NIS2 et PME : êtes-vous concerné et par où commencer en 2026 ?

Vous dirigez une PME ou vous gérez son informatique, et NIS2 commence peut-être à apparaître dans vos échanges : un client qui pose une question, un prestataire qui vous envoie une ressource, un article qui parle d'obligations cyber alors que la loi française n'est pas encore totalement finalisée. En France, la transposition n'est toujours pas complète : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de notification complète des mesures de transposition.

Au milieu de tout ça, une question peut revenir vite :

Est-ce que vous devez vraiment vous en occuper maintenant ?

Difficile de répondre en regardant seulement votre activité de loin. NIS2 ne concerne pas une entreprise simplement parce qu'elle utilise des outils numériques ; si c'était le cas, presque tout le monde serait concerné. Ce qui compte, c'est plutôt votre activité, votre taille et, parfois, la place que vous occupez chez vos clients.

Une PME industrielle, un éditeur logiciel ou un prestataire informatique peuvent donc avoir intérêt à vérifier leur situation, même si le sujet paraît d'abord réservé à de plus grandes structures ou à des secteurs très encadrés.

NIS2 2026 : pourquoi certaines PME doivent vérifier leur situation

NIS2 vise à renforcer la cybersécurité dans l'Union européenne. Elle remplace une première directive de 2016, avec un champ plus large : davantage d'organisations peuvent être concernées, comme le précise le texte officiel de la directive.

C'est là que certaines PME peuvent se tromper. On pense facilement aux hôpitaux, aux banques ou aux fournisseurs d'énergie. Pourtant, le périmètre de NIS2 va plus loin. Des entreprises moins habituées à se considérer comme « sensibles » peuvent elles aussi être concernées.

Comment savoir si votre entreprise est concernée ?

Le plus simple est de commencer par votre activité. Que fait vraiment votre entreprise ? À qui sert votre service ? Et que se passerait-il chez vos clients si vous ne pouviez plus le fournir pendant quelque temps ?

Ces questions sont plus utiles qu'une réponse trop rapide du type : « Nous faisons seulement du logiciel » ou « nous sommes seulement prestataire informatique ». Un logiciel peut être utilisé dans un contexte sensible. Un prestataire peut avoir des accès importants chez ses clients. C'est ce rôle concret qui doit être regardé.

Votre entreprise atteint-elle les seuils de taille prévus ?

Il faut ensuite regarder la taille de votre entreprise. Si vous travaillez dans l'un des secteurs concernés, votre PME peut notamment entrer dans le périmètre de NIS2 à partir de 50 salariés.

Vous avez moins de 50 salariés ? Le critère financier peut aussi entrer en jeu, mais dépasser 10 millions d'euros sur un seul indicateur ne suffit pas. Dans le cas général, il faut dépasser ce seuil à la fois pour le chiffre d'affaires annuel et pour le total du bilan annuel. L'espace NIS2 de MesServicesCyber détaille la manière dont ces seuils sont calculés.

Mais ces chiffres ne suffisent pas toujours pour trancher. Certaines activités peuvent être concernées même avec une entreprise plus petite. C'est notamment le cas de certains acteurs des télécommunications, des services de confiance (tels que la signature et l'horodatage électroniques), ou des noms de domaine.

Autre point à vérifier si vous appartenez à un groupe : le calcul peut dépasser votre PME seule. Il faut tenir compte de l'entreprise dans son ensemble et, selon les liens avec les autres entreprises du groupe, leurs effectifs et leurs données financières peuvent aussi entrer dans le calcul.

Si vous commencez à vous perdre entre votre activité, votre taille et la structure de votre entreprise, inutile de faire le calcul seul. L'outil d'auto-évaluation NIS2 vous permet de vérifier votre situation en quelques minutes.

Vos clients peuvent-ils vous demander des garanties liées à NIS2 ?

Même si votre entreprise n'entre pas directement dans le périmètre, vos clients peuvent vous ramener au sujet. C'est souvent le cas lorsqu'ils travaillent eux-mêmes dans un secteur sensible ou qu'ils doivent renforcer leurs exigences de sécurité.

Imaginez un renouvellement de contrat. Jusqu'ici, votre client vous demandait surtout un prix, un délai ou encore un niveau de service. Désormais, il peut aussi vouloir savoir où vous en êtes en matière de cybersécurité : si vous protégez bien vos accès, où sont vos sauvegardes, qui intervient en cas d'incident ou ce que prévoit votre contrat en matière de sécurité.

Une PME capable de répondre clairement à ces questions rassure son client. À l'inverse, découvrir ces exigences au dernier moment, dans un appel d'offres ou juste avant une signature, peut rendre la discussion beaucoup plus compliquée.

Entité essentielle ou entité importante : ce que cela change pour votre entreprise

Si votre entreprise entre dans le périmètre NIS2, elle pourra être classée dans l'une de ces deux catégories : entité essentielle ou entité importante.

Pas besoin d'entrer tout de suite dans le détail juridique. Ce qu'il faut surtout retenir, c'est que les entités essentielles sont surveillées de plus près que les entités importantes.

Dans les deux cas, se conformer à NIS2 ne consiste pas simplement à installer quelques outils de cybersécurité. Votre entreprise devra surtout être capable de montrer ce qu'elle protège, qui suit le sujet, quelles mesures ont été lancées et comment elle réagit si un incident survient.

Entité essentielle : les organisations que l'on surveille de plus près

Prenons un hôpital. Si une cyberattaque bloque une partie de son activité, le problème ne reste pas longtemps « un sujet informatique ». Des usagers peuvent être touchés, des équipes ralenties, certains services perturbés.

Un hôpital peut être directement concerné par NIS2 et, selon sa taille et sa situation, être classé parmi les entités essentielles. Et là, on voit assez vite ce qui est en jeu : si son activité s'arrête, les conséquences peuvent aller bien au-delà de l'organisation elle-même.

