NIS2 : suis-je concerné ? Guide 2026 pour PME et ETI

Oui, probablement. La directive NIS2 (Network and Information Security 2) est entrée en vigueur au niveau européen en janvier 2023. Chaque État membre devait la transposer avant octobre 2024. En France, le projet de loi Résilience est toujours en attente d'examen parlementaire mi-septembre 2026, après deux reports. La Commission européenne a saisi la CJUE contre la France en juillet 2026.

Cet article vous donne en 12 minutes : (1) si vous êtes soumis, (2) vos obligations concrètes, (3) le calendrier réel, (4) les sanctions, (5) comment vous mettre en conformité.

Êtes-vous concerné par NIS2 ?

Réponse rapide : oui si vous opérez dans un secteur sensible ET dépassez les seuils de taille.

Les 18 secteurs concernés

Secteurs essentiels (annexe I) — obligations maximales :

• Énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain)
• Transport (aérien, ferroviaire, eau, route)
• Banques et infrastructures de marché financier
• Santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux)
• Eau potable et eaux usées
• Infrastructures numériques (DNS, TLD, registres, data centers, CDN, cloud)
• Administration publique
• Espace

Secteurs importants (annexe II) — obligations renforcées :

• Services postaux et de messagerie
• Gestion des déchets
• Chimie (fabrication, distribution)
• Alimentation (production, transformation, distribution)
• Fabrication (médicaments, dispositifs médicaux, équipements)
• Fournisseurs numériques (services cloud, marketplaces, moteurs de recherche, plateformes réseaux sociaux)
• Organismes de recherche

Important : si vous êtes fournisseur ou sous-traitant d'une entité essentielle/importante, vous êtes aussi soumis indirectement (par les exigences contractuelles de votre client).

Les seuils de taille

Pour être soumis, vous devez opérer dans un secteur ci-dessus ET dépasser un des deux seuils :

• Plus de 50 employés (ETP)
• Plus de 10 M€ de chiffre d'affaires annuel

Cas particuliers

• ETI > 250 employés ou 50 M€ CA : qualifiée d'office
• PME < 50 employés et < 10 M€ CA : non directement soumis (mais attention aux exigences contractuelles clients)
• Startups deeptech : si vous fournissez des services numériques à des entités NIS2, vous pouvez être considéré comme "fournisseur numérique"

Vos obligations concrètes

5 piliers à implémenter :

Pilier 1 — Gouvernance cyber

• Désigner un responsable cybersécurité (RSSI interne ou externalisé)
• Impliquer la direction générale dans la gouvernance cyber
• Déclarer formellement la politique de sécurité de l'entreprise

Pilier 2 — Gestion des risques

• Cartographier les actifs informationnels (matériels, logiciels, données)
• Évaluer les risques cyber (méthodologie EBIOS RM ou équivalent)
• Mettre en place un plan de traitement des risques
• Réaliser des audits de sécurité externes réguliers

Pilier 3 — Sécurité des systèmes

• Chiffrement des données en transit (HTTPS, VPN)
• Chiffrement des données au repos (disques, bases)
• Authentification multi-facteurs (MFA) généralisée
• Segmentation réseau (micro-segmentation)
• Politique de mise à jour des correctifs
• Gestion des identités et accès (IAM)

Pilier 4 — Gestion des incidents

• Processus de détection 24/7 (SOC ou service managé)
• Notification ANSSI sous 24h en cas d'incident majeur
• Communication aux clients impactés sous 72h
• Analyse post-mortem obligatoire

Pilier 5 — Continuité d'activité

• Plan de Continuité d'Activité (PCA)
• Plan de Reprise d'Activité (PRA)
• Tests réguliers (annuel minimum)
• Sauvegardes externalisées (3-2-1 backup rule)

Calendrier de transposition en France

État au 14 septembre 2026 :

Pour les entreprises : ne pas attendre la transposition. Anticipez, vos obligations contractuelles clients arriveront bien avant.

Sanctions NIS2

Comparé à RGPD (max 20 M€ ou 4% CA) : NIS2 peut être plus contraignant pour les ETI sur le volet cyber, mais moins pour les PME en croissance.

