NIS2 : une PME est-elle concernée ?

Une PME est concernée par NIS2 si son activité figure dans l’un des 18 secteurs de la directive européenne (énergie, transports, santé, services numériques, fabrication de produits critiques…) et si elle est au moins de taille moyenne : 50 personnes ou plus, ou plus de 10 millions d’euros à la fois de chiffre d’affaires et de bilan. En dessous, elle est en principe hors champ, sauf cas particuliers. Un sous-traitant d’une entité concernée peut toutefois subir des exigences indirectes. L’état de la loi française est détaillé plus bas.

Cet article vous aide à savoir si vous êtes dans le périmètre, ce qui change si vous n’y êtes pas, et quelles mesures de base valent la peine dans tous les cas.

Qu’est-ce que la directive NIS2 ?

NIS2 (écrite aussi « NIS 2 ») est le nom courant de la directive (UE) 2022/2555, adoptée en 2022 pour renforcer la cybersécurité dans l’Union européenne (définition courte dans le lexique). Elle a remplacé une première directive de 2016, dite NIS1 (directive SRI de 2016), abrogée depuis le 18 octobre 2024. Selon la page de la Commission européenne, elle élargit le champ d’application, clarifie les règles et renforce la supervision.

Pour les entités concernées, l’ANSSI présente trois obligations majeures :

• gérer les risques de cybersécurité par des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées (article 21) ;
• déclarer les incidents importants aux autorités nationales (article 23) ;
• s’enregistrer auprès de l’autorité nationale.

Un incident est « important » s’il a causé ou peut causer une perturbation grave des services ou des pertes financières pour l’entité. Il l’est aussi s’il a affecté ou peut affecter d’autres personnes en causant des dommages matériels, corporels ou moraux considérables. L’entité envoie une alerte précoce dans les 24 heures après en avoir eu connaissance. Elle envoie ensuite une notification dans les 72 heures, puis un rapport final au plus tard un mois après cette notification.

Selon l’article 20, la direction doit approuver les mesures de gestion des risques, en superviser la mise en œuvre et peut être tenue responsable d’un manquement ; ses membres doivent aussi suivre une formation. Le sujet ne se délègue donc pas entièrement au service informatique.

Une directive européenne ne s’applique pas directement aux entreprises : chaque État membre doit la transposer dans son droit national. Les États membres devaient adopter et publier leurs dispositions au plus tard le 17 octobre 2024, et les appliquer à partir du 18 octobre 2024. Le cas de la France est détaillé plus bas.

Quelles entreprises sont concernées ?

La directive distingue les entités essentielles et les entités importantes. Les deux catégories doivent appliquer les mesures minimales de gestion des risques de l’article 21. Les régimes de supervision diffèrent : les entités essentielles relèvent d’un contrôle à part entière, les entités importantes d’un contrôle plus léger, déclenché par des indices de manquement (articles 32 et 33). Les plafonds d’amende sont aussi plus élevés pour les entités essentielles (article 34). En France, l’ANSSI prévoit des exigences proportionnées, plus élevées pour les entités essentielles (FAQ de l’ANSSI sur les obligations).

Pour savoir où vous vous situez, deux critères se combinent.

1. Le secteur d’activité. La directive liste 18 secteurs dans deux annexes.

L’annexe I regroupe les secteurs hautement critiques :

• énergie, transports, secteur bancaire, infrastructures des marchés financiers ;
• santé, eau potable, eaux usées, administration publique, espace ;
• infrastructure numérique : points d’échange internet (points d’interconnexion entre réseaux), DNS (l’annuaire qui relie un nom de domaine à un serveur), registres de noms de domaine, informatique en nuage, centres de données, réseaux de diffusion de contenu (qui servent les sites au plus près des visiteurs), services de confiance (la signature électronique, par exemple), réseaux et services de communications électroniques ;
• gestion des services informatiques fournis à d’autres entreprises.

L’annexe II regroupe les autres secteurs critiques :

• services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, recherche ;
• fabrication : dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules et autres matériels de transport ;
• fournisseurs numériques : places de marché en ligne, moteurs de recherche en ligne, réseaux sociaux.

« Numérique » ne signifie donc pas toute activité en ligne : seuls les types d’entités listés sont visés.

2. La taille. La directive s’applique aux entités de ces secteurs qui sont des entreprises moyennes, ou qui dépassent les plafonds de la moyenne entreprise, au sens de la recommandation européenne 2003/361/CE. Cette recommandation retient trois critères : l’effectif, le chiffre d’affaires annuel et le total du bilan annuel.

