# NIS2 : votre PME est-elle concernée ? Guide de vulgarisation Publié le 20 octobre 2026. Auteur : 5pour100. NIS2 n'est pas réservée aux géants. Voici comment une PME peut savoir si elle est dans le périmètre, sans jargon inutile, et ce que prépare un pré-audit. La directive NIS2 (Network and Information Security) élargit très fortement le cercle des organisations qui doivent soigner leur cybersécurité. Beaucoup de dirigeants de PME entendent le sigle et referment l'onglet. C'est compréhensible, mais ce n'est pas une raison pour attendre le premier courrier. Voici l'essentiel, vérifié sur les sources officielles. ## NIS2 en deux phrases La directive (UE) 2022/2555 a été adoptée le 14 décembre 2022 et publiée au Journal officiel de l'Union européenne le 27 décembre 2022. Elle remplace la première directive NIS et impose aux entités de secteurs jugés critiques des mesures de cybersécurité, des obligations de notification d'incident et un contrôle par une autorité nationale, en France l'ANSSI. ## Qui est concerné ? La directive distingue deux catégories : les entités essentielles (EE) et les entités importantes (EI). Le classement dépend de deux critères. - Le secteur d'activité. La directive liste : - des secteurs hautement critiques (annexe I) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (interentreprises), administration publique, espace ; - d'autres secteurs critiques (annexe II) : services postaux et d'expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution alimentaires, fabrication (dont dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche. - La taille. En règle générale, la directive s'applique aux entreprises moyennes et grandes de ces secteurs (article 2), au sens de la recommandation 2003/361/CE : - moyenne entreprise : au moins 50 salariés, ou un chiffre d'affaires annuel supérieur à 10 M€ et un total de bilan supérieur à 10 M€ ; - grande entreprise : au moins 250 salariés, ou un chiffre d'affaires supérieur à 50 M€ et un total de bilan supérieur à 43 M€. En schématisant (article 3) : une grande entreprise d'un secteur de l'annexe I est en principe entité essentielle ; les autres entreprises moyennes ou grandes des annexes I et II sont en principe entités importantes. Attention aux exceptions. Certaines entités sont visées quelle que soit leur taille (par exemple certains fournisseurs de services de confiance, de noms de domaine ou de réseaux de communications électroniques), et l'État peut désigner une entité dont l'activité est critique même si elle est petite. Et même hors périmètre, une PME peut être concernée indirectement : la directive impose aux entités régulées de gérer la sécurité de leur chaîne d'approvisionnement (article 21). Vos clients soumis à NIS2 vous demanderont donc des garanties. Le plus simple pour vérifier : le test d'éligibilité de l'ANSSI sur MonEspaceNIS2. ## Où en est la France ? Le calendrier - 17 octobre 2024 : date limite fixée par la directive pour la transposition par les États membres (article 41). - 15 octobre 2024 : le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » est présenté en Conseil des ministres. Il transpose NIS2, mais aussi les directives REC et DORA. - 12 mars 2025 : adoption du projet de loi par le Sénat. - 10 septembre 2025 : texte adopté en commission spéciale à l'Assemblée nationale (dossier législatif). - 17 mars 2026 : l'ANSSI publie, en document de travail, le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de NIS2 (cyber.gouv.fr). À ce jour (octobre 2026), la loi n'est pas encore promulguée. Comme le précise l'ANSSI, NIS2 entrera en vigueur en France lorsque l'ensemble des textes (loi, décrets, arrêtés) auront été publiés, et toutes les exigences ne s'appliqueront pas dès ce jour-là (FAQ MonEspaceNIS2). Les entités concernées devront ensuite s'enregistrer auprès de l'ANSSI. L'ANSSI invite dès à présent les futures entités essentielles et importantes à « s'engager dans une démarche