NIS2 et PME
NIS2 et PME : votre entreprise est-elle concernée ?
La directive européenne NIS2 étend les obligations de cybersécurité à des milliers d’entreprises françaises, dont des PME. Voici comment savoir si vous êtes concerné, ce que la directive exige et où en est la transposition en France.
Qu’est-ce que NIS2 ?
NIS2 est la directive européenne (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d’information. Elle remplace la première directive NIS et élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité : en France, on passe de quelques centaines d’entités régulées à environ 15 000, collectivités comprises.
Une PME peut-elle être concernée ?
Oui. NIS2 croise le secteur d’activité et la taille de l’organisation. Les entreprises de taille moyenne (en principe à partir de 50 salariés ou de 10 millions d’euros de chiffre d’affaires) et les grandes entreprises sont visées lorsqu’elles opèrent dans un secteur listé : énergie, transports, santé, eau, infrastructures numériques, mais aussi fabrication, agroalimentaire, chimie, gestion des déchets, services postaux ou services numériques.
Certaines entités sont concernées quelle que soit leur taille, comme les fournisseurs de DNS ou les opérateurs télécoms. À l’inverse, une petite entreprise est en principe hors périmètre, sauf cas particulier. Même dans ce cas, vos clients soumis à NIS2 devront sécuriser leur chaîne d’approvisionnement et pourront exiger des garanties de leurs fournisseurs et prestataires.
Ce que NIS2 exige concrètement
01 Une gouvernance assumée
La direction est responsable : elle valide les mesures de cybersécurité et doit pouvoir démontrer qu’elles sont appliquées.
02 Une gestion des risques
Analyse des risques, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, authentification multifacteur, chiffrement : la directive fixe une liste de mesures minimales.
03 Une notification rapide des incidents
Alerte précoce sous 24 heures, notification de l’incident sous 72 heures, rapport final sous un mois.
04 Des sanctions dissuasives
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes.
Où en est la transposition en France ?
La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Adopté par le Sénat en mars 2025, il n’était pas encore promulgué à la date de rédaction de cet article (novembre 2026) : son examen à l’Assemblée nationale, prévu début octobre 2026, a de nouveau été reporté. La Commission européenne a par ailleurs saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition.
Attendre la loi pour s’y préparer, c’est prendre du retard.
L’ANSSI a publié une version de travail de son référentiel ReCyF et invite les entités concernées à ne pas attendre la transposition pour s’en inspirer.
Par où commencer ?
Vérifiez d’abord votre secteur et votre taille. Cartographiez ensuite vos systèmes et vos risques, testez vos sauvegardes et la gestion de vos accès, sensibilisez vos équipes et documentez ce qui existe. Un diagnostic permet de mesurer l’écart entre votre situation et ce niveau d’exigence.
Cet article est informatif et ne constitue pas un avis juridique.
Faire le point sur votre niveau de protection
EMB Solutions accompagne les entreprises et collectivités du Sud-Ouest depuis ses agences de Pau et de Toulouse. Lancez notre diagnostic cybersécurité gratuit pour identifier vos premiers points de vigilance.
Qu’est-ce que NIS2 ?
NIS2 est la directive européenne (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d’information. Elle remplace la première directive NIS et élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité : en France, on passe de quelques centaines d’entités régulées à environ 15 000, collectivités comprises.
Une PME peut-elle être concernée ?
Oui. NIS2 croise le secteur d’activité et la taille de l’organisation. Les entreprises de taille moyenne (en principe à partir de 50 salariés ou de 10 millions d’euros de chiffre d’affaires) et les grandes entreprises sont visées lorsqu’elles opèrent dans un secteur listé : énergie, transports, santé, eau, infrastructures numériques, mais aussi fabrication, agroalimentaire, chimie, gestion des déchets, services postaux ou services numériques.
Certaines entités sont concernées quelle que soit leur taille, comme les fournisseurs de DNS ou les opérateurs télécoms. À l’inverse, une petite entreprise est en principe hors périmètre, sauf cas particulier. Même dans ce cas, vos clients soumis à NIS2 devront sécuriser leur chaîne d’approvisionnement et pourront exiger des garanties de leurs fournisseurs et prestataires.
Ce que NIS2 exige concrètement
01 Une gouvernance assumée
La direction est responsable : elle valide les mesures de cybersécurité et doit pouvoir démontrer qu’elles sont appliquées.
