Pour savoir si NIS2 concerne votre PME, cinq questions suffisent : votre secteur, votre taille, une éventuelle exception, votre catégorie d’entité et le poids de vos clients régulés. Répondez-y dans l’ordre : la plupart des dirigeants savent en moins d’une heure s’ils sont dans le champ de la directive, et à quel titre.
La directive (UE) 2022/2555, dite NIS2, étend les obligations de cybersécurité à des milliers d’entreprises de taille moyenne qui n’avaient jamais été régulées. En France, l’ANSSI indique que la transposition est en cours et invite les futures entités à se préparer dès maintenant. Attendre le dernier décret, c’est se laisser peu de temps pour un chantier qui se compte en mois.
Question 1 : votre activité relève-t-elle d’un des 18 secteurs NIS2 ?
Le premier filtre est sectoriel. La directive liste 18 secteurs répartis en deux annexes :
- Annexe I, secteurs hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC entre entreprises, administration publique, espace.
- Annexe II, autres secteurs critiques : services postaux et d’expédition, gestion des déchets, produits chimiques, production et distribution alimentaires, fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules et autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.
Le piège classique : raisonner uniquement à partir de son code NAF. C’est l’activité réellement exercée qui compte. Un industriel de la mécanique qui fabrique des machines entre en annexe II, même s’il se présente comme sous-traitant. Une ESN qui infogère les serveurs de ses clients relève de la « gestion des services TIC », en annexe I. Si aucune de vos activités, même secondaire, n’apparaît dans ces listes, passez directement à la question 5.
Question 2 : dépassez-vous le seuil de taille des moyennes entreprises ?
NIS2 vise par défaut les moyennes et grandes entreprises, au sens de la recommandation européenne 2003/361/CE. Concrètement, vous êtes au-dessus du seuil si vous employez au moins 50 personnes, ou si votre chiffre d’affaires annuel et votre total de bilan dépassent tous deux 10 millions d’euros.
Deux erreurs reviennent souvent. D’abord, oublier le groupe : la recommandation additionne les effectifs et les chiffres des entreprises liées et partenaires. Une filiale de 30 salariés détenue par un groupe de 400 personnes n’est pas une petite entreprise au sens européen. Ensuite, compter uniquement les CDI : les effectifs se calculent en unités de travail annuel, temps partiels et saisonniers compris au prorata.
Question 3 : faites-vous partie des cas visés quelle que soit votre taille ?
Certaines entités sont concernées même en dessous des seuils. L’article 2 de la directive cite notamment :
- les fournisseurs de réseaux ou de services de communications électroniques accessibles au public ;
- les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS ;
- l’entité seule prestataire, dans le pays, d’un service essentiel au maintien d’activités sociétales ou économiques critiques ;
- l’entité dont une perturbation aurait un impact important sur la sécurité publique, la santé publique ou un risque systémique.
Pour une PME industrielle ou de services classique, cette question se règle vite. Elle devient décisive pour les hébergeurs, opérateurs télécoms régionaux et fournisseurs de services numériques de petite taille.
Question 4 : entité essentielle ou entité importante ?
Si vous êtes dans le champ, reste à savoir dans quelle catégorie. Schématiquement, une entité essentielle est une grande entreprise (250 salariés ou plus, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions de bilan) d’un secteur de l’annexe I, auxquelles s’ajoutent quelques cas désignés. Toutes les autres entités dans le champ sont des entités importantes. Une ETI de 120 salariés dans l’agroalimentaire sera ainsi typiquement une entité importante.
Les exigences de sécurité sont les mêmes pour les deux catégories. Ce qui change, c’est la supervision et le plafond des sanctions. L’article 34 fixe un maximum d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et d’au moins 7 millions d’euros ou 1,4 % pour une entité importante. L’entité essentielle peut être contrôlée à tout moment ; l’entité importante surtout après un incident ou un signalement.
Dans les deux cas, trois obligations structurent la conformité : l’enregistrement auprès de l’ANSSI, la mise en œuvre de mesures de gestion des risques (article 21 : analyse de risques, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement, authentification multifacteur…) et la notification des incidents importants en trois temps : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois (article 23). L’article 20 ajoute que la direction approuve ces mesures, en supervise l’application et suit une formation.
Question 5 : vos clients vont-ils vous imposer NIS2 par contrat ?
C’est la question que les PME hors champ oublient. L’article 21 oblige chaque entité régulée à gérer la sécurité de sa chaîne d’approvisionnement. Votre client, s’il est régulé, va donc vous envoyer des questionnaires, ajouter des clauses de notification d’incident et exiger des preuves : MFA, sauvegardes, correctifs, journalisation.
Si vous livrez un hôpital, un fournisseur d’énergie, un transporteur ou un grand industriel, vous vivrez une partie de NIS2 sans être régulé. La bonne nouvelle : les mesures demandées sont les mêmes, et les préparer vous donne un argument commercial face à des concurrents qui découvriront ces exigences en plein appel d’offres.
Que faire selon vos réponses
- Réalisez le test « Suis-je concerné ? » proposé par l’ANSSI et conservez le résultat : c’est votre première trace d’analyse, utile face à un client comme face à l’autorité.
- Documentez vos réponses aux cinq questions sur une page (secteur, effectifs consolidés, catégorie) et faites-la valider par la direction.
- Pré-enregistrez votre entité sur le service en ligne de l’ANSSI si vous êtes dans le champ.
- Évaluez l’écart entre vos pratiques actuelles et les mesures de l’article 21, en commençant par l’authentification et la gestion des incidents.
Pour la mesure la plus rapide à déployer, notre guide pour déployer la double authentification en PME détaille l’ordre de déploiement. Et si vous voulez situer votre posture avant d’engager le chantier, l’audit de risque ucyber.ai donne une photographie de départ.
Votre entreprise entre dans le périmètre ? Notre guide de mise en conformité NIS2 pour PME et ETI détaille les obligations, le calendrier et la checklist des mesures à mettre en place.
Ce qu’il faut retenir
- Le secteur réellement exercé décide avant le code NAF.
- Le seuil de 50 salariés ou 10 millions d’euros se calcule à l’échelle du groupe.
- Entité essentielle et entité importante ont les mêmes exigences, pas les mêmes sanctions.
- La notification d’incident se fait en 24 heures, 72 heures puis un mois.
- Hors champ, vos clients régulés vous transmettront leurs exigences par contrat.