Directive NIS2 : votre entreprise est-elle concernée ?

La directive NIS2 arrive très vite et elle ne concerne plus seulement quelques opérateurs d’importance vitale, mais des milliers d’entreprises en France. Avant de penser audits, budgets et outils de cybersécurité, la première question à traiter reste simple : votre entreprise est-elle concernée par NIS2 ou peut-elle rester en dehors du dispositif européen ?

Directive NIS2 : le changement de dimension pour les entreprises

La directive NIS2 vise à élever le niveau de cybersécurité de toutes les organisations jugées stratégiques pour l’économie et la société européennes. Elle reprend l’esprit de la première directive NIS, mais elle élargit très fortement son périmètre, son niveau d’exigence, et l’ampleur des sanctions en cas de manquement. Les États membres doivent transposer NIS2 dans leur droit national, ce qui va faire passer le nombre d’entités régulées en France de quelques centaines à plusieurs milliers. Cette montée en puissance signifie que des structures qui ne se sentaient pas concernées par la cybersécurité réglementaire entrent désormais dans le radar.

La directive s’applique à des entités essentielles et à des entités importantes qui fournissent des services jugés critiques pour le fonctionnement du marché européen, pour la continuité des services publics ou pour la vie quotidienne des citoyens. Elle couvre dix-huit secteurs d’activité au total, avec des sous-catégories spécifiques. Pour une PME ou une ETI, la question n’est plus de savoir si la cyber menace existe, mais si les régulateurs la classent dans ces catégories et lui imposent un cadre réglementaire contraignant.

Les trois critères qui déterminent si votre entreprise est concernée

Pour savoir si votre organisation tombe sous le champ de NIS2, vous devez croiser trois critères : le secteur d’activité, la taille, et la localisation des services que vous fournissez. Cette grille de lecture reste la même que vous soyez une entreprise privée, un organisme public ou un acteur hybride qui assure des missions de service public avec une structure commerciale classique. L’objectif de NIS2 est de couvrir les acteurs qui contribuent au bon fonctionnement de la société numérique et des infrastructures physiques.

Secteurs couverts : bien au-delà de l’IT et des télécoms

Le premier filtre concerne votre secteur d’activité. NIS2 couvre un spectre très large qui dépasse de loin les seuls opérateurs de réseaux ou les géants du numérique. On y retrouve par exemple l’énergie, les transports, la santé, les infrastructures numériques, les administrations publiques, les fournisseurs de services numériques, les services postaux, l’eau potable, les systèmes financiers et une série d’autres secteurs considérés comme essentiels pour le fonctionnement du pays. Ces domaines figurent dans les annexes de la directive, avec des précisions sur les types d’entités visés.

Une entreprise de taille moyenne qui gère un réseau de distribution d’eau, qui fournit des services de santé, qui exploite un datacenter ou qui opère des services de transport peut donc entrer dans le périmètre NIS2 même si son activité n’a jamais été considérée comme stratégique par ses dirigeants. De la même manière, une structure qui fournit des services de confiance numériques, qui opère un registre de noms de domaine ou qui propose des solutions de communication électronique au public se trouve automatiquement dans le champ de la directive, quelle que soit sa taille. Autrement dit, certains profils restent concernés même s’ils ne franchissent pas les seuils habituels.

Taille et seuils : salariés et volume d’affaires

Le deuxième critère concerne la taille de l’entreprise. Dans la plupart des cas, NIS2 s’applique aux organisations qui se classent au minimum comme moyennes entreprises. En pratique, les seuils tournent autour de plus de 50 salariés ou d’un chiffre d’affaires supérieur à 10 millions d’euros. Une structure qui franchit ces limites et qui exerce dans un des secteurs ciblés entre donc dans le champ de la directive et doit se préparer à mettre en place des mesures de gouvernance, de gestion de risque et de protection technique.

Les microentreprises et les petites entreprises restent en grande partie exclues, mais cette règle supporte des exceptions. Si une petite structure fournit un service hautement critique, par exemple une solution de registre DNS ou un service de confiance qualifié, elle peut être considérée comme entité régulée malgré sa taille. Le message est clair pour les dirigeants : la taille ne protège pas toujours, et seul un examen précis de l’activité permet de trancher.

Localisation : dans l’Union européenne ou au service de l’UE

Le troisième critère concerne la localisation de votre activité. NIS2 vise les organisations établies dans l’Union européenne, mais aussi les entreprises dont le siège se situe hors UE dès lors qu’elles fournissent des services sur le marché européen. Une société américaine ou asiatique qui opère un service numérique critique pour des clients européens entre donc dans le périmètre, même si son infrastructure physique se trouve à l’étranger. Cette logique de marché permet de couvrir toutes les chaînes de valeur qui soutiennent les services essentiels.

