sans s'en rendre compte, hérité d'une nouvelle responsabilité juridique. »

Lundi matin, 7 h 45. Le DAF arrive dans son bureau et constate que ses fichiers comptables sont chiffrés. Le standard téléphonique répond dans le vide — la passerelle SIP est tombée avec le reste. Sur les écrans, une note de rançon en anglais réclame 480 000 euros en bitcoins.

À 9 h 30, le dirigeant décide d'appeler son courtier d'assurance et son avocat. Personne ne parle encore de NIS2. À 14 h, l'avocat l'interpelle : « Vous êtes une entité importante au sens de la directive. La notification à l'ANSSI doit partir dans les 24 heures. Sinon, le manquement déclaratif s'ajoute à l'incident. »

L'entreprise paiera l'incident bien au-delà de la rançon : pertes d'exploitation, restauration, communication client, et — pour la première fois en France — un dossier ouvert auprès de l'ANSSI sur la conformité ex ante de ses mesures de sécurité.

Par où commencer concrètement ?

Pour une PME qui découvre le sujet en 2026, l'ordre des priorités compte autant que les actions elles-mêmes. Voici la séquence que recommandent les experts qui accompagnent ce type de mise en conformité.

Étape 1 — Vérifier votre statut sur MonEspaceNIS2

Avant tout, faites le test. Le portail monespacenis2.cyber.gouv.fr propose un questionnaire gratuit qui détermine si votre entreprise est concernée, et avec quel statut (EE ou EI). Comptez 20 à 30 minutes. Ce n'est pas un acte engageant — c'est la première brique de toute démarche.

Étape 2 — Faire un état des lieux honnête

Sur la base des dix mesures de l'article 21, listez ce que vous faites déjà, ce que vous faites partiellement, et ce que vous ne faites pas du tout. Cet exercice prend une demi-journée avec un consultant ou un prestataire IT. Il produit une carte des écarts, qui devient votre feuille de route.

Étape 3 — Sécuriser les fondamentaux d'abord

Quatre chantiers concentrent 80 % du risque réel et figurent dans toutes les listes de l'article 21 : la MFA généralisée sur les accès distants et administrateurs, des sauvegardes 3-2-1 testées (trois copies, deux supports, une hors site), un firewall professionnel avec filtrage à jour, et une protection endpoint moderne sur tous les postes. Pour la majorité des PME, ces quatre chantiers représentent quelques milliers d'euros par an et neutralisent l'essentiel des scénarios d'attaque les plus fréquents.

Étape 4 — Mettre la gouvernance au niveau

Désignez un référent cyber, formalisez une politique de sécurité signée par la direction, planifiez une revue annuelle au comité de direction. Documentez. NIS2 ne contrôlera pas seulement vos pare-feux — la directive contrôlera vos preuves de pilotage.

Étape 5 — Préparer le plan de notification d'incident

L'obligation la plus immédiate de NIS2, c'est la notification d'incident significatif à l'ANSSI dans les 24 heures (alerte précoce) et 72 heures (rapport complet). Préparez le canevas, identifiez l'interlocuteur et la chaîne de décision avant qu'un incident ne survienne. C'est le seul point sur lequel le défaut est immédiatement visible.

📋 Check-list : 10 actions à lancer ce trimestre

✓ Tester son éligibilité sur MonEspaceNIS2

✓ Pré-enregistrer son entreprise si concernée

✓ Cartographier les actifs IT critiques (postes, serveurs, applis SaaS)

✓ Activer la MFA sur tous les accès administrateurs et distants

✓ Vérifier que les sauvegardes sont déconnectées du réseau de production

✓ Auditer le pare-feu (modèle, dernière mise à jour, abonnement actif)

✓ Désigner un référent cyber et le mentionner par écrit

✓ Préparer un canevas de notification d'incident (qui, quoi, quand, à qui)

✓ Inscrire un point « cybersécurité » récurrent au CODIR

✓ Programmer une session de sensibilisation annuelle de tout le personnel

Le rôle d'un opérateur télécom de proximité

Une mise en conformité NIS2 n'est ni un projet purement juridique, ni un projet purement technique. Elle s'appuie sur les bons outils — pare-feu professionnel, supervision réseau, sauvegardes externalisées, MFA, segmentation, journalisation — fournis par les opérateurs et intégrateurs qui maîtrisent à la fois le réseau, la téléphonie et la cybersécurité de la PME.

Chez Cybera Télécom, nous accompagnons les PME normandes, bretonnes et franciliennes sur ces fondamentaux : audit de conformité technique, déploiement de firewalls professionnels, services de sauvegarde externalisée souverains, supervision SOC pour les structures qui ne peuvent pas s'offrir une équipe sécurité interne. L'objectif n'est pas de cocher des cases — c'est de réduire concrètement la surface d'attaque tout en construisant les preuves de conformité que NIS2 va exiger.

Pour Sébastien M., le dirigeant normand cité en ouverture, l'histoire s'est terminée avec un audit cyber commandé en février 2026, un plan d'action chiffré à environ 28 000 euros sur dix-huit mois et la mise en place d'un point cyber trimestriel à son comité de direction. « Le déclic, ç'a été de comprendre que NIS2 n'était pas une formalité administrative, mais un exercice qui allait, de toute façon, finir par être imposé par mes clients donneurs d'ordre. Autant le faire en 2026 plutôt que sous la contrainte d'un appel d'offres en 2027. »