Directive NIS2 : guide de conformité pour les PME en 2026

Qu'est-ce que la directive NIS2 ?

La directive NIS2 (Network and Information Security 2) est le cadre réglementaire européen entré en vigueur pour renforcer la cybersécurité des organisations à travers l'Union européenne. Succédant à la directive NIS de 2016, cette nouvelle version élargit considérablement le périmètre des entreprises concernées et durcit les obligations en matière de sécurité informatique.

Contrairement à ce que beaucoup de dirigeants pensent, NIS2 ne concerne pas uniquement les grandes entreprises. De nombreuses PME, notamment celles opérant dans des secteurs critiques ou fournissant des services essentiels, sont désormais directement visées par cette réglementation.

Pourquoi NIS2 concerne aussi les PME

Un périmètre élargi à 18 secteurs

La directive NIS2 couvre désormais 18 secteurs d'activité répartis en deux catégories :

Entités essentielles :

• Énergie (électricité, gaz, pétrole)
• Transports (aérien, ferroviaire, maritime, routier)
• Santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux)
• Eau potable et eaux usées
• Infrastructure numérique (data centers, DNS, cloud)
• Administration publique
• Espace

Entités importantes :

• Services postaux et de courrier
• Gestion des déchets
• Industrie chimique
• Alimentation (production, transformation, distribution)
• Fabrication (dispositifs médicaux, électronique, machines)
• Services numériques (places de marché, moteurs de recherche, réseaux sociaux)
• Recherche

Le critère de taille

Sont concernées les entreprises de plus de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires. Mais attention : certaines PME de taille inférieure peuvent également être incluses si elles sont considérées comme fournisseurs critiques d'une entité essentielle.

En pratique, si votre PME fournit des services informatiques, du cloud ou de l'hébergement à des entreprises dans les secteurs listés, vous êtes potentiellement dans le périmètre NIS2.

Les obligations concrètes imposées par NIS2

1. Gouvernance de la cybersécurité

La direction de l'entreprise doit assumer la responsabilité de la cybersécurité. Ce n'est plus uniquement l'affaire du service informatique. Les dirigeants doivent :

• Approuver les mesures de gestion des risques cyber
• Superviser leur mise en œuvre
• Suivre des formations en cybersécurité
• Être tenus personnellement responsables en cas de manquement

2. Gestion des risques

NIS2 impose la mise en place de mesures techniques et organisationnelles proportionnées aux risques identifiés :

• Analyse de risques documentée et régulièrement mise à jour
• Politiques de sécurité des systèmes d'information
• Gestion des incidents de sécurité
• Continuité d'activité et gestion de crise
• Sécurité de la chaîne d'approvisionnement
• Sécurité dans l'acquisition, le développement et la maintenance des systèmes
• Évaluation de l'efficacité des mesures de cybersécurité

3. Notification des incidents

En cas d'incident de sécurité significatif, l'entreprise doit :

• Envoyer une alerte précoce dans les 24 heures suivant la détection
• Fournir une notification complète dans les 72 heures
• Remettre un rapport final dans un délai d'un mois

Le non-respect de ces délais peut entraîner des sanctions administratives importantes.

4. Sécurité de la chaîne d'approvisionnement

C'est l'une des nouveautés majeures de NIS2 : les entreprises doivent évaluer et gérer les risques liés à leurs fournisseurs et prestataires. Concrètement, cela signifie :

• Auditer la sécurité de vos prestataires IT
• Intégrer des clauses de cybersécurité dans vos contrats
• Vérifier que vos sous-traitants respectent les mêmes standards

Les sanctions en cas de non-conformité

Les amendes prévues par NIS2 sont significatives et varient selon la catégorie de l'entité :

• Entité essentielle : jusqu'à 10 millions € ou 2% du CA mondial
• Entité importante : jusqu'à 7 millions € ou 1,4% du CA mondial

Au-delà des amendes, les dirigeants peuvent faire l'objet de sanctions personnelles, incluant l'interdiction temporaire d'exercer des fonctions de direction.

Comment se préparer : plan d'action en 7 étapes

Étape 1 : Déterminer si vous êtes concerné

Vérifiez si votre activité entre dans l'un des 18 secteurs couverts et si vous dépassez les seuils de taille. N'oubliez pas le critère de fournisseur critique qui peut vous inclure même en dessous des seuils.

