NIS2 : votre PME est-elle concernée, et que changer sur vos applications ?

NIS2 : quelles PME sont visées, où en est la loi française au 11 novembre 2026 et quelles mesures prendre dès maintenant sur votre site et vos applications métier.

NIS2 vise surtout les entreprises d'au moins 50 salariés, ou qui dépassent 10 millions d'euros de chiffre d'affaires et de bilan, quand elles travaillent dans l'un des 18 secteurs listés par la directive : énergie, transport, santé, eau, industrie, alimentaire, numérique et quelques autres. En France, ces obligations ne s'appliquent pas encore. Au 11 novembre 2026, la loi qui transpose NIS2 est toujours en discussion à l'Assemblée nationale, avec un vote sur l'ensemble du texte prévu le mardi 17 novembre 2026.

Votre PME est trop petite ou hors des secteurs visés ? Elle peut quand même être touchée par ricochet, car les entreprises concernées devront sécuriser leur chaîne de fournisseurs.

Cet article donne des repères techniques. Il ne constitue pas un conseil juridique : pour savoir si votre entreprise est visée, utilisez le test de l'ANSSI cité plus bas et, au besoin, interrogez votre avocat.

Qu'est-ce que la directive NIS2 ?

NIS signifie Network and Information Security, c'est-à-dire la sécurité des réseaux et des systèmes d'information. Le texte officiel est la directive (UE) 2022/2555 du 14 décembre 2022, publiée au Journal officiel de l'Union européenne le 27 décembre 2022 et entrée en vigueur le 16 janvier 2023. Elle remplace une première directive de 2016, dite NIS 1.

Une directive ne s'applique pas directement aux entreprises. Chaque pays doit d'abord l'intégrer dans son propre droit : c'est la transposition. Les États membres avaient jusqu'au 17 octobre 2024 pour le faire. La France a pris du retard.

Où en est la transposition de NIS2 en France ?

Le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » a été présenté en Conseil des ministres le 15 octobre 2024. Le Sénat l'a adopté en mars 2025, puis la commission spéciale de l'Assemblée nationale l'a voté le 10 septembre 2025. Le texte est discuté en séance publique depuis le 9 novembre 2026. D'après le texte publié le 10 novembre 2026 dans le dossier législatif de l'Assemblée nationale, le vote sur l'ensemble du projet de loi est prévu le mardi 17 novembre 2026.

Ce vote ne clôt pas tout. Si les deux assemblées n'adoptent pas le même texte, il faudra trouver une version commune avant la promulgation, puis publier les décrets et arrêtés. L'ANSSI, l'agence nationale chargée de la cybersécurité, précise dans sa foire aux questions que NIS2 entrera en vigueur en France une fois l'ensemble de ces textes publiés, et que toutes les exigences ne s'appliqueront pas forcément à la même date.

Votre PME est-elle concernée par NIS2 ?

Deux critères se combinent : votre secteur d'activité et votre taille. En règle générale, il faut remplir les deux.

Pour le secteur, la directive distingue deux listes. Les secteurs dits hautement critiques regroupent l'énergie, les transports, la banque, les marchés financiers, la santé, l'eau potable et les eaux usées, les infrastructures numériques, la gestion des services informatiques entre entreprises, l'administration publique et l'espace. Les autres secteurs critiques couvrent les services postaux, la gestion des déchets, la chimie, l'alimentaire, la recherche, les places de marché et moteurs de recherche en ligne, les réseaux sociaux et une partie de l'industrie : dispositifs médicaux, produits électroniques, équipements électriques, machines, véhicules et autres matériels de transport.

Pour la taille, l'ANSSI résume les seuils sur sa page consacrée à NIS2 :

• une entité essentielle emploie au moins 250 personnes, ou dépasse 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de bilan ;
• une entité importante emploie au moins 50 personnes, ou dépasse 10 millions d'euros de chiffre d'affaires et de bilan.

Quelques activités sont visées quelle que soit leur taille, comme les services DNS ou les opérateurs de télécommunications. C'est rare pour une PME classique.

Prenons deux exemples fictifs. Un fabricant de machines spéciales de 80 salariés, installé près d'Annecy, entre a priori dans la catégorie des entités importantes : il fait partie de l'industrie visée et dépasse 50 salariés. Un cabinet d'architectes de 12 personnes, lui, n'est pas dans la liste des secteurs et reste hors du périmètre direct. Dans les deux cas, le test en ligne de l'ANSSI indique si l'entité est régulée et dans quelle catégorie. Une fois la loi en vigueur, les entités concernées devront s'enregistrer auprès de l'ANSSI.

Que change NIS2 pour une entreprise concernée ?

La directive fixe des objectifs plutôt qu'une liste de logiciels à acheter. Voici ce qui change pour un dirigeant.

La direction est en première ligne. L'article 20 demande que les dirigeants approuvent les mesures de cybersécurité, supervisent leur mise en œuvre et suivent eux-mêmes une formation.

