NIS2 s’applique aux moyennes et grandes entreprises des dix-huit secteurs qu’elle liste, pas seulement aux grandes. Selon la définition européenne des PME, cela signifie 50 salariés ou plus, ou plus de 10 millions d’euros à la fois de chiffre d’affaires annuel et de total du bilan. Les micro et petites entreprises sont pour la plupart hors champ. Mais si elles fournissent des entreprises régulées, ces clients leur répercuteront des exigences de type NIS2.
Ce guide explique qui est concerné, comment le vérifier, pourquoi NIS2 atteint des PME hors de son champ d’application, ce que les clients vont demander, le soutien que les PME peuvent attendre et comment se préparer.
| Votre entreprise | Dans un secteur listé à l’annexe I ou II ? | Statut NIS2 |
|---|---|---|
| Micro ou petite (moins de 50 salariés, et chiffre d’affaires ou total du bilan jusqu’à 10 millions d’euros) | Oui | Hors champ, sauf catégorie couverte quelle que soit la taille |
| Moyenne (50 à 249 salariés, ou au-delà des plafonds de la petite entreprise) | Annexe I ou II | Dans le champ, en général comme entité importante |
| Grande (au-delà des plafonds de la moyenne entreprise) | Annexe I | Dans le champ, comme entité essentielle |
| Grande | Annexe II | Dans le champ, comme entité importante |
| Toute taille | Non | Hors champ, mais atteinte via les obligations des clients sur leur chaîne d’approvisionnement |
NIS2 s’applique-t-elle aux PME ?
En partie. NIS2 reprend la définition européenne des micro, petites et moyennes entreprises de la recommandation 2003/361/CE de la Commission :
- Micro-entreprise : moins de 10 salariés, et chiffre d’affaires annuel ou total du bilan annuel jusqu’à 2 millions d’euros.
- Petite entreprise : moins de 50 salariés, et chiffre d’affaires annuel ou total du bilan annuel jusqu’à 10 millions d’euros.
- Moyenne entreprise : moins de 250 salariés, et chiffre d’affaires annuel jusqu’à 50 millions d’euros ou total du bilan annuel jusqu’à 43 millions d’euros.
La directive s’applique aux entités des secteurs listés qui sont au moins de taille moyenne. La partie « moyenne entreprise » des PME est donc dans le champ d’application, et c’est celle que la plupart des gens oublient. Un fabricant d’équipements électriques de 60 personnes, ou un fournisseur de services gérés de 80 personnes, est couvert.
Les micro et petites entreprises sont hors champ, avec des exceptions qui s’appliquent quelle que soit la taille : les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public, les prestataires de services de confiance, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS, les entités de l’administration publique, et les entités qu’une autorité nationale désigne parce qu’une perturbation aurait un impact grave. Les effectifs et les données financières peuvent aussi inclure ceux des entreprises liées d’un même groupe : une petite filiale d’un groupe plus grand peut donc entrer dans le champ.
Les lois nationales appliquent le même critère. Au Luxembourg, c’est l’article 1er de la loi du 5 mai 2026, expliqué dans NIS2 au Luxembourg.
Comment vérifier si votre entreprise entre dans le champ d’application ?
Deux questions tranchent : votre activité figure-t-elle à l’annexe I ou à l’annexe II, et êtes-vous au moins une entreprise de taille moyenne ? Le vérificateur de périmètre NIS2 vous demande votre secteur, vos effectifs et votre chiffre d’affaires, et vous répond en trois clics. Le détail de la réponse figure dans champ d’application et applicabilité de NIS2, et la différence entre les deux catégories dans entités essentielles et entités importantes comparées.
Si vous êtes dans le champ, vous avez l’ensemble des obligations, appliquées de manière proportionnée : les mesures de gestion des risques de l’article 21, la notification des incidents selon les délais de 24 heures, 72 heures et un mois, l’approbation et la formation de l’organe de direction, et l’enregistrement. La proportionnalité est ce qui permet à une entreprise de taille moyenne de dimensionner les mesures en fonction de son risque.
Pourquoi NIS2 atteint-elle des PME hors de son champ d’application ?
Par la chaîne d’approvisionnement. L’article 21 impose aux entités essentielles et importantes de gérer la sécurité de leur chaîne d’approvisionnement, y compris les aspects liés à la sécurité des relations avec leurs fournisseurs directs et prestataires de services. L’article 21(3) les oblige à tenir compte des vulnérabilités propres à chaque fournisseur direct, ainsi que de la qualité globale de ses produits et de ses pratiques de cybersécurité.