• Une microentreprise occupe moins de 10 personnes, avec un chiffre d’affaires annuel ou un total de bilan annuel d’au plus 2 millions d’euros.
• Une petite entreprise occupe moins de 50 personnes, avec un chiffre d’affaires annuel ou un total de bilan annuel d’au plus 10 millions d’euros.
• Une entreprise moyenne occupe moins de 250 personnes, avec un chiffre d’affaires annuel d’au plus 50 millions d’euros ou un total de bilan annuel d’au plus 43 millions d’euros. Elle n’est ni micro ni petite : elle a donc 50 personnes ou plus, ou plus de 10 millions d’euros à la fois de chiffre d’affaires et de bilan.

Une entreprise de 250 personnes ou plus dépasse les plafonds de la moyenne entreprise, tout comme celle dont le chiffre d’affaires dépasse 50 millions d’euros et le bilan 43 millions : la directive la vise aussi.

Les chiffres sont ceux du dernier exercice comptable clôturé. Un seuil franchi ne change la catégorie que s’il l’est deux exercices de suite. Si votre entreprise appartient à un groupe, on additionne entièrement les données des entreprises liées, dans les deux sens : celles que vous contrôlez et celle qui vous contrôle. Les données des entreprises partenaires (participation d’au moins 25 %, sans contrôle) s’ajoutent au prorata de cette participation. Selon la FAQ de l’ANSSI sur les seuils, ces critères sont calculés sur l’ensemble des activités de l’entité, et pas seulement sur l’activité listée.

Quelle que soit leur taille, la directive vise plusieurs services : les réseaux et services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS et les entités qui fournissent des services d’enregistrement de noms de domaine.

Un État membre peut aussi désigner une entité d’un secteur listé, même petite, dans trois cas : elle est le seul prestataire d’un service essentiel dans le pays, la perturbation de son service pourrait avoir un impact important sur la sécurité ou la santé publiques ou créer un risque systémique important, ou elle est critique à l’échelle nationale ou régionale.

Ce tableau reste un repère de lecture : la qualification exacte dépend du texte de la directive et, en France, de la loi de transposition ; elle relève de l’entité elle-même. Pour une première estimation, l’ANSSI propose le Simulateur NIS2 sur sa plateforme MesServicesCyber. Ce test est indicatif : il ne remplace ni l’analyse juridique de l’entité, ni l’enregistrement auprès de l’ANSSI.

Un point mérite attention : l’annexe I vise la « gestion des services TIC (interentreprises) » (TIC : technologies de l’information et de la communication). Cela concerne les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés.

Selon l’article 6, point 39, de la directive, un fournisseur de services gérés installe, gère, exploite ou entretient des produits, réseaux, infrastructures ou applications informatiques (ou d’autres réseaux et systèmes d’information) pour ses clients. Il le fait par une assistance ou une administration active, dans leurs locaux ou à distance. Un fournisseur de services de sécurité gérés (point 40) est un fournisseur de services gérés qui réalise ou assiste des activités de gestion des risques de cybersécurité.

Une entité qui administre activement des systèmes pour le compte de ses clients peut donc se poser la question de son classement. L’ANSSI rappelle que c’est à elle de déterminer sa catégorie.

Où en est la transposition en France ?

La France n’avait pas transposé la directive à la date limite du 17 octobre 2024. Le texte français est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il couvre trois blocs :

• le titre Ier transpose la directive sur la résilience des entités critiques ;
• le titre II transpose NIS2 ;
• le titre III concerne le secteur financier (règlement DORA, sur la résilience numérique de ce secteur).

Au 2 novembre 2026, la loi n’est pas promulguée. Le Sénat a adopté le projet en mars 2025 et la commission spéciale de l’Assemblée nationale en septembre 2025, mais l’Assemblée ne l’a pas encore examiné en séance publique (dossier législatif de l’Assemblée nationale, dossier législatif du Sénat). Les étapes utiles, dans l’ordre :

