NIS2 en 2026 : ce qui attend concrètement les PME françaises
La directive européenne NIS2 est transposée en droit français et son calendrier d’application progresse vite. Contrairement à une idée reçue, elle ne concerne plus seulement les grands groupes et les opérateurs critiques : de nombreuses PME et ETI se retrouvent désormais dans le périmètre, directement ou en tant que sous-traitants d’entités régulées. Voici ce qu’il faut vraiment comprendre, sans jargon juridique.
Qui est concerné ?
Deux catégories principales : les entités « essentielles » (énergie, santé, transport, infrastructures numériques…) et les entités « importantes » (fabrication, services numériques, gestion des déchets, etc.). Le seuil d’entrée dépend de l’effectif et du chiffre d’affaires, mais un point est souvent oublié : si votre entreprise fournit des services à une entité régulée, votre propre niveau de sécurité peut être audité en cascade via les clauses contractuelles qu’on vous impose.
Les obligations concrètes
- Gestion des risques : politique formalisée de sécurité de l’information, analyse de risques documentée et revue régulièrement.
- Gestion des incidents : procédure de détection, et notification à l’ANSSI sous 24h pour une alerte précoce, puis un rapport complet sous 72h.
- Continuité d’activité : plan de reprise après sinistre testé, pas seulement rédigé.
- Sécurité de la chaîne d’approvisionnement : évaluation de vos prestataires et fournisseurs cloud.
- Formation : sensibilisation régulière des équipes, y compris la direction.
- Chiffrement et authentification forte : MFA généralisé sur les accès sensibles, chiffrement des données au repos et en transit.
Par où commencer concrètement
Pour une PME qui découvre le sujet, l’ordre de priorité le plus efficace est généralement :
- Cartographier vos actifs critiques (données, applications, dépendances fournisseurs).
- Activer le MFA partout où c’est possible, en priorité sur Microsoft 365 et les comptes à privilèges Entra ID.
- Mettre en place une journalisation centralisée (au minimum les connexions et les accès admin).
- Rédiger — même simplement — une procédure de réponse à incident avec les bons contacts et délais.
- Documenter vos choix : en cas de contrôle, l’absence de preuve écrite pèse autant qu’une vraie faille.
Ce qui change par rapport à l’ancienne directive NIS
NIS2 élargit fortement le périmètre sectoriel, durcit les sanctions (jusqu’à 2 % du chiffre d’affaires mondial pour les entités essentielles) et engage directement la responsabilité des dirigeants, qui peuvent être tenus personnellement responsables en cas de manquement grave. Ce n’est plus un sujet uniquement « IT » : c’est un sujet de gouvernance.
En résumé
NIS2 n’exige pas la perfection immédiate, mais une trajectoire d’amélioration continue et documentée. Les entreprises qui ont déjà une base Microsoft 365 / Entra ID bien configurée (MFA, accès conditionnel, journalisation) ont une longueur d’avance : la plupart des briques techniques existent déjà, il reste surtout à les activer, les documenter et les tester.
