NIS2 : votre PME ou ETI est-elle concernée ?

La directive européenne NIS2 marque un tournant : elle élargit très largement le nombre d’organisations soumises à des obligations de cybersécurité. Beaucoup de dirigeants de PME et d’ETI se demandent, à juste titre, s’ils sont concernés. Voici de quoi y voir clair, sans jargon.

Ce qui change avec NIS2

La première directive NIS ne visait qu’un petit nombre d’« opérateurs de services essentiels ». NIS2 étend le périmètre à de nombreux secteurs et abaisse les seuils : des entreprises qui ne se pensaient pas concernées par la réglementation cyber entrent désormais dans le champ.

Elle distingue deux catégories — les entités essentielles et les entités importantes — avec, dans les deux cas, des obligations de gestion des risques, de notification des incidents et une responsabilisation de la direction.

Trois questions pour savoir si vous êtes concerné

1. Votre secteur figure-t-il parmi ceux visés ? NIS2 couvre un large éventail : énergie, transport, santé, eau, infrastructures numériques, administration, mais aussi fabrication, agroalimentaire, gestion des déchets, services postaux, etc.
2. Quelle est votre taille ? Les seuils s’apprécient généralement à partir d’une cinquantaine de salariés ou d’un certain niveau de chiffre d’affaires — avec des exceptions selon la criticité de l’activité.
3. Êtes-vous dans la chaîne d’un acteur concerné ? Même non directement assujetti, vous pouvez recevoir des exigences de sécurité de vos clients soumis à NIS2. La conformité devient alors un argument commercial.

En cas de doute, un cadrage rapide suffit à statuer. Les modalités précises relèvent de la transposition nationale : mieux vaut vérifier sa situation que la supposer.

Quatre réflexes pour prendre de l’avance

Que vous soyez formellement assujetti ou non, les mesures attendues par NIS2 sont surtout de bon sens — et utiles à toute organisation :

• Cartographier vos risques : savoir ce qui est critique avant de savoir quoi protéger.
• Sécuriser les fondamentaux : gestion des accès, sauvegardes testées, correctifs, segmentation.
• Se préparer à l’incident : une procédure de notification et un plan de reprise valent mieux que l’improvisation le jour J.
• Impliquer la direction : NIS2 fait de la cybersécurité une responsabilité de gouvernance, pas seulement un sujet technique.

Par où commencer

Inutile de tout faire d’un coup. Un diagnostic permet de situer votre niveau de maturité, d’identifier les écarts prioritaires et de bâtir une feuille de route réaliste. C’est exactement le rôle d’un accompagnement dédié : porter le sujet, prioriser, et avancer à un rythme soutenable — sans recruter un poste à temps plein.

Vous vous demandez où vous en êtes ? Parlons-en : un premier échange suffit souvent à y voir clair.