Loi NIS2 : qui est concerné et ce qu’une PME peut préparer

NIS2 est une directive européenne, à reprendre dans la loi de chaque pays de l’Union, qui élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité. En France, cette « loi NIS2 » est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont l’examen à l’Assemblée nationale, prévu début octobre 2026, a été reporté sans nouvelle date.

Même si la loi ne la vise pas, une PME qui travaille pour une organisation concernée verra arriver ses exigences par contrat : mieux vaut s’y préparer.

Où en est la loi NIS2 au 21 octobre 2026

Les pays de l’Union devaient reprendre la directive au plus tard le 17 octobre 2024. En France, le projet de loi, déposé au Sénat le 15 octobre 2024 en procédure accélérée, y a été adopté en première lecture le 12 mars 2025 ; la commission spéciale de l’Assemblée nationale a adopté son texte le 10 septembre 2025. Il reprend trois directives : NIS2, celle sur la résilience des entités critiques et celle liée au règlement DORA pour le secteur financier.

Prévu en séance publique les 7 et 9 octobre 2026, le texte a été retiré de l’ordre du jour le 6 octobre ; les réunions qui fixent cet ordre du jour ne l’ont pas réinscrit les 13 et 20 octobre. Aucune nouvelle date n’est fixée à ce jour (voir le dossier législatif de l’Assemblée nationale).

Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, l’Espagne, l’Irlande et les Pays-Bas pour ce retard. Elle demande à la Cour une somme forfaitaire et des astreintes journalières (pénalités par jour de retard) jusqu’à la reprise complète de la directive.

Après la promulgation viendront les décrets et arrêtés d’application. Selon l’ANSSI, l’agence de l’État chargée de la cybersécurité, dans sa FAQ sur l’avancement de la transposition, NIS2 entrera en vigueur en France quand tous ces textes seront publiés, sans que toutes les exigences s’appliquent dès cette date : les délais de mise en conformité ne sont pas encore arrêtés.

NIS2 : qui est concerné directement

Selon l’ANSSI, plusieurs milliers d’organisations seront concernées, surtout des moyennes et grandes entreprises, des collectivités et des administrations. Leurs 18 secteurs forment deux groupes :

• les secteurs « hautement critiques », dont l’énergie, les transports, la santé, l’eau potable, les infrastructures numériques, la banque ou les prestataires qui gèrent l’informatique d’autres entreprises (infogérance) ;
• les autres secteurs « critiques », dont l’industrie manufacturière, l’agroalimentaire, la gestion des déchets, la chimie, les services postaux et les fournisseurs numériques.

Une entreprise d’un secteur hautement critique est en principe « entité essentielle » si elle emploie au moins 250 personnes, ou si son chiffre d’affaires annuel dépasse 50 millions d’euros et son bilan 43 millions d’euros. Les autres entreprises des secteurs concernés sont « entités importantes » si elles emploient au moins 50 personnes, ou si leur chiffre d’affaires et leur bilan annuels dépassent 10 millions d’euros. Les micro et petites entreprises ne sont en principe pas soumises à la loi, sauf cas particuliers (certains acteurs des noms de domaine, par exemple).

Pour vérifier votre situation, l’ANSSI propose un test en ligne sur MonEspaceNIS2, où l’on peut aussi se pré-enregistrer.

Ce que devront faire les entreprises concernées

L’ANSSI résume le dispositif en trois obligations : s’enregistrer auprès d’elle, autorité nationale compétente ; mettre en place des mesures de gestion des risques pour atteindre les objectifs de sécurité fixés par le texte français ; lui signaler les incidents importants et les failles de sécurité critiques.

Ces mesures sont décrites dans le Référentiel Cyber France (ReCyF) de l’ANSSI, dont la version 2.5 du 17 mars 2026 reste une version de travail, susceptible d’évoluer avec les débats parlementaires. Il fixe 20 objectifs de sécurité : les quinze premiers pour les entités importantes et essentielles, les cinq derniers pour les seules entités essentielles. Selon l’ANSSI, ces objectifs deviendront obligatoires par décret une fois la loi promulguée ; les « moyens acceptables de conformité » proposés pour les atteindre resteront en principe facultatifs, sauf cas particuliers. Certains acteurs du numérique relèvent d’un règlement européen spécifique.

La directive prévoit enfin que la direction approuve ces mesures, supervise leur mise en œuvre et puisse être tenue responsable en cas de manquement. Selon l’ANSSI, les sanctions pourront atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, et 7 millions d’euros ou 1,4 % pour une entité importante.