Étape 2 : Réaliser un état des lieux

Effectuez un audit complet de votre posture de cybersécurité actuelle :

• Inventaire des actifs informatiques
• Cartographie des flux de données
• Identification des vulnérabilités existantes
• Évaluation des mesures de protection en place

Étape 3 : Nommer un responsable cybersécurité

Même dans une PME, il est essentiel de désigner une personne (interne ou externe) responsable de la conformité NIS2. Un prestataire d'infogérance peut remplir ce rôle pour les structures qui n'ont pas les ressources en interne.

Étape 4 : Mettre en place une politique de sécurité

Documentez votre politique de sécurité des systèmes d'information (PSSI) incluant :

• Les règles d'accès et d'authentification (MFA obligatoire)
• La politique de mots de passe
• Les procédures de sauvegarde (règle 3-2-1)
• Le plan de continuité d'activité (PCA/PRA)
• Les procédures de gestion des incidents

Étape 5 : Sécuriser la chaîne d'approvisionnement

Auditez vos prestataires et fournisseurs IT :

• Vérifiez leurs certifications (ISO 27001, SOC 2)
• Intégrez des clauses de cybersécurité dans vos contrats
• Demandez des rapports réguliers sur leur posture de sécurité

Étape 6 : Former les équipes

La sensibilisation des collaborateurs est une obligation NIS2. Mettez en place :

• Des formations régulières à la cybersécurité
• Des exercices de simulation de phishing
• Une culture de signalement des incidents

Étape 7 : Tester et améliorer en continu

La conformité NIS2 n'est pas un projet ponctuel mais un processus continu :

• Tests d'intrusion réguliers
• Exercices de gestion de crise
• Revue annuelle de la politique de sécurité
• Veille sur les nouvelles menaces et vulnérabilités

NIS2 et les PME lyonnaises : un enjeu local

Pour les PME de la région lyonnaise, NIS2 représente à la fois un défi et une opportunité. Lyon étant un pôle économique majeur avec une forte concentration d'entreprises dans les secteurs de la santé, de l'industrie et des services numériques, de nombreuses structures locales sont directement ou indirectement concernées.

Se mettre en conformité, c'est aussi renforcer sa compétitivité : les entreprises conformes NIS2 inspirent davantage confiance à leurs clients et partenaires. Dans un contexte où les cyberattaques ciblent de plus en plus les PME (43% des attaques en France visent des structures de moins de 250 salariés), la conformité NIS2 est avant tout une protection pour votre activité.

Le rôle d'un prestataire informatique dans la conformité NIS2

Se conformer à NIS2 en interne est complexe pour une PME. Un prestataire spécialisé comme VaultAura peut vous accompagner sur l'ensemble du processus :

• Audit initial de votre posture de cybersécurité
• Mise en place des mesures techniques (pare-feu, MFA, chiffrement, supervision)
• Rédaction de la documentation obligatoire (PSSI, PCA/PRA, procédures d'incident)
• Formation de vos équipes
• Supervision continue de votre infrastructure (monitoring 24/7)
• Gestion des incidents avec respect des délais de notification

L'externalisation de la cybersécurité auprès d'un prestataire certifié est d'ailleurs reconnue par NIS2 comme une approche valide, à condition que le prestataire lui-même respecte les exigences de la directive.

Conclusion

La directive NIS2 marque un tournant dans la régulation de la cybersécurité en Europe. Pour les PME, l'enjeu est clair : anticiper plutôt que subir. Les entreprises qui se mettent en conformité dès maintenant gagneront un avantage concurrentiel significatif tout en protégeant efficacement leur activité contre les cybermenaces croissantes.

Ne restez pas dans l'attente. Contactez un expert en cybersécurité pour évaluer votre situation et construire votre feuille de route vers la conformité NIS2. VaultAura accompagne les PME lyonnaises dans cette transition avec des solutions sur mesure, de l'audit initial à la supervision continue.

Vous souhaitez savoir si votre entreprise est concernée par NIS2 ? Contactez VaultAura pour un diagnostic gratuit de votre conformité cybersécurité.