de sécurisation cohérente avec NIS 2 ». Autrement dit : le calendrier exact n'est pas figé, mais le contenu des obligations, lui, est connu depuis 2022. ## Ce que NIS2 demande vraiment Des mesures de gestion des risques (article 21), proportionnées à votre exposition, notamment : - une politique d'analyse des risques et de sécurité des systèmes d'information ; - la gestion des incidents ; - la continuité d'activité : sauvegardes, reprise après sinistre, gestion de crise ; - la sécurité de la chaîne d'approvisionnement (fournisseurs, prestataires) ; - la sécurité dans l'achat, le développement et la maintenance des systèmes, y compris la gestion des vulnérabilités ; - l'évaluation de l'efficacité des mesures ; - l'hygiène informatique et la formation ; - la cryptographie et le chiffrement, lorsque c'est pertinent ; - la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ; - l'authentification multifacteur et des communications sécurisées. La notification des incidents importants (article 23) : une alerte précoce dans les 24 heures, une notification dans les 72 heures, puis un rapport final au plus tard un mois après. La responsabilité de la direction (article 20) : les organes de direction doivent approuver les mesures de cybersécurité, en superviser la mise en œuvre, et peuvent être tenus responsables des manquements. Les dirigeants doivent aussi suivre une formation. Des sanctions dissuasives (article 34) : jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et jusqu'à 7 M€ ou 1,4 % pour une entité importante (le montant le plus élevé étant retenu). ## Par où commencer ? Les premières actions L'ANSSI résume la préparation en trois étapes : déterminer si l'on est concerné, lister ses systèmes d'information, puis démarrer les premières actions de sécurisation. Concrètement, pour une PME : - Faire le test d'éligibilité sur MonEspaceNIS2 et noter votre secteur, vos effectifs, votre chiffre d'affaires et votre bilan. - Identifier vos clients soumis à NIS2 : même hors périmètre, ils attendront de vous des engagements. - Nommer un responsable de la cybersécurité au niveau de la direction, et non « tout le monde un peu ». - Cartographier vos systèmes, vos données et vos fournisseurs critiques. - Sécuriser les bases : authentification multifacteur, mises à jour, sauvegardes hors ligne testées, comptes administrateurs maîtrisés. - Préparer la gestion d'incident : qui alerte qui, en combien de temps, avec quelles informations, pour tenir les 24 h / 72 h. - Former la direction et les équipes, avec des formats courts adaptés aux métiers. - Prendre connaissance du ReCyF de l'ANSSI pour vous situer. Rien de cela n'exige d'acheter une suite « NIS2 inside ». Cela exige une direction. Et maintenant ? La formule Journée Direction + pré-audit NIS2 à 1 440 € HT vous permet en une démarche de savoir si vous êtes concerné, de mesurer vos écarts et de repartir avec un plan d'action priorisé, réaliste pour une PME. 5pour100 n'a pas de licence à vous vendre : on simplifie, on décide, on reste. Demande de rendez-vous : https://5pour100.fr/#demande ## Sources officielles - Directive (UE) 2022/2555 (NIS2), EUR-Lex : https://eur-lex.europa.eu/eli/dir/2022/2555/oj - ANSSI, la directive NIS 2 : https://cyber.gouv.fr/la-directive-nis-2 - MonEspaceNIS2 (test d'éligibilité ANSSI) : https://monespacenis2.cyber.gouv.fr/ - FAQ ANSSI, avancement de la transposition : https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/ - Assemblée nationale, dossier législatif du projet de loi Résilience : https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 - Recommandation 2003/361/CE (définition des PME), EUR-Lex : https://eur-lex.europa.eu/eli/reco/2003/361/oj Canonical : https://5pour100.fr/blog/nis2-votre-pme-est-elle-concernee-guide-de-vulgarisation. ## Lire ensuite - [Blog](https://5pour100.fr/blog.md) : liste des articles publiés. - [Cas réels](https://5pour100.fr/cas-reels.md) : preuves documentées.