Qu'est-ce que la directive NIS2 ?
La directive NIS2 (Network and Information Security 2) est un texte européen entré en vigueur en janvier 2023 et transposé en droit français depuis octobre 2024. Elle succède à la directive NIS1 de 2016 et élargit considérablement le périmètre des entreprises soumises à des obligations de cybersécurité. Là où NIS1 ne concernait qu'un millier d'entités en France, NIS2 vise potentiellement plus de 15 000 organisations, dont un grand nombre de PME.
L'objectif est clair : face à l'explosion des cyberattaques, l'Europe veut relever le niveau général de sécurité numérique, en responsabilisant davantage les dirigeants et en harmonisant les pratiques au sein des États membres.
Votre PME est-elle concernée par NIS2 ?
C'est la première question à se poser. NIS2 distingue deux catégories d'entités selon leur taille et leur secteur d'activité.
Les entités essentielles (EE)
Il s'agit des organisations des secteurs les plus critiques : énergie, transports, banque, santé, eau, infrastructures numériques... Généralement, ce sont des entreprises de plus de 250 salariés ou réalisant plus de 50 millions d'euros de chiffre d'affaires.
Les entités importantes (EI)
Cette catégorie concerne un périmètre beaucoup plus large, incluant notamment :
- Les entreprises de 50 à 250 salariés dans des secteurs étendus (services postaux, gestion des déchets, fabrication, alimentation, chimie, numérique…)
- Les fournisseurs et sous-traitants de grandes organisations déjà soumises à NIS2
- Certaines PME jugées critiques indépendamment de leur taille (ex. : fournisseur unique d'un service essentiel)
Bon à savoir : même si votre PME compte moins de 50 salariés, elle peut être indirectement impactée si elle travaille en tant que prestataire pour une entité essentielle ou importante. Les donneurs d'ordre vont de plus en plus exiger des garanties de sécurité à leurs sous-traitants.
Quelles sont les nouvelles obligations concrètes ?
NIS2 impose un ensemble de mesures techniques et organisationnelles. Voici les principales :
| Domaine | Obligation principale |
|---|---|
| Gouvernance | Les dirigeants sont personnellement responsables de la mise en œuvre de la cybersécurité |
| Gestion des risques | Analyse de risques formalisée et politique de sécurité documentée |
| Gestion des incidents | Notification à l'ANSSI sous 24h pour les incidents significatifs |
| Continuité d'activité | Plan de sauvegarde, de reprise et de gestion de crise |
| Sécurité de la chaîne d'approvisionnement | Évaluation des pratiques de sécurité des fournisseurs et sous-traitants |
| Formation | Sensibilisation et formation des collaborateurs à la cybersécurité |
| Chiffrement | Utilisation du chiffrement pour protéger les données sensibles |
Des sanctions alourdies
Les sanctions prévues par NIS2 sont significatives. Pour les entités importantes, les amendes peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial annuel. Pour les entités essentielles, le plafond monte à 10 millions d'euros ou 2 % du CA mondial. Et surtout, la responsabilité personnelle des dirigeants est désormais explicitement engagée.
Comment se mettre en conformité : les étapes clés
La mise en conformité NIS2 n'est pas un projet qui se fait du jour au lendemain, mais elle peut être abordée de manière structurée. Voici une feuille de route pragmatique :
- Vérifier si vous êtes concerné : identifiez votre secteur d'activité, votre taille et vos relations avec des entités déjà soumises à NIS2. En cas de doute, consultez le site de l'ANSSI ou un prestataire spécialisé.
- Réaliser un audit de votre sécurité actuelle : faites le point sur vos dispositifs existants (antivirus, sauvegardes, mots de passe, accès distants, mises à jour…) pour identifier les écarts par rapport aux exigences NIS2.
- Formaliser votre politique de sécurité : rédigez un document de politique de sécurité des systèmes d'information (PSSI), même simplifié. C'est la base documentaire exigée.
- Mettre en place la gestion des risques : listez vos actifs numériques critiques (données clients, serveurs, logiciels métiers) et évaluez les menaces associées.
- Organiser la gestion des incidents : définissez une procédure interne pour détecter, qualifier et notifier un incident. Qui prévient qui ? Dans quels délais ?
- Sécuriser la chaîne d'approvisionnement : faites l'inventaire de vos prestataires informatiques et fournisseurs critiques. Exigez des garanties sur leurs pratiques de sécurité.
- Former vos équipes : organisez des sessions de sensibilisation au phishing, aux mots de passe, aux bons réflexes numériques. Un collaborateur averti est votre première ligne de défense.
- Planifier la continuité d'activité : vérifiez que vos sauvegardes sont régulières, testées et stockées hors site. Documentez un plan de reprise en cas de sinistre.
Les idées reçues sur NIS2
- « NIS2, c'est uniquement pour les grandes entreprises. » Faux. Des milliers de PME sont directement ou indirectement concernées.
- « C'est trop complexe et trop cher pour nous. » La mise en conformité peut être progressive et proportionnée à votre taille. De nombreuses mesures sont accessibles avec un prestataire de confiance.
- « On a le temps. » La transposition en droit français est effective. Les contrôles et sanctions peuvent intervenir dès maintenant.
Panix Solutions vous accompagne dans votre mise en conformité NIS2
Vous êtes une PME en Vaucluse et vous vous demandez si vous êtes concerné par NIS2 ou par où commencer ? Panix Solutions, basé à Monteux (84170), accompagne les TPE et PME de la région d'Avignon et de Carpentras dans leur mise en conformité cybersécurité. Audit de l'existant, mise en place de solutions concrètes, formation de vos équipes, rédaction de documents de politique de sécurité… nous adaptons notre intervention à votre réalité terrain. Contactez-nous pour un premier échange sans engagement et faisons le point ensemble sur votre situation.