NIS2 pour les PME — checklist de conformité 2026

Test en 2 questions. (1) Votre secteur figure-t-il dans l'annexe I ou II de la directive (énergie, santé, transport, banque, cloud, fournisseurs TIC managés, alimentation, déchets, industrie chimique, etc.) ? (2) Avez-vous 50+ salariés OU 10+ M€ de CA ? Si oui aux deux : oui, vous êtes entité essentielle ou importante. Si non au secteur mais OUI à un sous-traitant critique d'une entité NIS2 : vous serez appelé à prouver votre niveau de sécurité via le volet "gestion du risque fournisseur". L'ANSSI estime qu'environ 15 000 entités françaises sont directement concernées, contre environ 500 sous NIS1 — un périmètre multiplié par ~30, qui englobe pour la première fois une masse de PME.

Les deux sont soumises aux mêmes obligations de sécurité. La différence est dans le niveau de supervision et les sanctions. Entités essentielles (secteurs hautement critiques : énergie, santé, eau, transports, banque, cloud public, infrastructure DNS) : supervision proactive par l'ANSSI, sanctions max 10 M€ ou 2 % du CA mondial. Entités importantes (secteurs critiques : services postaux, produits chimiques, alimentation, déchets, industrie, services numériques non-cloud, agroalimentaire) : supervision réactive (sur incident ou plainte), sanctions max 7 M€ ou 1,4 % du CA mondial. Pour une PME, la nuance pratique = fréquence des audits.

Directive (UE) 2022/2555 adoptée le 14 décembre 2022, avec une échéance de transposition fixée au 17 octobre 2024. En France, la transposition est portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont l'examen parlementaire n'est pas achevé à la date de mise à jour de cette page : le statut à jour est publié par l'ANSSI sur messervices.cyber.gouv.fr/nis2. Les obligations décrites dans ce guide découlent de la directive elle-même et ne bougeront qu'à la marge ; les précisions d'application viendront ensuite par décrets, avec une montée en charge progressive des contrôles. Notre recommandation : ne pas attendre le texte définitif. Les PME qui s'y prennent tôt étalent l'effort dans le temps et le budgètent sereinement ; celles qui attendent une injonction se retrouvent à tout faire d'un coup, dans l'urgence et au prix fort.

Variable selon le point de départ. Pour une PME déjà basiquement structurée (MFA, backups, EDR, accompagnement par un RSSI à temps partagé), l'effort est ~8 à 15 j de conseil + formation + documentation — pour les PME dont la sécurité est nulle ou embryonnaire (pas de MFA, backups douteux, aucune doc), il faut compter 20 à 40 j de conseil + investissement dans les outils manquants (EDR, Vault pour secrets, MFA matériel type YubiKey pour les admins). Votre cyber-assurance exigera probablement le même niveau — donc l'investissement NIS2 sert aussi pour obtenir une prime raisonnable.

NIS2 article 23 impose que tout incident "significatif" soit notifié à l'ANSSI en 3 temps. (1) Alerte initiale sous 24 h après détection : description courte, statut initial, impact suspecté. (2) Rapport intermédiaire sous 72 h : analyse de la cause, périmètre confirmé, mesures de confinement prises. (3) Rapport final sous 1 mois : cause racine confirmée, mesures correctives, leçons apprises. Un incident "significatif" = interruption de service, perte financière élevée, compromission de données. Concrètement : tout rançongiciel = notification obligatoire, toute compromission de données = notification obligatoire. Sans plan de réponse pré-écrit, respecter ces délais est impossible.

Oui, largement. NIS2 n'exige PAS de certification ISO 27001 — c'est une directive de moyens, pas de résultat. Elle impose des mesures techniques et organisationnelles "appropriées au risque". Vous pouvez être conforme en documentant votre gouvernance, votre analyse de risques, vos mesures, et vos procédures — sans jamais passer de certification. Cependant : ISO 27001 facilite énormément la démonstration de conformité NIS2 (référentiel reconnu), est exigée par certains gros clients B2B, et donne un avantage commercial. Pour une PME < 100 personnes, conformité NIS2 sans ISO 27001 est raisonnable ; au-dessus, ISO 27001 devient un atout différenciant.

Trois types de sanctions cumulables. (1) Amende administrative : jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes — l'ANSSI peut moduler selon la gravité, la récidive et la coopération. (2) Sanctions personnelles contre les dirigeants : suspension temporaire de fonctions dirigeantes en cas de manquement grave (nouveauté NIS2). (3) Réputation et clients : tout incident notifié devient public via l'ANSSI — vos clients/prospects le verront. Dans les faits, peu de PME seront sanctionnées les 2 premières années (l'ANSSI priorise les entités essentielles), mais l'assurance cyber exigera la preuve de conformité à partir de 2026-2027 — la "non-conformité" devient refus de couverture, ce qui est équivalent économiquement.

Pour une PME < 200 salariés, un RSSI à temps partagé (vCISO) est largement suffisant : 2 à 5 j/mois permet de piloter la conformité NIS2, superviser les audits, répondre aux questionnaires clients, coordonner la réponse à incident. Coût typique : nettement inférieur à un poste temps plein. Au-dessus de 200 salariés ou pour les secteurs à risque élevé (santé, finance), un RSSI interne dédié se justifie. NIS2 impose une responsabilité mais pas un titre : l'important est que quelqu'un ait le mandat, la compétence et les moyens d'agir.

Checklist pratique. (1) Le dossier de gouvernance : politique de sécurité signée par la direction, analyse de risques datée de moins de 12 mois, registre des incidents, procédure de notification testée. (2) Les preuves techniques : captures de configuration MFA, résultats du dernier pentest, logs EDR conservés, preuves de restauration de sauvegarde. (3) Le registre fournisseurs : liste des prestataires TIC critiques avec leurs engagements sécurité. (4) La formation dirigeants : attestations de participation. Un audit ANSSI dure 1 à 3 jours selon la taille. Non-conforme à la première visite ? Plan d'action 6 mois puis re-contrôle. Les sanctions tombent à la 2ᵉ non-conformité constatée, rarement à la 1re.

Un plan minimum viable en trois phases pour une PME qui part de zéro. Phase 1, les fondations : qualification du statut (entité essentielle ou importante), cartographie des actifs critiques, nomination d'un responsable sécurité, déploiement MFA FIDO2 sur les comptes admin, vérification des sauvegardes. Phase 2, la formalisation : analyse de risques documentée, rédaction de la politique de sécurité, mise en place d'un EDR, première formation de la direction (4 h), politique de moindre privilège. Phase 3, la mise à l'épreuve : plan de réponse à incident écrit et testé, audit technique / pentest, revue des contrats fournisseurs critiques, mise en place du registre des incidents. Au terme de la phase 3 vous êtes "NIS2-ready", même si des optimisations restent. Le rythme dépend de vos ressources internes et de votre point de départ : ADN IA accompagne typiquement sur ce format — premier échange de cadrage gratuit, puis devis détaillé sous 24 h.