Le considérant 56 explique pourquoi. Les PME sont de plus en plus la cible d’attaques contre la chaîne d’approvisionnement, parce que leurs mesures et leurs ressources de sécurité sont plus limitées, et une compromission chez un fournisseur peut se propager en cascade chez les grands clients qu’il sert. Une PME qui fournit des logiciels, de l’hébergement, des services gérés ou du traitement de données à une banque, à une entreprise du secteur de l’énergie ou à un hôpital fait partie de la surface d’attaque de ce client.
Le client qui vous pose des questions ne cherche pas à vous compliquer la vie. Il remplit sa propre obligation : il doit montrer qu’il a évalué ses fournisseurs et pris des mesures proportionnées. La mesure la plus simple consiste à exiger des fournisseurs qu’ils respectent un socle de sécurité. Pour le fournisseur, être prêt devient alors une condition pour faire affaire. La manière dont les clients s’y prennent est décrite dans la sécurité de la chaîne d’approvisionnement selon NIS2.
Que vont demander les clients régulés à leurs fournisseurs PME ?
Rien d’exotique. Les questions suivent les mesures de l’article 21 :
- Gestion des actifs : savoir quel matériel et quels logiciels vous possédez et exploitez.
- Contrôle d’accès : seules les personnes autorisées accèdent aux systèmes et aux données, avec une authentification multifacteur pour les accès à distance.
- Chiffrement : pour les données sensibles en transit et au repos.
- Détection et réponse aux incidents : un moyen de repérer qu’un problème survient, et une procédure pour la suite.
- Sauvegarde et restauration : des sauvegardes régulières sur un système séparé, pour pouvoir vous remettre d’un rançongiciel ou d’une perte de données.
- Gestion des vulnérabilités : des systèmes tenus à jour et analysés pour détecter les failles connues, et des problèmes critiques corrigés rapidement.
- Formation du personnel : des salariés qui reconnaissent l’hameçonnage et l’ingénierie sociale, et qui connaissent leur rôle.
Ce sont de bonnes pratiques établies de longue date, mais beaucoup de PME les appliquent de façon inégale. Un fournisseur qui veut garder ses clients régulés doit montrer qu’elles sont en place et qu’elles fonctionnent, en général au moyen d’un questionnaire de sécurité.
Quel soutien les PME reçoivent-elles au titre de NIS2 ?
La directive attend des États membres qu’ils apportent leur aide. L’article 7(2)(i) impose que chaque stratégie nationale de cybersécurité comprenne une politique visant à renforcer le niveau de base de cyber-résilience et de cyberhygiène des PME, en particulier celles qui sont hors du champ de la directive, avec des orientations et une assistance facilement accessibles et adaptées à leurs besoins.
Le considérant 56 ajoute que les États membres devraient disposer d’un point de contact pour les PME, au niveau national ou régional, qui leur fournit des orientations ou les renvoie vers les organismes compétents, et il encourage des services comme la configuration de sites web et la journalisation pour les micro et petites entreprises. L’offre varie selon les pays, des guides et outils d’auto-évaluation aux audits et formations subventionnés : vérifiez donc ce que propose votre autorité nationale. L’exigence de stratégie elle-même est traitée dans les stratégies nationales de cybersécurité au titre de l’article 7.
Pourquoi le rançongiciel est-il la raison concrète d’agir pour les PME ?
Parce que c’est la menace à laquelle la plupart des PME sont réellement confrontées, et le considérant 56 la cite. Le rançongiciel est une activité de volume : des courriels d’hameçonnage partent vers des milliers d’organisations, certains sont ouverts, certains utilisateurs cliquent, le logiciel malveillant se propage et les fichiers sont chiffrés. Beaucoup de PME sont touchées parce qu’elles se trouvaient sur la liste, pas parce qu’elles ont été choisies.
NIS2 ne supprime pas ce risque, mais ses mesures sont précisément celles qui l’atténuent. Les sauvegardes vous permettent de restaurer sans payer. Le contrôle d’accès complique la propagation pour l’attaquant. La détection repère une infection plus tôt. La formation réduit le nombre de courriels d’hameçonnage qui aboutissent. Le traitement spécifique du rançongiciel par la directive est décrit dans le volet rançongiciel de NIS2.