NIS2 vs RGPD : ne pas confondre

Vous restez soumis à RGPD si vous traitez des données personnelles, ET potentiellement soumis à NIS2 si vous êtes dans un secteur sensible. Les deux réglementations sont cumulables.

Comment se mettre en conformité ?

1. Diagnostic initial : êtes-vous dans un secteur concerné + dépassez les seuils ?
2. Cartographie : vos actifs informationnels, données, processus critiques
3. Évaluation des risques : utilisez EBIOS RM ou ISO 27005
4. Plan de traitement : priorisez par criticité (CVSS)
5. Mise en œuvre : MFA, chiffrement, sauvegardes, PCA/PRA
6. Documentation : politique sécurité, procédures, preuves
7. Tests et audits : audit de sécurité externe annuel minimum
8. Monitoring : SOC 24/7 ou service managé

Budget moyen pour se mettre en conformité

Le coût d'un audit de sécurité externe NIS2-ready démarre à 3 000 € pour une PME. C'est l'investissement de base pour identifier vos gaps.

FAQ — NIS2 pour PME

Ma PME est-elle concernée par NIS2 ?

Votre PME est concernée par NIS2 si : (1) vous opérez dans un secteur dit essentiel (santé, énergie, transport, eau, infrastructures numériques) ou important (gestion des déchets, espace, postes, chimie, alimentaire, fabrication, fournisseurs numériques), ET (2) vous employez plus de 50 personnes OU avez un chiffre d'affaires annuel de plus de 10 millions d'euros. Si vous êtes en dessous de ces seuils, vous n'êtes pas directement soumis, mais vos donneurs d'ordre peuvent vous imposer des exigences contractuelles NIS2.

Quand la directive NIS2 s'applique-t-elle en France ?

La transposition française de NIS2 accuse un retard significatif en 2026. Le projet de loi Résilience (transposition NIS2) devait être examiné à l'Assemblée nationale, mais l'examen a été reporté à plusieurs reprises. La Commission européenne a saisi la CJUE contre la France en juillet 2026 pour ce retard. Le texte pourrait être adopté fin 2026 ou début 2027, avec une application effective 18 mois après la transposition. Pour les entreprises, anticiper est essentiel.

Quelles sont les amendes en cas de non-conformité NIS2 ?

Les sanctions NIS2 sont parmi les plus sévères du droit numérique européen : jusqu'à 10 millions d'euros OU 2% du chiffre d'affaires annuel mondial pour les entités essentielles, jusqu'à 7 millions d'euros OU 1,4% du CA pour les entités importantes. S'y ajoutent des sanctions personnelles pour les dirigeants (interdiction d'exercer). Comparé à RGPD (4% du CA, ~20M€), NIS2 peut être plus sévère sur certains aspects.

Quelles sont les principales obligations NIS2 ?

5 piliers NIS2 : (1) Gouvernance de la cybersécurité (responsabilité de la direction), (2) Gestion des risques (analyse, traitement), (3) Sécurité des systèmes (chiffrement, MFA, segmentation), (4) Gestion des incidents (notification sous 24h à l'ANSSI), (5) Continuité d'activité (PCA/PRA). Chaque pilier demande des preuves documentées.

NIS2 remplace-t-elle RGPD ?

Non, NIS2 ne remplace pas RGPD : ce sont deux réglementations complémentaires. RGPD protège les données personnelles, NIS2 protège les infrastructures et systèmes critiques. Vous restez soumis à RGPD si vous traitez des données personnelles, ET potentiellement soumis à NIS2 si vous êtes dans un secteur critique. Les deux ont des sanctions qui se cumulent.

Conclusion

NIS2 est l'opportunité (paradoxale) pour les entreprises françaises : la transposition tarde, mais les exigences contractuelles arrivent maintenant. Anticiper la mise en conformité vous donne un avantage concurrentiel sur les donneurs d'ordre qui exigent NIS2-ready.

Prochaine étape : faites un diagnostic NIS2 de votre entreprise. Réponse sous 24h via notre formulaire de contact.