NIS2 : votre PME est-elle concernée ? Le guide clair
NIS2 est la nouvelle directive européenne sur la cybersécurité. Elle élargit fortement le nombre d’organisations concernées et relève le niveau d’exigence. Beaucoup de dirigeants de PME se demandent : « suis-je concerné, et que dois-je faire ? » Voici l’essentiel, sans jargon.
Qu’est-ce que NIS2 ?
NIS2 (Network and Information Security 2) impose aux organisations concernées de gérer sérieusement leurs risques cyber et de signaler les incidents importants. Elle remplace la première directive NIS en élargissant les secteurs visés et en durcissant les obligations et les sanctions.
Qui est concerné ?
NIS2 vise un large éventail de secteurs — énergie, transports, santé, eau, infrastructures numériques, administration, secteur manufacturier, agroalimentaire, etc. — à partir d’une certaine taille (généralement les moyennes et grandes entreprises).
⚠️ Point clé pour les PME : même si vous n’êtes pas directement soumis, si vous êtes sous-traitant ou fournisseur d’une entité concernée, celle-ci vous demandera des garanties de sécurité contractuelles. La conformité devient donc un argument commercial, pas seulement une contrainte.
Les grandes obligations
En pratique, NIS2 demande de mettre en place des mesures « d’hygiène » cyber, notamment :
- Analyse et gestion des risques (savoir ce qu’on protège et contre quoi).
- Gestion des incidents : détecter, réagir, et notifier les incidents importants dans les délais.
- Continuité d’activité : sauvegardes fiables, plan de reprise.
- Sécurité des accès : authentification forte (MFA), gestion des droits.
- Sécurité de la chaîne d’approvisionnement (vos fournisseurs IT).
- Sensibilisation des équipes et implication de la direction.
Les sanctions
NIS2 prévoit des amendes significatives (plusieurs millions d’euros ou un pourcentage du chiffre d’affaires) et engage la responsabilité des dirigeants. Mais l’esprit du texte est avant tout d’élever le niveau de sécurité collectif.
Comment se mettre en conformité (sereinement)
- Faire le point : un audit de votre niveau actuel (risques, sauvegardes, MFA, incidents, sensibilisation).
- Prioriser : corriger d’abord les écarts les plus risqués.
- Mettre en œuvre : EDR/XDR, sauvegardes immuables, MFA, plan de réponse à incident.
- Documenter & maintenir : la conformité est un processus continu, pas une case à cocher.
La bonne nouvelle : la plupart de ces mesures améliorent aussi votre sécurité au quotidien — vous ne « cochez » pas seulement une case, vous réduisez réellement le risque.
Chez SPOC, ESN à Montpellier, nous accompagnons les PME de l’audit à la mise en conformité NIS2 / RGPD, avec une cybersécurité concrète et un interlocuteur unique. Faisons le point sur votre conformité.
Questions fréquentes
Ma PME est-elle vraiment concernée par NIS2 ?
Peut-être, directement ou indirectement. NIS2 vise des secteurs élargis (numérique, santé, transports, eau, alimentation, fabrication…) au-delà d'une certaine taille. Et même si vous n'êtes pas directement soumis, vos clients concernés vous demanderont des garanties de sécurité en tant que sous-traitant.
Quelle différence entre entité « essentielle » et « importante » ?
Les deux ont des obligations proches ; la différence porte surtout sur l'intensité de la supervision et le niveau des sanctions. Les entités essentielles (ex. grands acteurs de secteurs critiques) sont contrôlées plus strictement que les entités importantes.
Quelles sont les sanctions en cas de non-conformité ?
NIS2 prévoit des amendes pouvant atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires, ainsi que la responsabilité des dirigeants. L'objectif reste d'inciter à se mettre en conformité, pas de punir.
Par où commencer concrètement ?
Par un audit de votre niveau actuel (gestion des risques, sauvegardes, MFA, gestion des incidents, sensibilisation). Il révèle les écarts et permet de bâtir un plan de mise en conformité réaliste.
Un besoin sur ce sujet ? Un seul interlocuteur vous répond.
Nous contacter