Ma PME est-elle vraiment concernée par NIS2 ?

Directement seulement si vous atteignez les seuils de taille (au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan) dans l'un des 18 secteurs visés. En dessous, vous n'êtes généralement pas soumis directement — mais vos clients concernés vous demanderont des garanties de sécurité en tant que sous-traitant ou fournisseur.

Quelle différence entre entité « essentielle » et « importante » ?

La taille et l'intensité du contrôle. Entité essentielle : au moins 250 salariés, ou CA supérieur à 50 M€ et bilan supérieur à 43 M€ — supervision plus stricte et sanctions plus lourdes. Entité importante : au moins 50 salariés, ou CA et bilan supérieurs à 10 M€.

Quels sont les délais pour signaler un incident ?

Trois étapes : une alerte précoce sous 24 heures, une notification d'incident sous 72 heures, puis un rapport final sous un mois (article 23 de la directive).

Quelles sont les sanctions en cas de non-conformité ?

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle ; 7 millions d'euros ou 1,4 % pour une entité importante (le montant le plus élevé s'applique), avec engagement de la responsabilité des dirigeants.

Par où commencer concrètement ?

Par un audit de votre niveau actuel (gestion des risques, sauvegardes, MFA, gestion des incidents, sensibilisation). Il révèle les écarts et permet de bâtir un plan de mise en conformité réaliste.

NIS2 : votre PME est-elle concernée ? Le guide clair

NIS2 est la nouvelle directive européenne sur la cybersécurité. Elle élargit fortement le nombre d’organisations concernées et relève le niveau d’exigence. Beaucoup de dirigeants de PME se demandent : « suis-je concerné, et que dois-je faire ? » Voici l’essentiel, chiffres à l’appui et sans jargon.

Qu’est-ce que NIS2 ?

NIS2 (Network and Information Security 2) impose aux organisations concernées de gérer sérieusement leurs risques cyber et de signaler les incidents importants. Elle remplace la première directive NIS en élargissant les secteurs visés et en durcissant les obligations et les sanctions.

Qui est concerné ? (les seuils réels)

NIS2 couvre 18 secteurs : 11 « hautement critiques » (énergie, transports, santé, eau, infrastructures numériques, banque, administrations publiques…) et 7 « autres secteurs critiques » (fabrication, agroalimentaire, gestion des déchets, fournisseurs numériques, recherche, services postaux, produits chimiques). Deux catégories d’entités existent, selon la taille (source ANSSI) :

Entité essentielle (EE) : au moins 250 salariés, ou un CA > 50 M€ et un bilan > 43 M€.
Entité importante (EI) : au moins 50 salariés, ou un CA et un bilan > 10 M€.

⚠️ Point clé pour les PME : en dessous de ces seuils, vous n’êtes en général pas directement soumis. Mais si vous êtes sous-traitant ou fournisseur d’une entité concernée, celle-ci vous demandera des garanties de sécurité contractuelles (sécurité de la chaîne d’approvisionnement). La conformité devient donc un argument commercial, pas seulement une contrainte.

Les grandes obligations

Les entités concernées doivent s’enregistrer auprès de l’ANSSI (une fois le périmètre évalué) puis mettre en place des mesures « d’hygiène » cyber, notamment :

Analyse et gestion des risques (savoir ce qu’on protège et contre quoi).
Gestion et notification des incidents : alerte précoce sous 24 h, notification sous 72 h, puis rapport final sous 1 mois (article 23 de la directive).
Continuité d’activité : sauvegardes fiables, plan de reprise.
Sécurité des accès : authentification forte (MFA), gestion des droits.
Sécurité de la chaîne d’approvisionnement (vos fournisseurs IT).
Sensibilisation des équipes et implication de la direction.

Les sanctions

NIS2 prévoit des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, et 7 M€ ou 1,4 % pour une entité importante (le montant le plus élevé s’applique), ainsi que la responsabilité des dirigeants (article 34). L’esprit du texte reste d’élever le niveau de sécurité collectif.

Et en France ?

La transposition en droit français est en cours, pilotée par l’ANSSI, qui publie le Référentiel Cyber France (ReCyF) précisant les mesures attendues. Les entités concernées devront s’enregistrer auprès de l’ANSSI une fois le périmètre arrêté.

Comment se mettre en conformité (sereinement)

Faire le point : un audit de votre niveau actuel (risques, sauvegardes, MFA, incidents, sensibilisation).
Prioriser : corriger d’abord les écarts les plus risqués.
Mettre en œuvre : EDR/XDR, sauvegardes immuables, MFA, plan de réponse à incident.
Documenter & maintenir : la conformité est un processus continu, pas une case à cocher.

La bonne nouvelle : la plupart de ces mesures améliorent aussi votre sécurité au quotidien — vous ne « cochez » pas seulement une case, vous réduisez réellement le risque.

Chez SPOC, nous accompagnons les PME partout en France, de l’audit à la mise en conformité NIS2 / RGPD, avec une cybersécurité concrète et un interlocuteur unique. Faisons le point sur votre conformité.