NIS2 pour les PME et ETI : suis-je concerné et par où commencer ?

Si vous dirigez une PME ou une ETI, vous avez sans doute déjà entendu parler de NIS2 sans être certain que cela vous concerne. La question est légitime. La première directive européenne sur la sécurité des réseaux visait surtout les grands opérateurs d'infrastructures critiques. Sa deuxième version change d'échelle : elle élargit fortement le périmètre et fait entrer dans le champ réglementaire des milliers d'entreprises qui ne s'étaient jamais penchées sur le sujet.

Transposée en droit français en 2025 et pilotée par l'ANSSI, la directive (UE) 2022/2555 introduit surtout une nouveauté que tout dirigeant doit avoir en tête : la responsabilité de la direction est désormais explicitement engagée. La cybersécurité n'est plus seulement l'affaire du prestataire informatique ou du responsable technique. C'est devenu un sujet de gouvernance, au même titre que la conformité financière ou le RGPD.

Cet article répond à deux questions concrètes : suis-je concerné, et par où commencer ? Sans jargon, sans catastrophisme, avec une démarche priorisée que vous pouvez lancer dès cette semaine.

NIS2, en une minute

NIS2 est la directive européenne (UE) 2022/2555. Elle succède à la première directive NIS de 2016, jugée trop limitée face à la multiplication des cyberattaques. Son objectif est d'élever le niveau de cybersécurité commun dans toute l'Union, en imposant un socle d'exigences à un plus grand nombre d'organisations. En France, elle a été transposée en 2025 et c'est l'ANSSI qui pilote son application.

Ce qui change par rapport à la version précédente :

• Un périmètre bien plus large : davantage de secteurs sont couverts, et de nombreuses PME et ETI y entrent pour la première fois.
• Deux catégories d'entités : les entités « essentielles » et les entités « importantes », avec des obligations proches mais un régime de contrôle différent.
• Un effet de chaîne : la sécurité des sous-traitants et des fournisseurs devient une exigence à part entière.
• Une responsabilité accrue de la direction, avec un régime de sanctions à la clé.

En France, on estime qu'environ 15 000 entités sont concernées, une part importante étant des PME et ETI qui ne l'étaient pas auparavant.

Suis-je concerné ? Les critères qui comptent

L'éligibilité repose sur deux axes principaux : votre secteur d'activité et votre taille. À cela s'ajoute un troisième cas de figure souvent oublié, celui du sous-traitant.

• Votre secteur figure-t-il parmi ceux couverts par la directive ? On y retrouve notamment l'énergie, les transports, la santé, l'eau, les infrastructures numériques, l'agroalimentaire, la fabrication, la gestion des déchets ou encore certains services publics.
• Votre taille : en règle générale, la directive vise les organisations à partir d'environ 50 salariés, ou 10 millions d'euros de chiffre d'affaires ou de bilan. En dessous, vous pouvez rester hors périmètre, sauf exceptions.
• Votre rôle dans une chaîne d'approvisionnement : si vous êtes fournisseur ou sous-traitant d'une entité essentielle, vos donneurs d'ordre vont vous imposer des exigences de sécurité par contrat, que vous soyez formellement assujetti ou non.

Le périmètre exact continue d'être précisé par les textes d'application. En cas de doute, la bonne pratique consiste à documenter votre analyse d'éligibilité et à vérifier votre situation auprès des ressources publiées par l'ANSSI, plutôt que de présumer que « ce n'est pas pour nous ».

Vos obligations, en quatre blocs

Les exigences de NIS2 sont proportionnées, mais concrètes. On peut les regrouper en quatre familles :

• La gestion des risques : identifier ses actifs, ses dépendances et ses menaces, puis décider des mesures en connaissance de cause.
• Les mesures techniques et organisationnelles : authentification renforcée, sauvegardes testées, gestion des vulnérabilités et des correctifs, chiffrement, journalisation, sécurité des accès et des fournisseurs.
• La notification des incidents : alerter l'autorité compétente dans des délais courts en cas d'incident significatif, avec une première alerte précoce suivie d'un rapport plus détaillé.
• La responsabilité et la formation de la direction : les dirigeants doivent approuver les mesures, en superviser la mise en œuvre et se former.

Ce que la responsabilité des dirigeants change vraiment

C'est le point le plus souvent sous-estimé, et c'est aussi le plus important sur le plan éthique et juridique. NIS2 ne se contente pas de demander des mesures techniques : elle engage nommément la direction. Concrètement, un dirigeant ne peut plus se réfugier derrière un « je ne savais pas » ou un « c'était le rôle de l'informatique ».

• La direction doit approuver les mesures de gestion des risques et en superviser l'application.
• Les dirigeants sont tenus de se former aux enjeux de cybersécurité.
• En cas de manquement, des sanctions administratives significatives sont prévues, et la responsabilité des personnes en charge peut être engagée.

Autrement dit, la conformité n'est pas qu'une case à cocher : c'est un devoir de diligence. La bonne nouvelle, c'est qu'une démarche sérieuse et documentée, même imparfaite au départ, vaut infiniment mieux que l'inaction.

Votre plan d'action

Inutile de tout traiter d'un coup. Une mise en conformité réussie est un chemin priorisé, du plus exposé au moins critique.

1. Vérifiez votre éligibilité : secteur, taille, et rôle éventuel de sous-traitant. Documentez votre analyse, même si votre conclusion est « non concerné ».
2. Impliquez la direction dès maintenant et désignez un responsable clairement identifié.
3. Cartographiez votre surface d'attaque externe : domaines, sous-domaines, services exposés sur Internet, configuration DNS et messagerie (SPF, DKIM, DMARC), certificats TLS.
4. Mesurez l'écart entre votre situation et les mesures attendues : sauvegardes, authentification, gestion des vulnérabilités, journalisation, sécurité des fournisseurs.
5. Formalisez une procédure de gestion des incidents, avec des rôles et des délais de notification clairs.
6. Construisez un plan de remédiation sur 6 à 12 mois, en traitant d'abord les expositions les plus critiques.
7. Sensibilisez et formez vos équipes comme vos dirigeants.
8. Réévaluez régulièrement : la conformité est un processus continu, pas un projet ponctuel.

Comment Sedona peut aider

Sedona.AI accompagne les PME et ETI sur le volet technique de cette démarche. Sedona Radar évalue votre surface d'attaque externe — ports ouverts, configuration DNS et messagerie, TLS, vulnérabilités connues, sous-domaines exposés — et fournit un score de conformité indicatif sur six référentiels. C'est un point de départ objectif pour prioriser vos actions, pas une certification : rappelons qu'aucun outil ne délivre la conformité NIS2, qui reste une responsabilité d'organisation. Pour aller plus loin, nos audits de surface et nos audits OSINT (uniquement à partir d'informations publiques et avec votre accord écrit), ainsi que notre veille cybersécurité, complètent l'état des lieux.

Pour situer concrètement votre exposition, testez gratuitement le plan Découverte de Sedona Radar, ou téléchargez notre Checklist NIS2 et notre guide de mise en conformité dans nos ressources.