NIS2 : le guide de conformité pour les PME et ETI

NIS2, en une phrase

NIS2 est une directive européenne (directive UE 2022/2555) qui oblige un grand nombre d'entreprises à muscler leur cybersécurité et à signaler leurs incidents. Si vous dirigez une PME ou une ETI de plus de 50 salariés ou 10 M€ de chiffre d'affaires dans un secteur jugé sensible (énergie, santé, transport, eau, numérique, industrie, agroalimentaire, services postaux...), vous êtes probablement concerné. Et cette fois, la responsabilité pèse directement sur la direction, pas seulement sur la DSI.

La bonne nouvelle : NIS2 ne vous demande pas l'impossible, mais des mesures de bon sens, formalisées et prouvables. La mauvaise : beaucoup d'entreprises découvrent qu'elles sont dans le périmètre sans l'avoir anticipé.

Qu'est-ce que NIS2 change par rapport à avant ?

La première directive NIS (2016) ne visait qu'une poignée de très grands opérateurs. NIS2 élargit massivement le périmètre : on parle de plusieurs milliers d'entités concernées en France, contre quelques centaines auparavant.

Trois nouveautés qui comptent pour vous :

• Le périmètre explose. Des secteurs entiers entrent dans le champ, y compris des ETI et des PME qui ne s'étaient jamais posé la question.
• La direction est responsable. Les dirigeants doivent valider et suivre les mesures de gestion des risques. En cas de manquement grave, leur responsabilité peut être engagée.
• Les délais de signalement se durcissent. Un incident significatif doit faire l'objet d'une alerte rapide, avec un premier signalement dans un délai très court (de l'ordre de 24 heures selon la transposition), puis un rapport plus complet.

Mon entreprise est-elle concernée ?

NIS2 distingue deux catégories, avec des obligations proches mais un régime de contrôle et de sanction différent.

Ces seuils et montants sont ceux prévus par la directive et sa transposition française, en cours de finalisation en 2024-2025. Les critères exacts secteur par secteur restent à confirmer : ne vous fiez pas à une lecture rapide, vérifiez votre situation précise auprès de l'ANSSI, qui est l'autorité de référence en France.

Concrètement, posez-vous trois questions :

1. Dans quel secteur j'opère ? Énergie, santé, transport, eau potable et usée, infrastructures numériques, administration publique, espace pour les secteurs dits « hautement critiques » ; mais aussi agroalimentaire, industrie manufacturière, chimie, gestion des déchets, services postaux, fournisseurs numériques pour les autres secteurs « critiques ».
2. Quelle est ma taille ? À partir de 50 salariés ou 10 M€ de CA, vous entrez généralement dans le périmètre si votre secteur est listé.
3. Suis-je un maillon d'une chaîne d'approvisionnement sensible ? Même sous les seuils, vous pouvez être concerné indirectement, parce qu'un donneur d'ordre soumis à NIS2 vous imposera des exigences par contrat.

Ce dernier point est le plus sous-estimé : même si NIS2 ne vous vise pas directement, vos clients concernés vont vous demander des garanties. Autant s'y préparer.

Quelles obligations concrètes ?

NIS2 ne fournit pas une checklist figée, mais un socle de mesures de gestion des risques. En clair, vous devez pouvoir démontrer que vous maîtrisez au moins ces domaines :

• Analyse de risques et politique de sécurité : savoir ce que vous protégez et contre quoi.
• Gestion des incidents : détecter, traiter, et surtout signaler dans les délais.
• Continuité d'activité : sauvegardes testées, plan de reprise, gestion de crise.
• Sécurité de la chaîne d'approvisionnement : évaluer vos fournisseurs et prestataires.
• Hygiène de base et formation : mots de passe, MFA, mises à jour, sensibilisation des équipes.
• Chiffrement et politiques de contrôle d'accès.
• Gestion des vulnérabilités et divulgation.

Rien d'exotique. Ce sont les fondamentaux de la cybersécurité, mais formalisés, documentés et prouvables en cas de contrôle. La difficulté n'est pas technique, elle est organisationnelle : passer de « on le fait à peu près » à « on peut le prouver ».

Quelles sanctions en cas de manquement ?