• 15 octobre 2024 : dépôt du projet de loi au Sénat, avec procédure accélérée (une seule lecture par assemblée avant l’accord final) ;
• 11 et 12 mars 2025 : examen et adoption par le Sénat en séance publique ;
• 10 septembre 2025 : adoption du texte par la commission spéciale de l’Assemblée nationale ;
• 8 juillet 2026 : la Commission européenne décide de saisir la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas pour défaut de transposition complète de NIS2. Elle avait adressé à la France une mise en demeure le 28 novembre 2024, puis un avis motivé le 7 mai 2025 (dernière étape avant la saisine de la Cour), et demande des sanctions financières (communiqué du 8 juillet 2026) ;
• 22 septembre 2026 : la Conférence des présidents de l’Assemblée nationale, qui fixe l’ordre du jour, inscrit le projet aux séances des 7 et 9 octobre (relevé du 22 septembre) ;
• 6 octobre 2026 : retrait du projet des séances des 7 et 9 octobre (relevé du 6 octobre) ;
• 27 octobre 2026 : en séance, le ministre de l’Économie explique que la place a été laissée au projet de loi sur les violences sexistes et sexuelles, et dit vouloir examiner la transposition « dès que possible ». Le même jour, la Conférence des présidents arrête un ordre du jour qui court jusqu’au 20 novembre 2026 sans ce texte (relevé du 27 octobre).

Aucune nouvelle date n’est donc fixée à ce jour. La prochaine Conférence des présidents se tient le 3 novembre 2026 : l’ordre du jour de l’Assemblée peut changer rapidement.

Ce qui reste à venir : l’examen en séance publique à l’Assemblée nationale, puis une éventuelle commission mixte paritaire (sept députés et sept sénateurs) pour s’accorder sur un texte commun. Viennent ensuite la promulgation, puis les décrets et arrêtés d’application.

Devant la commission spéciale, la ministre chargée du numérique a annoncé le 1er octobre 2026 viser une mise en conformité « à l’horizon de la fin de l’année 2028 », avec des décrets du titre II qui demanderont sept à neuf mois (compte rendu de l’audition). Ce sont des objectifs, pas des échéances inscrites dans une loi. À notre connaissance, aucun décret d’application n’est publié au 2 novembre 2026.

La FAQ de l’ANSSI sur l’avancement de la transposition, mise à jour le 19 septembre 2025 et non actualisée depuis, précise deux choses. D’abord, NIS2 entrera en vigueur en France lorsque l’ensemble des textes (loi, décrets, arrêtés) auront été promulgués. Ensuite, cette date d’entrée en vigueur ne correspond pas à la date d’application de toutes les exigences.

L’ANSSI rappelle aussi que le projet de loi peut encore être modifié par le Parlement. Sa page NIS2 invite les futures entités à s’engager dès à présent, avec un service de pré-enregistrement en ligne.

Enfin, la Commission européenne a proposé le 20 janvier 2026 des modifications ciblées de la directive (proposition COM(2026) 13). Ce n’est qu’une proposition : au 2 novembre 2026, la fiche du Parlement européen la signale en attente de décision en commission, donc non adoptée.

Elle laisse intacte la règle de taille de l’article 2 (entreprise moyenne ou plus). Selon le résumé du Parlement européen, elle ferait toutefois sortir du champ les micro et petits fournisseurs de services DNS. Les « petites entreprises à moyenne capitalisation » (moins de 750 personnes, avec un chiffre d’affaires d’au plus 150 millions d’euros ou un bilan d’au plus 129 millions d’euros) de l’annexe I seraient en règle générale classées comme entités importantes. Certains points de cet article pourraient donc évoluer si elle est adoptée.

Que faire quand on n’est pas concerné directement ?

Être hors périmètre ne veut pas dire être à l’abri. Deux situations se rencontrent.

Vous êtes sous-traitant ou fournisseur d’une entité concernée. Parmi les mesures que la directive impose figure la sécurité de la chaîne d’approvisionnement, c’est-à-dire ce que vos fournisseurs et prestataires font pour protéger vos données (article 21, paragraphe 2, point d). Concrètement :

• l’entité régulée doit tenir compte des vulnérabilités de chaque fournisseur direct et de la qualité de ses pratiques de cybersécurité, et la directive l’encourage à prévoir des mesures de cybersécurité dans ses contrats ;
• elle peut donc vous demander un questionnaire de sécurité, des clauses contractuelles ou des preuves de pratiques de base ;
• dans la version de travail de son référentiel, l’ANSSI prévoit qu’elle dresse la liste de ses prestataires informatiques, s’assure que leur prestation respecte ses obligations et le vérifie périodiquement ; ce référentiel peut encore être ajusté ;
• la proposition de janvier 2026 prévoit que la Commission publie des lignes directrices sur ces demandes, pour éviter que des obligations pèsent indûment sur des entités hors champ ; ce texte n’est pas adopté.

Sa demande vient donc de ses obligations, pas d’un caprice.

Vous hésitez sur votre qualification. Commencez par le simulateur de l’ANSSI, puis relisez les annexes de la directive. L’ANSSI rappelle qu’il revient à chaque entité de faire sa propre analyse juridique. En cas de doute sérieux, un avis juridique est préférable à une supposition.

