NIS2 : la nouvelle réglementation cybersécurité qui concerne les PME en 2026
La directive NIS2 (Network and Information Security 2) est le cadre européen de cybersécurité entre en application en octobre 2024. En France, la transposition est en cours et l'ANSSI a publie en mars 2026 le Référentiel Cyber France (ReCyF), qui précise les mesures techniques que les entreprises doivent mettre en place.
Pour les PME, la question centrale est simple : etes-vous dans le périmètre ? Et si oui, que devez-vous faire avant que les controles ne commencent ?
Quelles PME sont concernées par NIS2 ?
NIS2 classe les entreprises en deux catégories : Entités Essentielles et Entités Importantes. Le critère est double : la taille de l'entreprise (effectif, CA, bilan) ET le secteur d'activité.
Les 18 secteurs concernes
Secteurs hautement critiques (Annexe 1) : énergie, transports, banque, marches financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace.
Autres secteurs critiques (Annexe 2) : services postaux, gestion des déchets, chimie, agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, vehicules), fournisseurs de services numériques (places de marche en ligne, moteurs de recherche, réseaux sociaux), recherche.
Seuils de taille
- Moyennes entreprises (50+ salaries OU CA > 10M EUR) dans un secteur liste = Entité Importante
- Grandes entreprises (250+ salaries OU CA > 50M EUR) dans un secteur liste = potentiellement Entité Essentielle
- Petites entreprises (< 50 salaries) : généralement NON concernées, sauf exceptions (fournisseurs de services de confiance, DNS, services cloud)
Point cle pour les PME PACA : si vous etes un prestataire IT, un hébergeur, un éditeur SaaS ou un fournisseur de services cloud, NIS2 vous concerne potentiellement même en dessous de 50 salaries.
Les 10 obligations concrètes de NIS2
1. Nommer un responsable cybersécurité
Chaque entité concernée doit designer un RSSI (Responsable de la Sécurité des Systèmes d'Information) ou un réfèrent sécurité. Pour une PME, cela peut être un collaborateur forme ou un prestataire externe.
2. Réaliser une analyse des risques
Cartographier vos actifs numériques (serveurs, applications, données), identifier les menaces (ransomware, phishing, fuite de données) et évaluer les impacts. Cette analyse est le socle de votre stratégie de sécurité.
3. Sécuriser la chaine d'approvisionnement
NIS2 impose de vérifier la sécurité de vos fournisseurs et sous-traitants IT. Si votre hébergeur ou votre éditeur de logiciel est compromis, votre entreprise est aussi a risque. Exigez des garanties contractuelles.
4. Mettre en place des mesures techniques
Le ReCyF de l'ANSSI detaille les mesures recommandées : - Authentification multi-facteurs (MFA) pour les accès critiques - Chiffrement des données sensibles en transit et au repos - Segmentation réseau - Sauvegardes régulières et testées - Gestion des correctifs et mises à jour
5. Gérer les incidents
Procédure de détection, qualification et réponse aux incidents de sécurité. Désignez qui fait quoi en cas de cyberattaque AVANT qu'elle ne se produise.
6. Notifier les incidents significatifs
En cas d'incident ayant un impact significatif : - Alerte initiale : dans les 24 heures suivant la détection - Notification détaillée : dans les 72 heures avec évaluation d'impact - Rapport final : dans un mois avec les mesures correctives
7. Former et sensibiliser les collaborateurs
90 % des cyberattaques commencent par un e-mail de phishing. La formation des equipes n'est pas optionnelle — c'est la première ligne de défense.
8. Plan de continuité d'activité
Que se passe-t-il si vos systèmes sont inaccessibles pendant 48h ? Un plan de continuité (PCA) et de reprise d'activité (PRA) documente est obligatoire.
9. Tester régulièrement
Audits de sécurité, tests d'intrusion, exercices de crise. La sécurité n'est pas un état, c'est un processus continu.
10. Documenter et maintenir la conformité
Toutes les mesures doivent être documentées et maintenues à jour. C'est ce que les autorités vont vérifier en cas de controle.
Sanctions NIS2 : des montants dissuasifs
Les sanctions NIS2 sont comparables à celles du RGPD :
- Entités Essentielles : jusqu'a 10 millions d'euros ou 2 % du CA mondial
- Entités Importantes : jusqu'a 7 millions d'euros ou 1,4 % du CA mondial
De plus, les dirigeants peuvent être tenus personnellement responsables en cas de négligence avérée dans la mise en place des mesures de sécurité.
Le lien entre NIS2, RGPD et AI Act
En 2026, trois réglementations majeures convergent pour les PME :
- RGPD : protection des données personnelles (en vigueur depuis 2018)
- NIS2 : sécurité des systèmes d'information (transposition en cours)
- AI Act : réglementation de l'intelligence artificielle (application août 2026)
Ces trois cadres sont complémentaires. Les données personnelles (RGPD) sont stockées dans des systèmes d'information (NIS2) qui utilisent de plus en plus l'IA (AI Act). Un DPO externalisé compétent en cybersécurité peut couvrir les trois volets pour une PME, ce qui réduit considérablement les coûts de mise en conformité.
Plan d'action NIS2 en 5 étapes pour les PME
- Vérifier votre éligibilité : utilisez l'outil MonEspaceNIS2 de l'ANSSI (monespacenis2.cyber.gouv.fr) pour déterminer si votre entreprise est dans le périmètre
- Audit cybersécurité : cartographier vos actifs, vos risques et vos lacunes actuelles
- Plan de remediation : prioriser les mesures selon votre niveau de risque
- Formation equipes : sensibiliser tous les collaborateurs (pas juste l'IT)
- Documentation : formaliser vos politiques, procédures et plans de continuité
Conclusion
NIS2 n'est pas une contrainte de plus pour les PME — c'est une opportunité de professionnaliser votre sécurité informatique dans un contexte ou les cyberattaques ciblent de plus en plus les petites structures. En France, le ReCyF de l'ANSSI (publie mars 2026) fournit un cadre clair et actionnable. Un accompagnement par un expert combine RGPD + NIS2 + AI Act permet de traiter les trois conformites en un seul chantier, avec un budget maitrise.