02 Une gestion des risques
Analyse des risques, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, authentification multifacteur, chiffrement : la directive fixe une liste de mesures minimales.
03 Une notification rapide des incidents
Alerte précoce sous 24 heures, notification de l’incident sous 72 heures, rapport final sous un mois.
04 Des sanctions dissuasives
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes.
Où en est la transposition en France ?
La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Adopté par le Sénat en mars 2025, il n’était pas encore promulgué à la date de rédaction de cet article (novembre 2026) : son examen à l’Assemblée nationale, prévu début octobre 2026, a de nouveau été reporté. La Commission européenne a par ailleurs saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition.
Attendre la loi pour s’y préparer, c’est prendre du retard.
L’ANSSI a publié une version de travail de son référentiel ReCyF et invite les entités concernées à ne pas attendre la transposition pour s’en inspirer.
Par où commencer ?
Vérifiez d’abord votre secteur et votre taille. Cartographiez ensuite vos systèmes et vos risques, testez vos sauvegardes et la gestion de vos accès, sensibilisez vos équipes et documentez ce qui existe. Un diagnostic permet de mesurer l’écart entre votre situation et ce niveau d’exigence.
Cet article est informatif et ne constitue pas un avis juridique.
Faire le point sur votre niveau de protection
EMB Solutions accompagne les entreprises et collectivités du Sud-Ouest depuis ses agences de Pau et de Toulouse. Lancez notre diagnostic cybersécurité gratuit pour identifier vos premiers points de vigilance.
Qu’est-ce que NIS2 ?
NIS2 est la directive européenne (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d’information. Elle remplace la première directive NIS et élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité : en France, on passe de quelques centaines d’entités régulées à environ 15 000, collectivités comprises.
Une PME peut-elle être concernée ?
Oui. NIS2 croise le secteur d’activité et la taille de l’organisation. Les entreprises de taille moyenne (en principe à partir de 50 salariés ou de 10 millions d’euros de chiffre d’affaires) et les grandes entreprises sont visées lorsqu’elles opèrent dans un secteur listé : énergie, transports, santé, eau, infrastructures numériques, mais aussi fabrication, agroalimentaire, chimie, gestion des déchets, services postaux ou services numériques.
Certaines entités sont concernées quelle que soit leur taille, comme les fournisseurs de DNS ou les opérateurs télécoms. À l’inverse, une petite entreprise est en principe hors périmètre, sauf cas particulier. Même dans ce cas, vos clients soumis à NIS2 devront sécuriser leur chaîne d’approvisionnement et pourront exiger des garanties de leurs fournisseurs et prestataires.
Ce que NIS2 exige concrètement
01 Une gouvernance assumée
La direction est responsable : elle valide les mesures de cybersécurité et doit pouvoir démontrer qu’elles sont appliquées.
02 Une gestion des risques
Analyse des risques, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, authentification multifacteur, chiffrement : la directive fixe une liste de mesures minimales.
03 Une notification rapide des incidents
Alerte précoce sous 24 heures, notification de l’incident sous 72 heures, rapport final sous un mois.
04 Des sanctions dissuasives
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes.
Où en est la transposition en France ?
La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Adopté par le Sénat en mars 2025, il n’était pas encore promulgué à la date de rédaction de cet article (novembre 2026) : son examen à l’Assemblée nationale, prévu début octobre 2026, a de nouveau été reporté. La Commission européenne a par ailleurs saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition.
Attendre la loi pour s’y préparer, c’est prendre du retard.
L’ANSSI a publié une version de travail de son référentiel ReCyF et invite les entités concernées à ne pas attendre la transposition pour s’en inspirer.
Par où commencer ?
Vérifiez d’abord votre secteur et votre taille. Cartographiez ensuite vos systèmes et vos risques, testez vos sauvegardes et la gestion de vos accès, sensibilisez vos équipes et documentez ce qui existe. Un diagnostic permet de mesurer l’écart entre votre situation et ce niveau d’exigence.
Cet article est informatif et ne constitue pas un avis juridique.
Faire le point sur votre niveau de protection
EMB Solutions accompagne les entreprises et collectivités du Sud-Ouest depuis ses agences de Pau et de Toulouse. Lancez notre diagnostic cybersécurité gratuit pour identifier vos premiers points de vigilance.