NIS2 : êtes-vous concerné, et que faire en priorité ?

NIS2 en bref : ce qui change pour une PME

NIS2 est la directive européenne (UE) 2022/2555. Elle remplace la première directive NIS, qui ne visait en France que quelques centaines d'opérateurs désignés un par un. Avec NIS2, on ne vous désigne plus : c'est à vous de vérifier si votre secteur et votre taille vous font entrer dans le périmètre, puis de vous déclarer auprès de l'ANSSI.

L'ANSSI estime qu'environ 15 000 entités sont concernées en France, réparties dans 18 secteurs, dont une grande majorité de PME et d'ETI ainsi que des collectivités. Beaucoup ne le savent pas encore, parce qu'elles ne se sont jamais pensées comme « critiques » : un fabricant de pièces mécaniques, un grossiste alimentaire ou un éditeur de logiciel B2B peuvent l'être.

Êtes-vous concerné ? Les deux questions à se poser

Le périmètre se décide sur deux critères cumulés : votre secteur d'activité, puis votre taille. Si vous répondez oui aux deux, vous êtes très probablement concerné.

• Question 1 : votre activité figure-t-elle dans les secteurs de la directive ? — Secteurs hautement critiques (annexe I) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services informatiques entre entreprises (infogérance, services managés de sécurité), administration publique, espace. Autres secteurs critiques (annexe II) : services postaux et d'expédition, gestion des déchets, produits chimiques, production et distribution alimentaire, fabrication (dispositifs médicaux, informatique et électronique, équipements électriques, machines, véhicules et matériel de transport), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche.
• Question 2 : êtes-vous au moins une entreprise moyenne ? — Le seuil d'entrée est celui de l'entreprise moyenne au sens européen : 50 salariés ou plus, ou un chiffre d'affaires annuel ET un total de bilan supérieurs à 10 millions d'euros. En dessous, une petite entreprise ou une microentreprise est en principe hors champ.
• Les exceptions qui ignorent la taille — Certaines activités sont visées quelle que soit votre taille : fournisseurs de réseaux ou de services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine et fournisseurs de services DNS, ainsi que l'entité qui est seule à fournir un service essentiel dans une zone. Attention aussi aux groupes : les effectifs et le chiffre d'affaires des entreprises liées ou partenaires s'additionnent selon les règles européennes.
• Vérifier officiellement — L'ANSSI met à disposition un simulateur d'éligibilité et l'espace de déclaration MonEspaceNIS2. Un résultat « non concerné » mérite d'être conservé par écrit, avec les chiffres utilisés : c'est la preuve de votre bonne foi si la question revient.

Entité essentielle ou entité importante ?

Une fois dans le périmètre, vous êtes classé dans l'une des deux catégories. Une grande entreprise (250 salariés ou plus, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions de bilan) d'un secteur de l'annexe I est en règle générale une entité essentielle. Une entreprise moyenne de l'annexe I, ou une entreprise moyenne ou grande de l'annexe II, est en règle générale une entité importante.

Pour une PME, le cas le plus fréquent est donc celui d'entité importante. Les mesures de sécurité à mettre en place sont les mêmes dans les deux catégories ; ce qui change, c'est la supervision (contrôles a priori pour les entités essentielles, a posteriori, après un incident ou un signalement, pour les entités importantes) et le plafond des sanctions.

Ce que vous risquez à ne rien faire

• Des amendes administratives — Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, jusqu'à 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.
• La responsabilité de la direction — Les dirigeants doivent approuver les mesures de gestion des risques, en suivre la mise en œuvre et se former. Ils peuvent être tenus pour responsables d'un manquement.
• La perte de clients — Vos clients assujettis doivent maîtriser la sécurité de leurs fournisseurs. Une PME qui ne sait pas répondre à un questionnaire de sécurité ou montrer un rapport d'audit risque de sortir des appels d'offres, même si elle n'est pas elle-même soumise à NIS2.
• L'incident mal géré — Sans procédure écrite, les délais de notification (alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois) sont presque impossibles à tenir au milieu d'une crise.

Le calendrier : où en est la transposition en France

La directive est entrée en vigueur le 16 janvier 2023 et les États membres devaient la transposer avant le 17 octobre 2024. En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, présenté en Conseil des ministres le 15 octobre 2024, puis par des décrets et arrêtés qui fixent le détail des obligations.

L'ANSSI a annoncé une mise en œuvre progressive, avec des délais pour se mettre en conformité après la publication des textes. Ce délai n'est pas une raison d'attendre : un plan de conformité réaliste pour une PME prend en général de 6 à 18 mois, et la déclaration auprès de l'ANSSI arrive, elle, dès l'entrée en vigueur. Vérifiez l'état exact des textes sur le site de l'ANSSI avant toute décision.

Par quoi commencer : les 6 premières mesures

La directive liste dix familles de mesures (article 21). Pour une PME qui part de peu, voici l'ordre qui donne le plus de sécurité réelle pour le moins d'effort.

1. Confirmer l'éligibilité et nommer un responsable — Secteur, taille, catégorie, puis une personne qui porte le sujet et rend compte à la direction.
2. Faire l'inventaire — Les systèmes, les données sensibles, les comptes à privilèges et les prestataires qui y ont accès. On ne protège pas ce qu'on ne connaît pas.
3. Activer l'authentification multifacteur partout où c'est possible — Messagerie, accès à distance, comptes d'administration, outils en ligne. C'est la mesure qui bloque le plus d'attaques courantes.
4. Tester vos sauvegardes et écrire un plan de continuité — Une sauvegarde hors ligne restaurée au moins une fois, et une page qui dit qui fait quoi si tout est chiffré un lundi matin.
5. Écrire la procédure d'incident — Qui détecte, qui qualifie, qui notifie l'ANSSI dans les 24 heures, avec les contacts déjà remplis.
6. Mesurer l'écart avec un regard extérieur — Un audit d'écart et un test d'intrusion ciblé transforment une liste d'intentions en plan priorisé et chiffré, présentable en comité de direction.