Pour ces entités, il ne suffit donc pas de dire que « l'informatique s'en occupe ». Il faut pouvoir montrer que les risques sont suivis, que des mesures ont été décidées, que les responsabilités sont claires et que l'entreprise sait quoi faire si un incident survient.

Entité importante : ne lisez pas ce statut comme une simple formalité

Si votre entreprise est classée comme entité importante, elle entre bien dans le cadre NIS2. Ce n'est pas la catégorie la plus surveillée, mais cela ne veut pas dire que le sujet peut attendre.

Vous pouvez dès maintenant vous pré-enregistrer auprès de l'ANSSI. Une fois les obligations françaises entrées en vigueur, les entreprises concernées devront notamment signaler certains incidents et mettre en place des mesures de cybersécurité adaptées. L'espace NIS2 de MesServicesCyber détaille les démarches et les ressources disponibles.

Pour une PME le plus utile est de retenir ceci : même avec un suivi moins poussé qu'une entité essentielle, il faudra pouvoir montrer où vous en êtes : les risques que vous avez identifiés, les actions déjà lancées et les personnes qui suivent le sujet. Ce sont des questions simples, mais il vaut mieux ne pas les découvrir le jour où un client, l'ANSSI ou un assureur vous les pose.

Obligations NIS2 : ce que votre PME devra mettre en place

Quand NIS2 arrive sur la table, on pense souvent aux outils : pare-feu, antivirus, sauvegardes, supervision, audits. Ils auront leur place, bien sûr. Mais si vous commencez par là, vous risquez de passer à côté du plus important.

Avant de choisir des solutions, il faut déjà savoir ce qui doit absolument tenir dans votre entreprise. Votre messagerie ? Votre logiciel de gestion ? Vos données clients ? Vos sauvegardes ? Vos accès administrateur ?

C'est cette réflexion qui permet ensuite de mettre les bonnes mesures au bon endroit, au lieu d'empiler des outils sans savoir précisément quel risque vous cherchez à réduire.

Ne pas tout laisser au prestataire informatique

Dans une PME, on a vite tendance à renvoyer la cybersécurité vers le prestataire informatique. Quand ça bloque, on l'appelle. Pour les problèmes du quotidien, cette organisation fonctionne d'ailleurs souvent très bien.

Avec NIS2, cela ne suffit plus toujours. Si votre messagerie ou votre logiciel métier tombe, le prestataire traitera la partie technique. Mais pendant ce temps, l'entreprise doit continuer à fonctionner. Il faut savoir qui prévenir, quoi traiter en priorité et quelles informations conserver si l'incident doit être déclaré.

Cette partie-là, le prestataire ne peut pas la gérer seul. C'est d'ailleurs la logique du Référentiel Cyber France publié par l'ANSSI : les outils ne font pas tout. La sécurité dépend aussi de la manière dont l'entreprise s'organise pour anticiper et gérer les risques.

Repérer ce qui bloque vraiment le travail

Ne commencez pas par faire la liste complète de vos outils et logiciels. Dans une PME, cette liste devient vite longue, et elle ne dit pas forcément à quoi sert chaque outil dans la journée de travail.

Regardez plutôt un exemple concret : une entreprise qui prépare des commandes chaque matin. Si l'outil qui sort les bons ne fonctionne plus, le problème n'est pas de savoir s'il est « important » sur le papier. Le problème est beaucoup plus simple : est-ce que l'équipe peut continuer à travailler sans lui ?

Si quelqu'un sait faire autrement pendant quelques heures, le risque reste maîtrisable. Si les informations ne sont disponibles nulle part ailleurs, l'arrêt devient alors beaucoup plus compliqué.

Voici les points à retenir :

• combien de temps l'entreprise peut tenir sans lui ;
• s'il existe une solution de secours et qui sait la mettre en œuvre ;
• si la remise en route a déjà été testée.

Savoir quoi faire dans les premières heures d'un incident

Le jour où un outil important ne répond plus, il faut souvent agir avant même d'avoir compris toute la situation. C'est un peu stressant, mais c'est exactement pour ça que la préparation compte.

Dans les premières heures, plusieurs décisions peuvent tomber presque en même temps : prévenir le prestataire, couper éventuellement un accès ou vérifier si les sauvegardes peuvent être utilisées. Et si l'activité d'un client est touchée, qui lui parle et à quel moment ?

Avec NIS2, certains incidents importants devront aussi être signalés à l'ANSSI, et dans des délais courts. Pour ces incidents, la directive prévoit un signalement en trois temps (article 23) : une alerte précoce dans les 24 heures après avoir pris connaissance de l'incident important, puis une notification dans les 72 heures après cette prise de connaissance. Un rapport final doit ensuite être transmis au plus tard un mois après la notification de l'incident.

Ce qu'il faut retenir

NIS2 peut encore sembler loin, surtout tant que la loi française n'est pas finalisée. Mais si votre PME travaille dans un secteur sensible, atteint certains seuils ou intervient auprès de clients concernés, mieux vaut vérifier votre situation maintenant.

Commencez par l'auto-évaluation NIS2 de l'ANSSI : en quelques minutes, vous saurez déjà si votre entreprise peut être concernée.

Concentrez-vous ensuite sur quelques points :

• votre secteur d'activité ;
• votre taille ;
• les outils qui bloqueraient vraiment le travail ;
• les accès, les sauvegardes et la gestion d'un incident.

Même si le cadre français évolue encore, ce premier tri ne sera pas perdu. Il vous aidera à savoir si NIS2 vous concerne vraiment, et à répondre plus clairement si un client, un assureur ou l'ANSSI vous demande où vous en êtes.