Dans la majorité des cas, une PME française n'est pas directement soumise à la directive NIS 2 : le texte vise d'abord des secteurs identifiés comme critiques et des entreprises au-delà d'une certaine taille. En revanche, un très grand nombre de PME sont concernées par ricochet, parce qu'elles fournissent une entreprise ou une collectivité qui, elle, est dans le périmètre et qui doit désormais surveiller sa chaîne d'approvisionnement. C'est de là que vient l'essentiel de la pression que vous ressentez peut-être déjà.
Un avertissement s'impose : le périmètre exact, les seuils de taille et le calendrier d'entrée en vigueur en France ont évolué à plusieurs reprises au fil de la transposition, et certains éléments continuent d'être précisés. Ne calez pas votre organisation sur un chiffre lu dans la presse : seuls le test d'éligibilité et les ressources publiées par l'ANSSI, l'autorité chargée du sujet en France, font foi pour savoir si vous entrez dans le périmètre. Pour les mesures concrètes attendues d'une petite structure, le dispositif public Cybermalveillance met à disposition des ressources directement exploitables. Cet article traite de ce qu'il faut préparer, indépendamment de la date.
En résumé
- Le périmètre repose sur deux critères combinés : le secteur d'activité et la taille de l'entreprise. Les micro et petites structures sont en principe hors champ direct, sauf exceptions sectorielles.
- Être sous-traitant d'une entité régulée vous expose à des exigences contractuelles, même sans obligation légale propre.
- Les dates d'application en France ont été repoussées et précisées à plusieurs reprises : vérifiez auprès de l'ANSSI plutôt que de retenir une échéance approximative.
- La direction ne peut plus considérer la cybersécurité comme un sujet purement technique délégué au prestataire.
- Les mesures attendues recoupent largement l'hygiène informatique de base : sauvegardes testées, comptes maîtrisés, mises à jour, procédure d'incident.
Sur quel principe le périmètre est-il construit
La logique de la directive est sectorielle avant d'être technique. Elle part du constat qu'une panne informatique dans certaines activités ne pénalise pas seulement l'entreprise touchée mais l'ensemble de la collectivité : énergie, eau, transports, santé, banque, infrastructures numériques, administrations, gestion des déchets, agroalimentaire, fabrication de certains équipements. À l'intérieur de ces secteurs, la taille de l'entreprise détermine ensuite le régime applicable, avec des obligations plus lourdes pour les entités les plus structurantes.
Ce mécanisme a une conséquence pratique : deux entreprises de taille identique peuvent être traitées différemment selon leur activité, et une même entreprise peut se retrouver dans le périmètre à cause d'une activité annexe qu'elle considère comme marginale. C'est précisément pour cette raison que le test officiel est indispensable, et qu'aucun raccourci de lecture ne le remplace.
Le cas le plus fréquent : concerné par ricochet
Les entités régulées doivent maîtriser les risques liés à leurs fournisseurs. En pratique, elles répercutent donc leurs exigences sur leurs prestataires par le contrat : questionnaire de sécurité à remplir, engagements de notification en cas d'incident, clauses de sous-traitance, parfois droit d'audit. Si vous vendez du logiciel, de la maintenance, de la logistique, du nettoyage avec accès aux locaux, de l'intérim ou n'importe quelle prestation qui touche aux systèmes ou aux sites d'un acteur régulé, vous verrez arriver ces demandes.
| Votre situation | Ce qui vous est demandé | Ce que vous devez faire |
|---|---|---|
| Entreprise d'un secteur listé, taille au-dessus des seuils | Obligations légales directes de gestion du risque et de notification | Faire le test officiel, désigner un responsable, formaliser vos mesures |
| Petite entreprise d'un secteur listé | Généralement hors champ direct, sauf exception prévue par les textes | Vérifier votre cas précis auprès de l'ANSSI avant de conclure |
| Fournisseur d'une entité régulée | Exigences contractuelles portées par votre client | Préparer un dossier de réponse réutilisable et négocier les délais |
| Prestataire informatique ou éditeur | Attention renforcée, votre accès aux systèmes vous rend sensible | Documenter vos accès distants, vos droits et votre traçabilité |
| Aucun lien avec un secteur régulé | Aucune obligation issue de ce texte | Utiliser les mêmes mesures comme référentiel volontaire, elles restent pertinentes |
Le point à retenir est simple : le premier signal ne viendra pas d'un courrier officiel mais d'un client. Une entreprise qui reçoit un questionnaire de sécurité et met six semaines à y répondre perd des marchés au profit de celle qui répond en trois jours avec un dossier prêt.
Ce que le texte demande, traduit en langage de dirigeant
Derrière un vocabulaire réglementaire, les attentes se ramènent à quelques familles de mesures que tout dirigeant peut comprendre et arbitrer. Il s'agit d'analyser ses risques et de savoir de quoi dépend son activité, de savoir gérer un incident et le signaler, d'assurer la continuité par des sauvegardes réellement testées, de maîtriser les accès et l'identité de ceux qui entrent dans le système, de tenir les équipements à jour, de sensibiliser les équipes et de surveiller ses fournisseurs.
Aucune de ces exigences n'est propre à la directive. Ce sont les mêmes mesures que réclament les assureurs, que recommandent les autorités et que réclament les banques. La nouveauté n'est pas la liste, c'est le fait de devoir la documenter et de pouvoir la prouver. Si vous avez déjà avancé sur votre stratégie de sauvegarde et sur vos mesures de protection, l'essentiel du travail technique est fait, il reste à l'écrire.
La responsabilité remonte à la direction
C'est le changement culturel le plus important du texte. L'organe de direction doit approuver les mesures, s'assurer de leur mise en oeuvre et se former au sujet. On ne peut plus répondre à une question de sécurité par « voyez avec notre prestataire ». Le prestataire exécute, la direction décide et assume.
Concrètement, cela signifie mettre un point cybersécurité à l'ordre du jour de vos réunions de direction, à un rythme trimestriel par exemple, avec trois indicateurs simples : la dernière restauration testée, les incidents du trimestre, l'état des mises à jour. Vingt minutes par trimestre suffisent à changer complètement la nature de la relation avec votre prestataire d'infogérance.
Par où commencer si vous êtes dans le périmètre
La première étape n'est ni technique ni juridique : elle consiste à savoir de quoi votre activité dépend. Listez les applications, les données et les fournisseurs sans lesquels vous ne pouvez pas facturer, produire ou livrer. Cette liste tient souvent sur une page et elle oriente tout le reste, parce qu'elle vous dit où mettre l'argent en premier.
La deuxième étape consiste à écrire une procédure d'incident tenant sur une feuille : qui appeler, dans quel ordre, qui décide de couper le réseau, qui prévient les clients, qui rédige la déclaration. Faites-la relire par votre prestataire, affichez-la, et testez-la une fois. La troisième étape, enfin, est de rassembler en un seul dossier vos réponses types aux questionnaires clients. Vous le remplirez une fois et le réutiliserez des dizaines de fois.
Et si vous n'êtes pas concerné
L'absence d'obligation légale ne rend pas ces mesures inutiles. Une PME hors périmètre subit exactement les mêmes attaques qu'une entreprise régulée, avec moins de moyens pour s'en remettre. Prendre la liste comme référentiel volontaire, sans le formalisme documentaire, reste le meilleur usage que vous puissiez faire de ce texte. Et le jour où un grand client vous demandera où vous en êtes, vous aurez la réponse.
