La question posée par un dirigeant de PME est presque toujours binaire : « suis-je concerné par NIS2 ? ». La réponse l’est rarement. Elle est le plus souvent : « pas directement, et cela ne changera pas grand-chose ». Voici pourquoi.
La directive impose aux entités qu’elle régule de maîtriser la sécurité de leur chaîne d’approvisionnement. Une entreprise qui fournit une entité régulée hérite donc d’exigences — non par la loi, mais par le contrat qui la lie à son client.
Ce que la directive prévoit
Adoptée en 2022, la directive dite NIS 2 succède à un texte de 2016 qui ne visait qu’un nombre restreint d’opérateurs. Elle élargit considérablement le champ, distingue deux catégories d’entités et relève le niveau d’exigence.
- les entités essentielles, dans les secteurs jugés hautement critiques — énergie, transports, santé, eau, banque, infrastructures numériques, administrations
- les entités importantes, dans des secteurs critiques plus larges — production, agroalimentaire, gestion des déchets, services postaux, fabrication, services numériques
L’appartenance combine un secteur d’activité et un critère de taille. Les seuils européens de référence sont ceux de la moyenne entreprise : cinquante salariés et dix millions d’euros de chiffre d’affaires ou de bilan pour entrer dans le champ, deux cent cinquante salariés ou cinquante millions pour relever de la catégorie la plus exigeante.
Des exceptions existent, indépendantes de la taille, pour des activités dont la défaillance aurait des conséquences majeures.
Où en est la transposition française
Une directive ne s’applique pas directement : elle doit être transposée. En France, cette transposition s’opère par une loi dite de résilience, qui porte simultanément trois textes européens — sécurité des réseaux, résilience des entités critiques, et résilience opérationnelle du secteur financier.
Le dispositif se complète ensuite par décrets et arrêtés qui fixent les listes sectorielles, les seuils retenus, les modalités d’enregistrement auprès de l’autorité nationale et le calendrier des contrôles. C’est ce second étage qui rend les obligations opposables.
Conséquence pratique pour une entreprise : la date qui compte n’est pas celle de la directive, ni même celle de la loi, mais celle des textes d’application qui la désignent. Tant qu’ils ne sont pas parus, le calendrier reste indicatif — et il est prudent de vérifier l’état des publications plutôt que de se fier à un article, y compris celui-ci.
Une obligation qui n’est pas encore opposable arrive quand même — par le cahier des charges de votre client.
Ce que la chaîne de sous-traitance change
C’est le mécanisme le plus sous-estimé. Une entité régulée doit apprécier et gérer les risques liés à ses fournisseurs directs. Elle ne peut le faire qu’en le leur demandant.
- un questionnaire de sécurité à remplir, souvent en phase d’appel d’offres, et devenu éliminatoire
- des clauses contractuelles : notification d’incident dans un délai court, droit d’audit, exigences sur les sous-traitants ultérieurs
- des preuves plutôt que des déclarations : politique écrite, registre des incidents, essais de restauration datés
Une PME peut donc se voir imposer, par contrat, des obligations proches de celles d’une entité régulée, sans jamais figurer dans aucune liste. Le refus de répondre se paie en perte de marché, pas en amende.
Ce qu’une entreprise hors périmètre a intérêt à faire
Rien qui ressemble à un projet de conformité. Quatre éléments suffisent à répondre à la majorité des questionnaires, et ils ont une utilité propre indépendamment de NIS2 :
- savoir qui appeler en cas d’incident, et sous quel délai prévenir un client
- disposer d’une sauvegarde restaurée au moins une fois, avec la date de l’essai
- tenir la liste des accès à privilèges, avec un nom en face de chacun
- avoir écrit, sur deux pages, ce qui est fait et ce qui ne l’est pas — un état honnête vaut mieux qu’une politique empruntée
Le dernier point mérite d’être souligné. Un document de sécurité recopié d’un modèle décrit une organisation qui n’existe pas. Il ne trompe pas un auditeur, et il expose davantage que l’aveu d’un dispositif modeste mais réel.
Le lien avec l’existant
Les quatre points ci-dessus supposent de savoir ce que l’on a. C’est exactement ce que relève un audit d’infrastructure, qui commence d’ailleurs par ce que plus personne ne sait.
Aucun de ces quatre points ne se traite indépendamment de l’état du parc. Une entreprise qui ne sait pas quels comptes disposent de droits étendus, ni si ses sauvegardes se restaurent, ne peut pas y répondre — et c’est exactement ce que relève un audit d’infrastructure.
Questions fréquentes
Qui est concerné par NIS2 ?
Les entités essentielles et importantes de secteurs jugés critiques, selon un critère de taille : les seuils européens de référence partent de cinquante salariés et dix millions d’euros de chiffre d’affaires ou de bilan. La plupart des PME n’en font pas partie directement.
Une PME non soumise à NIS2 est-elle concernée ?
Souvent, oui, par contrat. Une entité régulée doit maîtriser la sécurité de ses fournisseurs : elle leur transmet questionnaires de sécurité, clauses de notification d’incident et droits d’audit. Le refus de répondre se paie en perte de marché, pas en amende.
Comment se préparer à NIS2 quand on est fournisseur ?
Sans lancer de projet de conformité : savoir qui appeler en cas d’incident et sous quel délai prévenir un client, disposer d’une sauvegarde restaurée au moins une fois, tenir la liste des accès à privilèges, et écrire honnêtement sur deux pages ce qui est fait et ce qui ne l’est pas.