Pour répondre sereinement à un client, préparez à l’avance un petit dossier :

1. la liste de vos outils et prestataires qui touchent à ses données ;
2. la description de vos sauvegardes et de leur test de restauration ;
3. la manière dont vous protégez les comptes (double authentification, droits limités) ;
4. votre procédure en cas d’incident et la personne à prévenir ;
5. la date de votre dernier contrôle de sécurité.

Rien de tout cela n’est réservé aux grandes structures. Si vous voulez qu’un tiers contrôle ces points, un audit de sécurité du site ou un accompagnement cybersécurité peut documenter vos pratiques auprès de votre client. L’audit aboutit à un rapport daté et priorisé que vous pouvez lui présenter ; la conformité à NIS2 relève de l’entité régulée. L’audit de sécurité de site démarre à partir de 390 € HT et le Pentest Essentiel, test d’intrusion d’une application web simple, à partir de 2 490 € HT, prix finaux fixés sur devis selon le périmètre. Le premier échange est gratuit et nous répondons sous 24 h.

Quelles mesures de base comptent de toute façon ?

La directive demande des mesures adaptées et proportionnées au risque. Parmi les mesures de l’article 21 figurent notamment la continuité d’activité (dont les sauvegardes), la cyberhygiène et la formation, le traitement des vulnérabilités, l’authentification multifacteur et la sécurité de la chaîne d’approvisionnement. Le tableau ci-dessous les relie à un article ou à une page du site.

Un dernier point : si votre entreprise utilise l’intelligence artificielle, un autre texte européen s’ajoute. Notre article sur l’AI Act et les obligations des PME explique le calendrier.

Repères vérifiés le 2 novembre 2026 : directive (UE) 2022/2555 et recommandation 2003/361/CE (textes publiés au Journal officiel de l’Union européenne), Commission européenne, page sur NIS2 et communiqué du 8 juillet 2026, ANSSI, page NIS2, ANSSI, FAQ sur l’avancement de la transposition, Sénat, dossier législatif, Assemblée nationale, dossier législatif et relevés de la Conférence des présidents.

FAQ

Une TPE de quelques salariés est-elle soumise à NIS2 ?

En principe non : selon l’ANSSI, les entités concernées seront pour l’essentiel des moyennes et grandes entreprises, des collectivités territoriales et des administrations. Il existe des exceptions, quelle que soit la taille, pour certains services (communications électroniques publiques, services de confiance, noms de domaine et DNS), et un État membre peut désigner d’autres entités. Le Simulateur NIS2 de l’ANSSI donne une estimation indicative.

Quelle est la différence entre entité essentielle et entité importante ?

Les deux catégories doivent appliquer les mesures minimales de gestion des risques de l’article 21. Elles se distinguent par le secteur et la taille, par le régime de supervision (articles 32 et 33) et par les plafonds d’amende (article 34), plus élevés pour les entités essentielles. En France, l’ANSSI prévoit des exigences proportionnées, plus élevées pour les entités essentielles.

La loi française est-elle en vigueur ?

Non. Au 2 novembre 2026, le projet a été adopté par le Sénat (12 mars 2025) et par la commission spéciale de l’Assemblée nationale (10 septembre 2025), mais l’Assemblée ne l’a pas encore voté en séance publique ; son examen a été retiré de l’ordre du jour le 6 octobre 2026. Vérifiez l’état du texte sur le site de l’Assemblée nationale avant toute décision.

Mon client m’envoie un questionnaire de sécurité NIS2 : dois-je répondre ?

Vous n’y êtes pas tenu par la loi si vous êtes hors périmètre, mais votre client régulé doit tenir compte de la sécurité de ses fournisseurs : il peut donc en faire une condition du contrat. Répondre honnêtement, avec des preuves simples, vaut mieux que promettre des mesures que vous n’avez pas.

Faut-il attendre la loi pour agir ?

Non. Les mesures de base (double authentification, sauvegardes isolées, mises à jour, sensibilisation) protègent votre activité dès maintenant, et ce sont des pratiques qu’un client soumis à la directive peut vous demander de documenter. Les mettre en place avant la loi laisse aussi le temps de rassembler des preuves simples, comme la liste de vos prestataires ou un test de restauration.

---

Quelle que soit la date d’entrée en vigueur de la loi, vos clients et vos partenaires peuvent déjà poser ces questions. Pour faire le point sur vos accès, vos sauvegardes et votre site, écrivez-nous depuis la page contact, sans joindre de mot de passe ni de document sensible.