Comment une PME doit-elle se préparer à NIS2 ?
Considérez la préparation comme une amélioration progressive, pas comme un projet ponctuel. Dans l’ordre :
- Faites le point. Avez-vous une politique de sécurité qui couvre les accès, les mots de passe et la réponse aux incidents, et vos salariés savent-ils qu’elle existe ? En rédiger une ne coûte rien et vous oblige à dire ce qui doit se passer.
- Identifiez ce qui compte le plus. Les systèmes, les données et l’infrastructure dont la perte arrêterait l’activité. Vous ne pouvez pas tout protéger de la même façon.
- Appliquez les correctifs selon un calendrier. Par exemple, les mises à jour de sécurité critiques sous 48 heures et les autres mises à jour sous 30 jours, automatisées si possible. Beaucoup d’attaques exploitent des failles corrigées des mois plus tôt.
- Activez l’authentification multifacteur pour les accès à distance. Elle bloque la plupart des prises de contrôle de comptes par hameçonnage.
- Sauvegardez, et testez la restauration. Des sauvegardes automatisées, hors site et régulières, avec un test de restauration au moins une fois par an.
- Formez votre personnel. Hameçonnage, mots de passe, et comment signaler quelque chose de suspect.
- Mettez par écrit ce que vous faites. Quand un client vous interroge sur votre posture de sécurité, une synthèse d’une page appuyée par des preuves répond à l’essentiel.
Si vous avez du budget, un audit de sécurité indépendant met rapidement au jour les principaux risques. Si vous êtes dans le champ, le programme complet est décrit sur la page solution NIS2.
Check-list NIS2 pour les PME
- Vérifiez si votre activité figure à l’annexe I ou II, et si vous êtes au moins une entreprise de taille moyenne.
- Si vous êtes dans le champ, enregistrez-vous auprès de votre autorité nationale et informez votre organe de direction.
- Si vous êtes hors champ, listez ceux de vos clients qui sont régulés et ce qu’ils vont vous demander.
- Mettez en place en priorité la gestion des actifs, l’authentification multifacteur (MFA), les correctifs, les sauvegardes et la formation.
- Testez une restauration de sauvegarde et chronométrez-la.
- Gardez prêtes, pour les questionnaires, une synthèse de sécurité d’une page et les preuves qui l’appuient.
- Vérifiez quel soutien propose votre point de contact national pour les PME.
Questions fréquentes
NIS2 s'applique-t-elle aux petites entreprises ?
En général, non. NIS2 s'applique aux entités des secteurs listés qui sont au moins de taille moyenne au sens de la définition européenne des PME. Les micro et petites entreprises sont hors champ, sauf si elles relèvent d'une catégorie couverte quelle que soit la taille, comme les fournisseurs de services DNS ou les prestataires de services de confiance, ou si leur autorité nationale les désigne.
Une entreprise de 50 salariés est-elle couverte par NIS2 ?
Elle peut l'être. À partir de 50 salariés, une entreprise n'est plus une petite entreprise au sens de la définition européenne. Si elle exerce dans un secteur listé à l'annexe I ou II de NIS2, elle entre donc dans le champ d'application, en général comme entité importante.
Qu'exige NIS2 d'une PME qui entre dans son champ d'application ?
Les mêmes obligations que pour toute entité concernée, appliquées de manière proportionnée : les mesures de gestion des risques de l'article 21, la notification des incidents sous 24 heures, 72 heures et un mois, l'approbation et la formation de l'organe de direction, et l'enregistrement auprès de l'autorité nationale.
Les PME hors du champ d'application de NIS2 doivent-elles s'y conformer ?
Pas au titre de la loi. En pratique, les clients régulés doivent gérer la sécurité de leurs fournisseurs directs. Ils demanderont donc à leurs fournisseurs PME des preuves de mesures de base, au moyen de questionnaires et de clauses contractuelles.
Quel soutien NIS2 apporte-t-elle aux PME ?
L'article 7(2)(i) impose à chaque stratégie nationale de cybersécurité de renforcer la cyber-résilience et la cyberhygiène des PME, en particulier celles qui sont hors du champ de la directive, avec des orientations et une assistance facilement accessibles. Le considérant 56 demande aux États membres de prévoir un point de contact pour les PME.
