NIS2 pour les PME — checklist de conformité 2026

Test en 2 questions. (1) Votre secteur figure-t-il dans l'annexe I ou II de la directive (énergie, santé, transport, banque, cloud, fournisseurs TIC managés, alimentation, déchets, industrie chimique, etc.) ? (2) Avez-vous 50+ salariés OU 10+ M€ de CA ? Si oui aux deux : oui, vous êtes entité essentielle ou importante. Si non au secteur mais OUI à un sous-traitant critique d'une entité NIS2 : vous serez appelé à prouver votre niveau de sécurité via le volet "gestion du risque fournisseur". Fin 2026, on estime qu'environ 160 000 entités françaises sont directement concernées vs 500 sous NIS1 — c'est une multiplication par ~300.

Les deux sont soumises aux mêmes obligations de sécurité. La différence est dans le niveau de supervision et les sanctions. **Entités essentielles** (secteurs hautement critiques : énergie, santé, eau, transports, banque, cloud public, infrastructure DNS) : supervision proactive par l'ANSSI, sanctions max 10 M€ ou 2 % du CA mondial. **Entités importantes** (secteurs critiques : services postaux, produits chimiques, alimentation, déchets, industrie, services numériques non-cloud, agroalimentaire) : supervision réactive (sur incident ou plainte), sanctions max 7 M€ ou 1,4 % du CA mondial. Pour une PME, la nuance pratique = fréquence des audits.

Directive UE 2022/2555 adoptée le 14 décembre 2022. Transposition française via la loi de juillet 2025 (après retard de transposition, l'échéance initiale était octobre 2024). Applicable en pratique depuis octobre 2024 avec une période de mise en conformité étalée jusqu'à fin 2026. L'ANSSI publie progressivement les décrets d'application par secteur. Notre recommandation : ne pas attendre le contrôle, les PME qui se mettent en conformité tôt ont 12 mois pour étaler le coût ; celles qui attendent un contrôle ont 30 jours et paient 3 à 5 fois plus cher.

Variable selon le point de départ. Pour une PME déjà basiquement structurée (MFA, backups, EDR, accompagnement par un RSSI à temps partagé), l'effort est ~8 à 15 j de conseil + formation + documentation — pour les PME dont la sécurité est nulle ou embryonnaire (pas de MFA, backups douteux, aucune doc), il faut compter 20 à 40 j de conseil + investissement dans les outils manquants (EDR, Vault pour secrets, MFA matériel type YubiKey pour les admins). Votre cyber-assurance exigera probablement le même niveau — donc l'investissement NIS2 sert aussi pour obtenir une prime raisonnable.

NIS2 article 23 impose que tout incident "significatif" soit notifié à l'ANSSI en 3 temps. (1) **Alerte initiale sous 24 h** après détection : description courte, statut initial, impact suspecté. (2) **Rapport intermédiaire sous 72 h** : analyse de la cause, périmètre confirmé, mesures de confinement prises. (3) **Rapport final sous 1 mois** : cause racine confirmée, mesures correctives, leçons apprises. Un incident "significatif" = interruption de service, perte financière élevée, compromission de données. Concrètement : tout rançongiciel = notification obligatoire, toute compromission de données = notification obligatoire. Sans plan de réponse pré-écrit, respecter ces délais est impossible.

Oui, largement. NIS2 n'exige PAS de certification ISO 27001 — c'est une directive de moyens, pas de résultat. Elle impose des mesures techniques et organisationnelles "appropriées au risque". Vous pouvez être conforme en documentant votre gouvernance, votre analyse de risques, vos mesures, et vos procédures — sans jamais passer de certification. Cependant : ISO 27001 facilite énormément la démonstration de conformité NIS2 (référentiel reconnu), est exigée par certains gros clients B2B, et donne un avantage commercial. Pour une PME < 100 personnes, conformité NIS2 sans ISO 27001 est raisonnable ; au-dessus, ISO 27001 devient un atout différenciant.

Trois types de sanctions cumulables. (1) **Amende administrative** : jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes — l'ANSSI peut moduler selon la gravité, la récidive et la coopération. (2) **Sanctions personnelles contre les dirigeants** : suspension temporaire de fonctions dirigeantes en cas de manquement grave (nouveauté NIS2). (3) **Réputation + clients** : tout incident notifié devient public via l'ANSSI — vos clients/prospects le verront. Dans les faits, peu de PME seront sanctionnées les 2 premières années (l'ANSSI priorise les entités essentielles), mais l'assurance cyber exigera la preuve de conformité à partir de 2026-2027 — la "non-conformité" devient refus de couverture, ce qui est équivalent économiquement.

Pour une PME < 200 salariés, un RSSI à temps partagé (vCISO) est largement suffisant : 2 à 5 j/mois permet de piloter la conformité NIS2, superviser les audits, répondre aux questionnaires clients, coordonner la réponse à incident. Coût typique : nettement inférieur à un poste temps plein. Au-dessus de 200 salariés ou pour les secteurs à risque élevé (santé, finance), un RSSI interne dédié se justifie. NIS2 impose une responsabilité mais pas un titre : l'important est que quelqu'un ait le mandat, la compétence et les moyens d'agir.

Checklist pratique. (1) Le dossier de gouvernance : politique de sécurité signée par la direction, analyse de risques datée de moins de 12 mois, registre des incidents, procédure de notification testée. (2) Les preuves techniques : captures de configuration MFA, résultats du dernier pentest, logs EDR conservés, preuves de restauration de sauvegarde. (3) Le registre fournisseurs : liste des prestataires TIC critiques avec leurs engagements sécurité. (4) La formation dirigeants : attestations de participation. Un audit ANSSI dure 1 à 3 jours selon la taille. Non-conforme à la première visite ? Plan d'action 6 mois puis re-contrôle. Les sanctions tombent à la 2ᵉ non-conformité constatée, rarement à la 1re.

Plan minimum viable en 3 mois pour une PME qui part de zéro. **Mois 1** : qualification statut (entité essentielle ou importante), cartographie des actifs critiques, nomination d'un responsable sécurité, déploiement MFA FIDO2 sur les comptes admin, vérification des sauvegardes. **Mois 2** : analyse de risques documentée, rédaction politique de sécurité, mise en place EDR, première formation direction (4 h), politique de moindre privilège. **Mois 3** : plan de réponse à incident écrit et testé, audit technique / pentest, revue des contrats fournisseurs critiques, mise en place du registre des incidents. À la fin du 3ᵉ mois vous êtes "NIS2-ready" même si des optimisations restent. ADN IA accompagne typiquement sur ce format — premier échange gratuit via /contact.