Pour les entités essentielles, les amendes peuvent atteindre 10 M€ ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé des deux). Pour les entités importantes, le plafond est de 7 M€ ou 1,4 % du CA mondial. Au-delà de l'argent, l'autorité peut imposer des mesures correctrices, des audits, et engager la responsabilité des dirigeants.

L'objectif de ces sanctions n'est pas de vous piéger, mais de faire de la cybersécurité un sujet de direction. C'est d'ailleurs comme ça que nous l'abordons chez Reboot Conseil : un enjeu de gouvernance avant d'être un enjeu d'outils.

Le calendrier

La directive est entrée en vigueur au niveau européen fin 2022. Les États membres devaient la transposer en droit national pour octobre 2024. En France, la transposition et ses décrets d'application se finalisent sur 2024-2025 : les obligations deviennent réellement contraignantes au fil de leur publication. Autrement dit, l'échéance n'est plus lointaine, et attendre le décret final pour s'y mettre est le meilleur moyen de se retrouver en retard.

Par où commencer ?

Voici la marche à suivre que nous recommandons, dans l'ordre :

1. Vérifiez votre éligibilité. Croisez secteur, taille et position dans la chaîne d'approvisionnement. En cas de doute, tranchez avec l'ANSSI plutôt que de supposer.
2. Faites un état des lieux honnête. Où en êtes-vous réellement sur les domaines listés plus haut ? C'est le rôle d'un audit de maturité NIS2 : mesurer l'écart entre l'existant et l'attendu.
3. Priorisez les écarts. Tout traiter d'un coup est irréaliste. On classe par risque et par effort, et on construit une feuille de route réaliste.
4. Formalisez la gouvernance. Désignez un responsable, impliquez la direction, documentez vos politiques. C'est le cœur de la certification et gouvernance.
5. Outillez et entraînez. MFA, sauvegardes testées, supervision, et surtout un exercice de gestion d'incident pour vérifier que votre procédure de signalement tient la route.

Ce n'est pas un projet qui se boucle en une semaine, mais ce n'est pas non plus un gouffre. Une PME bien accompagnée met en place l'essentiel en quelques mois, en avançant par étapes.

FAQ

NIS2 concerne-t-elle vraiment les PME, ou seulement les grands groupes ?

Les deux. C'est justement le changement majeur par rapport à la première directive NIS. À partir de 50 salariés ou 10 M€ de CA dans un secteur listé, une PME peut être classée « entité importante » et soumise aux obligations. Et même sous les seuils, vous pouvez être concerné par ricochet si un client soumis à NIS2 vous impose des exigences contractuelles.

Combien de temps pour se mettre en conformité NIS2 ?

Cela dépend de votre point de départ. Une entreprise qui a déjà des bases solides (MFA, sauvegardes, procédures) peut viser quelques mois pour formaliser et combler les écarts. Une entreprise partant de zéro doit prévoir plus de temps et une feuille de route par étapes. Le premier réflexe utile est un audit de maturité pour chiffrer précisément l'effort.

Qui est responsable de la conformité NIS2 dans l'entreprise ?

La direction. NIS2 rend explicite que les dirigeants doivent approuver et superviser les mesures de gestion des risques, et peuvent voir leur responsabilité engagée en cas de manquement grave. Concrètement, vous désignez un pilote opérationnel (RSSI ou équivalent), mais le sujet reste sous la responsabilité de la direction générale.

NIS2 ou ISO 27001, faut-il choisir ?

Ce ne sont pas des concurrents. NIS2 est une obligation réglementaire, ISO 27001 est une norme de management de la sécurité. Une démarche ISO 27001 couvre une grande partie des exigences NIS2 et vous donne un cadre reconnu. Si vous visez déjà une certification, elle sert de socle. Sinon, on part directement des exigences NIS2 pour rester efficace.

---

Chez Reboot Conseil (ESN fondée en 2020, 100+ consultants à Strasbourg, Toulouse et Paris, organisme de formation certifié Qualiopi), on accompagne des PME et ETI du Grand Est sur ces sujets au quotidien, aux côtés de clients comme Schmidt Groupe, Crédit Mutuel ou Hager. Si vous voulez savoir où vous en êtes, découvrez notre offre cybersécurité ou parlons-en directement : prenez un échange avec nous pour caler un premier diagnostic NIS2.