Les mesures de sécurité sont décrites à l'article 21. On y trouve, entre autres, l'analyse des risques, la gestion des incidents, les sauvegardes et la reprise d'activité, la sécurité des fournisseurs, la gestion des vulnérabilités, le chiffrement, le contrôle des accès et l'authentification à plusieurs facteurs. L'ANSSI détaille les mesures qu'elle recommande dans un référentiel, le ReCyF, qui pourra encore évoluer.

Les incidents graves devront être déclarés vite. L'article 23 prévoit une alerte précoce dans les 24 heures après la découverte d'un incident important, une notification plus complète dans les 72 heures, puis un rapport final au plus tard un mois après cette notification.

Côté sanctions, la directive prévoit des plafonds d'amende d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante. Les montants français dépendront de la loi adoptée.

Et si votre entreprise n'est pas directement concernée ?

C'est le cas de presque toutes les très petites entreprises, qui restent sous les seuils. Pourtant, l'article 21 demande aux entités régulées de gérer la sécurité de leur chaîne d'approvisionnement, y compris leurs relations avec leurs fournisseurs et prestataires directs. Concrètement, si vous travaillez pour un hôpital, un industriel de l'agroalimentaire ou un transporteur, attendez-vous à recevoir des questionnaires de sécurité et de nouvelles clauses dans vos contrats.

Imaginez un sous-traitant de 20 personnes qui fournit une application de suivi de production à un équipementier. Il n'est pas soumis à NIS2. Son client, lui, l'est, et lui demande qui a accès au serveur, où sont les sauvegardes et comment les failles sont corrigées. Notre article sur l'attaque visant les systèmes connectés des supermarchés montre d'ailleurs qu'un prestataire peut devenir la porte d'entrée d'une attaque.

Photo : Lars Kienle sur Unsplash

Que changer sur vos sites et applications métier ?

Voici les chantiers que nous voyons revenir quand une entreprise veut se rapprocher des attentes de NIS2. Ils valent aussi pour une PME non concernée, parce qu'ils réduisent les risques de toute façon.

Commencez par un inventaire. Listez vos sites, vos applications, vos serveurs, vos noms de domaine, les extensions installées et les comptes qui y ont accès. C'est souvent la première question d'un client.

Organisez ensuite les mises à jour. Les correctifs de sécurité doivent être appliqués selon un rythme écrit, après une sauvegarde et un test. L'exemple de la faille PHP2Shell et de la mise à jour de PHP montre ce qui arrive quand un serveur garde une version dépassée.

Activez l'authentification à plusieurs facteurs sur tous les comptes d'administration : back-office du site, hébergement, nom de domaine, outils métier. Les passkeys, que nous présentons à partir de la fuite du mot de passe « 123456 », sont une manière simple de le faire pour vos utilisateurs.

Vérifiez vos sauvegardes pour de vrai. Elles doivent être stockées ailleurs que sur le serveur principal, et une restauration doit avoir été testée récemment.

Gardez des journaux et mettez en place des alertes. Pour déclarer un incident en 24 heures, il faut d'abord le voir. Conservez les traces de connexion à l'administration et soyez prévenu quand quelque chose d'anormal se produit, par exemple une série d'échecs de connexion.

Clarifiez l'hébergement et les accès de vos prestataires. Où sont vos données, qui peut se connecter au serveur, avec quels droits ? Notre comparatif sur l'hébergement des données en Suisse ou en France vous aide à poser ces questions à votre hébergeur.

Enfin, traitez la sécurité dès le développement : revue du code, mise à jour des bibliothèques utilisées, données réelles absentes des environnements de test, chiffrement des données sensibles.

Et en Suisse ?

La directive NIS2 ne s'applique pas en Suisse, qui ne fait pas partie de l'Union européenne. Une entreprise suisse qui fournit des services ou exerce des activités dans l'Union doit toutefois vérifier sa situation pour ces activités, puisque la directive vise les entités présentes sur le marché européen. Côté suisse, la loi fédérale sur la sécurité de l'information impose depuis le 1er avril 2025 aux exploitants d'infrastructures critiques de signaler les cyberattaques à l'Office fédéral de la cybersécurité dans les 24 heures suivant leur détection.

Par où commencer dès cette semaine ?

Faites le test de l'ANSSI pour savoir dans quelle case vous êtes. Demandez ensuite à votre prestataire l'inventaire de vos applications et la date de la dernière restauration de sauvegarde. Si l'authentification à plusieurs facteurs manque sur vos comptes d'administration, c'est le chantier le plus rapide à lancer.

Nous ne remplaçons pas un juriste ni un audit de conformité. Notre rôle est technique : tenir vos sites et applications à jour, sauvegardés, surveillés et documentés. Si vous voulez savoir ce que couvrirait une maintenance de site web ou d'application adaptée à ces nouvelles attentes, envoyez-nous la liste de vos outils. Nos formules démarrent à 299 € par mois. Nous vous répondons sous 24 h ouvrées, avec un devis sous 48 h, et vous pouvez aussi réserver 15 minutes avec Jérémy depuis la même page. Notre article sur ce que couvre un contrat de maintenance donne aussi des repères.