Êtes-vous concerné par NIS2 ?

Non. Ce quiz est un outil d'orientation en 8 questions, conçu pour vous dire en deux minutes si vous êtes probablement dans le périmètre de la directive et à quel titre. La qualification définitive dépend de critères que huit questions ne peuvent pas couvrir : le rattachement précis de votre activité aux annexes I et II de la directive, votre structure de groupe, et votre rôle éventuel de fournisseur critique d'une entité déjà concernée. Utilisez ce verdict pour savoir s'il faut ouvrir le sujet — pas pour clore le débat. Le guide NIS2 complet détaille les critères officiels.

Oui, et c'est le piège que la plupart des dirigeants ne voient pas venir. NIS2 introduit un volet « gestion du risque fournisseur » : les entités concernées doivent s'assurer du niveau de sécurité de leurs prestataires informatiques et de leurs sous-traitants critiques. Concrètement, si vous fournissez un service numérique, un logiciel ou une prestation d'infogérance à une entreprise soumise à NIS2, elle vous demandera des preuves — questionnaires de sécurité, engagements contractuels, parfois audits. Vous n'êtes pas assujetti directement, mais vous subissez l'obligation par ricochet, et elle peut conditionner le renouvellement du contrat.

Les deux catégories sont soumises aux mêmes obligations de sécurité — c'est le point que tout le monde rate. La différence porte sur la supervision et sur le plafond des sanctions : les entités essentielles (secteurs hautement critiques) font l'objet d'une supervision proactive, avec des sanctions administratives plus élevées ; les entités importantes relèvent d'une supervision réactive, déclenchée par un incident ou une plainte, avec un plafond de sanction inférieur. Pour un dirigeant de PME, la conséquence pratique est simple : la nuance change la probabilité d'être contrôlé, pas le travail à accomplir.

Trois risques, dont le troisième est le plus immédiat. (1) Les sanctions administratives : elles existent et sont dissuasives, mais l'autorité priorise d'abord les entités essentielles — une PME a peu de chances d'être contrôlée dès la première année. (2) La responsabilité des dirigeants : NIS2 introduit la possibilité de sanctions personnelles en cas de manquement grave, ce qui change la nature du sujet — ce n'est plus une affaire d'informaticiens. (3) L'assurance et les clients : c'est le risque qui mord le plus tôt. Les assureurs cyber exigent des preuves de conformité, et vos clients soumis à NIS2 vous les demanderont dans leurs questionnaires fournisseurs. Économiquement, un refus de couverture ou la perte d'un contrat arrive bien avant une amende.

Par la gouvernance, pas par la technique — c'est contre-intuitif, mais c'est l'ordre qui fonctionne. (1) Désignez un responsable identifié et faites valider le sujet au niveau de la direction : NIS2 engage explicitement les dirigeants. (2) Réalisez une analyse de risques datée, même simple : c'est le document que l'autorité demandera en premier. (3) Écrivez votre plan de réponse à incident, parce que le délai de notification initiale est de 24 heures — sans procédure écrite, il est impossible à tenir. (4) Traitez ensuite les fondamentaux techniques (authentification forte, sauvegardes testées, correctifs, journalisation). (5) Documentez tout : sans preuve, une mesure appliquée ne compte pas. La checklist en 10 étapes déroule le chemin complet.