NIS2 : votre PME est concernée, même en sous-traitance

« NIS2 ? On n’est pas concernés. » C’est la réponse la plus fréquente, et elle est souvent exacte au sens strict de la directive.

Elle est aussi, le plus souvent, sans effet. Parce que les entités qui, elles, sont concernées ont l’obligation de sécuriser leur chaîne d’approvisionnement — et qu’elles ne peuvent la tenir qu’en la répercutant sur leurs fournisseurs.

Ce que fait la directive, en trois lignes#

La directive (UE) 2022/2555, dite NIS2, impose à un ensemble d’entités jugées sensibles trois obligations : gérer le risque numérique selon des mesures définies, s’enregistrer auprès de l’autorité nationale, et notifier les incidents significatifs dans des délais courts.

En France, l’autorité désignée est l’ANSSI. Le changement d’échelle est considérable : on passe d’environ cinq cents entités sous le régime précédent à une estimation de quinze à dix-huit mille.

La transposition française a pris du retard — le texte a été adopté en première lecture au Sénat en mars 2025 et n’était toujours pas promulgué au printemps 2026, ce qui a valu à la France l’ouverture d’une procédure d’infraction. Ce retard a produit un effet pervers : beaucoup d’entreprises attendent « la date » pour s’y mettre.

C’est exactement le piège. Le calendrier législatif ne commande pas celui de vos clients.

Êtes-vous directement concerné ?#

Deux critères se combinent.

Le secteur. La directive liste des secteurs en deux annexes : énergie, transports, banque, santé, eau, infrastructures numériques et administration publique d’un côté ; services postaux, gestion des déchets, produits chimiques, alimentation, fabrication de dispositifs et de matériels, fournisseurs numériques et recherche de l’autre.

La taille. En pratique, le seuil se situe autour de cinquante salariés ou dix millions d’euros de chiffre d’affaires. En dessous, on sort en principe du périmètre.

Sauf exception. Certaines activités sont concernées quelle que soit leur taille, parce que leur défaillance se propage : fournisseurs de services de noms de domaine, registres, prestataires de services de confiance qualifiés, opérateurs de communications électroniques.

L’ANSSI a mis en ligne un espace d’enregistrement doté d’un simulateur d’éligibilité : quelques questions sur le secteur, l’effectif et le chiffre d’affaires. C’est le premier geste à faire, et il prend dix minutes. Ne concluez pas à votre place.

La porte par laquelle ça arrive vraiment#

C’est le point central de cet article, et il vaut pour toutes les PME du numérique, de l’industrie et des services.

Parmi les mesures imposées aux entités régulées figure la sécurité de la chaîne d’approvisionnement. Une entité soumise doit évaluer et encadrer les risques venant de ses fournisseurs directs. Elle n’a qu’un seul moyen de le faire : le contrat.

Concrètement, voici ce qui arrive dans les boîtes de réception des PME :

• un questionnaire de sécurité de trente à cent questions, à renvoyer sous deux semaines ;
• des clauses de sécurité ajoutées au renouvellement du contrat ;
• une obligation de notification en cas d’incident vous concernant, dans un délai contractuel ;
• parfois un droit d’audit, exercé par le client ou un tiers ;
• l’exigence de preuves : politique de sauvegarde, gestion des accès, journalisation.

Vous n’êtes pas soumis à la directive. Vous êtes soumis à vos clients — et le refus de répondre se traduit, en pratique, par un référencement qui ne se renouvelle pas.

Les sanctions, et la nouveauté qui compte#

Les montants sont dissuasifs : jusqu’à dix millions d’euros ou un pourcentage du chiffre d’affaires mondial pour les entités essentielles, avec un régime allégé pour les entités importantes.

Mais la nouveauté marquante n’est pas là. Elle tient à la responsabilité personnelle des dirigeants, qui peut aller jusqu’à une interdiction temporaire d’exercer des fonctions de direction. La sécurité numérique cesse d’être un sujet délégué à l’informatique pour devenir un sujet d’organe de direction — c’est exactement ce que nous décrivions à propos de la cybersécurité qui remonte au conseil.

Les cinq mesures qui répondent à l’essentiel#

L’ANSSI a publié en mars 2026 un référentiel traduisant les obligations en objectifs concrets — une vingtaine pour les entités essentielles, une quinzaine pour les importantes. On peut résumer ce qu’une PME doit tenir en cinq points, et la bonne nouvelle est qu’aucun n’est spécifique à NIS2.

1. L’inventaire. Ce que vous exposez sur internet, ce dont vous dépendez, qui a accès à quoi. Sans cet inventaire, aucune autre mesure ne peut être ni décidée ni vérifiée. C’est aussi la première pièce que vos clients demanderont.

2. Les accès. Authentification à deux facteurs partout où c’est possible, comptes nominatifs, suppression effective au départ d’un collaborateur, et surtout inventaire des comptes à privilèges — ceux qui peuvent tout, et que personne ne surveille.

3. Les sauvegardes, testées. Une sauvegarde jamais restaurée n’est pas une sauvegarde. Nous y consacrons un article entier, parce que c’est la mesure la plus universellement mal tenue.

4. La procédure d’incident. Qui décide, qui prévient qui, dans quel ordre, avec quels numéros. Une page suffit, à condition qu’elle existe ailleurs que dans un système d’information qui vient de tomber — donc imprimée.

5. La chaîne fournisseurs. Vos propres prestataires : qui a accès à vos systèmes, sous quel contrat, et que se passe-t-il s’ils sont compromis. Le sujet remonte, et il redescend.

Ce que nous conseillons de faire maintenant#

Trois actions, dans cet ordre.

Testez votre éligibilité sur le simulateur de l’autorité. Cinq minutes, et vous saurez de quel côté de la ligne vous êtes.

Demandez à vos trois principaux clients s’ils sont concernés. Leur réponse vous dit ce qui va vous arriver, et quand.

Préparez le dossier avant qu’on vous le demande. L’inventaire, la politique de sauvegarde, la procédure d’incident, la liste des accès. C’est un travail de quelques jours, qui se réutilise pour chaque questionnaire — et qui transforme une contrainte subie en argument commercial. Répondre en deux jours à un questionnaire de sécurité, quand vos concurrents mettent trois semaines, se remarque.

C’est le type de chantier que nous menons dans le cadre d’un audit technique, et dont les entreprises ressortent invariablement avec la même remarque : « on aurait dû faire ça avant, pour nous. »