Fournisseurs et prestataires : concernés sans être visés

La directive impose aussi d’assurer « la sécurité de la chaîne d’approvisionnement », y compris dans les relations avec les fournisseurs et prestataires directs. Le ReCyF en fait un objectif, « Maîtrise de l’écosystème », dont les moyens proposés prévoient notamment que l’entreprise concernée :

• tienne à jour la liste de ses prestataires et fournisseurs informatiques, avec un contact pour chacun ;
• s’assure que chaque prestation respecte ses propres obligations, notamment en gestion des risques et en signalement des incidents, et en obtienne des garanties contractuelles : plan d’assurance sécurité (engagements de sécurité écrits du prestataire), charte de télémaintenance (règles des interventions à distance) ou indicateurs de suivi, par exemple ;
• vérifie régulièrement cette conformité, éventuellement par des audits.

L’éditeur du logiciel métier, l’infogérant ou l’hébergeur d’une entreprise concernée doivent donc s’attendre à des questionnaires de sécurité, des clauses contractuelles et des demandes d’audit. Ces exigences viendront du contrat, pas de la loi, mais pourront peser lors du renouvellement des marchés.

Ce que votre PME peut préparer dès maintenant

Quelques chantiers de base, inspirés du ReCyF, répondent à l’essentiel des questions d’un client :

• la liste de vos systèmes, comptes administrateurs et accès chez vos clients ;
• l’authentification multifacteur (un code ou une clé en plus du mot de passe) pour les accès à distance et les comptes aux droits étendus ;
• des mises à jour de sécurité régulières, en suivant les alertes du CERT-FR (le centre d’alerte de l’État), et des logiciels encore maintenus par leur éditeur ;
• des sauvegardes protégées et des restaurations réellement testées ;
• une procédure d’incident, avec une personne chargée de prévenir vos clients sans délai ;
• un dossier prêt à transmettre : mesures en place, liste de vos sous-traitants, engagements tenables. Mieux vaut s’engager sur ce que l’on sait tenir que signer une annexe de sécurité inapplicable.

Un exemple concret

Prenons, à titre d’illustration, une PME de 20 personnes, au chiffre d’affaires inférieur à 10 millions d’euros, qui développe et héberge l’application de planning d’un groupe de cliniques privées de 400 salariés. Elle n’est en principe pas soumise à la loi. Son client, du secteur de la santé (hautement critique) et de plus de 250 personnes, serait en principe entité essentielle. Avant de renouveler le contrat, il envoie un questionnaire sur ces mêmes sujets, délais des mises à jour compris, et demande l’acceptation d’un audit.

Si la PME a inventorié ses accès, activé l’authentification multifacteur sur l’administration de l’hébergement, testé une restauration complète et rédigé un court plan d’assurance sécurité, elle répond point par point, preuves à l’appui. Le questionnaire devient un argument commercial plutôt qu’un risque de perdre le marché.

Questions fréquentes

La loi NIS2 est-elle déjà en vigueur en France ?

Non. Au 21 octobre 2026, l’Assemblée nationale n’a pas examiné en séance le projet de loi adopté par le Sénat. Il faudra ensuite un texte voté dans les mêmes termes par les deux assemblées, le cas échéant après une commission mixte paritaire (députés et sénateurs réunis pour trouver un accord), puis la promulgation et les décrets.

Mon entreprise a moins de 50 salariés : est-elle concernée ?

Avec moins de 50 personnes et un chiffre d’affaires ou un bilan ne dépassant pas 10 millions d’euros, elle n’est en principe pas directement soumise à la loi, sauf cas particuliers. Si vous travaillez pour une entité essentielle ou importante, ses exigences vous parviendront par le contrat.

Dois-je m’inscrire dès maintenant sur MonEspaceNIS2 ?

Le pré-enregistrement est ouvert aux organisations qui se savent concernées, mais l’obligation ne s’appliquera qu’une fois la loi en vigueur. Une PME sous-traitante non soumise à la loi n’a pas à le faire : la démarche revient à son client, s’il est concerné.

411bit accompagne les TPE, PME et ETI dans la préparation à NIS2 : audit de cybersécurité, choix des mesures prioritaires, aide pour répondre aux questionnaires de vos donneurs d’ordre, puis, si vous le souhaitez, supervision et maintien en condition opérationnelle (surveillance et entretien de vos systèmes), sur devis établi au livrable. Contactez-nous pour en parler : chaque demande reçoit une réponse sous 24 heures ouvrées. Voir aussi : sécuriser son informatique sans bloquer la croissance.