Pour une entreprise française ou pour une PME basée dans un autre État membre, la question se pose surtout quand elle se développe à l’international. Plus elle sert de clients, de collectivités ou d’administrations au sein de l’Union européenne, plus la probabilité de rentrer dans le champ NIS2 augmente. Les groupes qui possèdent plusieurs filiales doivent prendre cette dimension géographique en compte dans leur analyse de conformité.

Comment vérifier concrètement si votre organisation entre dans NIS2 ?

Une fois ces trois grandes clés en tête, vous devez passer votre entreprise au crible. Cette étape ne se résume pas à regarder votre nombre de salariés ou votre chiffre d’affaires sur le dernier bilan. Elle demande une analyse structurée de votre activité, de vos clients, de vos services et de votre place dans la chaîne de valeur des secteurs critiques. Les directions générales, financières, opérationnelles et informatiques doivent travailler ensemble pour clarifier cette cartographie.

Faire l’inventaire des activités sensibles

Commencez par dresser un inventaire détaillé des activités et des services proposés. Vous devez identifier ceux qui soutiennent directement un service essentiel ou une infrastructure critique. Par exemple, si votre entreprise gère des systèmes qui garantissent la continuité d’un hôpital, d’un réseau de transport ou d’une administration, elle occupe une place clef dans la chaîne de confiance. Cet inventaire doit couvrir les activités principales, les services complémentaires, mais aussi les prestations réalisées pour des clients régulés.

Un prestataire informatique qui gère des sauvegardes externalisées pour un groupe de santé ou pour un acteur de l’énergie ne peut plus considérer ces missions comme de simples contrats techniques. Ce type de prestation contribue à la résilience du client, ce qui en fait un maillon critique pour le régulateur. Dans ce contexte, une réflexion approfondie sur la sauvegarde externalisée et la stratégie de backup professionnel prend tout son sens, car elle se connecte directement aux obligations de continuité de service imposées par NIS2.

Évaluer votre rôle dans la chaîne d’approvisionnement

La directive accorde une importance forte à la sécurité de la chaîne d’approvisionnement. Elle demande aux entités régulées de surveiller leurs fournisseurs, prestataires et sous-traitants pour vérifier qu’ils respectent des standards de cybersécurité cohérents avec leurs propres obligations. Si vous fournissez des services informatiques, des solutions cloud, des outils de communication, des logiciels métiers ou des équipements connectés à un acteur régulé, vous devenez un maillon clé de sa sécurité.

Cette position vous amène à adapter vos pratiques de protection, votre politique de mise à jour et votre manière de gérer les incidents. Par exemple, une société qui fournit un ERP pour PME à des clients dans l’énergie ou la santé doit conscientiser son rôle dans la protection des données, dans la disponibilité des systèmes et dans la gestion des accès. Un projet de choix de solutions ERP pour PME doit intégrer cette dimension réglementaire pour éviter des angles morts de sécurité.

Croiser vos seuils de taille avec vos secteurs d’activité

Après cette cartographie fonctionnelle, vous pouvez croiser votre profil de taille avec le listing des secteurs NIS2. Une PME qui dépasse les seuils de salariés ou de chiffre d’affaires et qui exerce dans un secteur couvert doit considérer qu’elle entre dans le champ probable de la directive. Une ETI ou un grand groupe n’a que très peu de chances d’y échapper si ses services touchent à des domaines essentiels comme l’énergie, la santé, les infrastructures numériques ou les communications électroniques.

Le cas des structures en-dessous des seuils reste plus nuancé. Elles doivent vérifier si leurs services se classent comme hauts risques pour la continuité d’un secteur régulé ou pour la sécurité de chaînes d’approvisionnement critiques. Quand les missions se concentrent sur des activités sensibles, il devient prudent d’anticiper NIS2 plutôt que d’attendre une notification formelle de l’autorité nationale. Cette anticipation réduit l’effet de surprise lorsque les textes d’application précisent la liste des entités régulées.

Si votre entreprise est concernée par NIS2, à quoi faut-il se préparer ?

Une fois le diagnostic posé, deux scénarios se dessinent. Votre entreprise se trouve clairement dans le périmètre de NIS2, ou elle reste à distance mais collabore avec des entités régulées et subit indirectement leurs exigences. Dans les deux cas, la cybersécurité passe au rang de sujet stratégique pour la direction générale et pour les équipes opérationnelles. Les réflexes historiques qui relèguent la protection des systèmes au seul service informatique ne suffisent plus.

Gouvernance de la cybersécurité et responsabilité des dirigeants

La directive met la gouvernance de la cybersécurité au cœur du dispositif. Les dirigeants doivent valider une stratégie, suivre des indicateurs, et assumer leur responsabilité en cas de manquement grave ou répété. Cette dimension dépasse la seule conformité technique. Elle exige une organisation claire des rôles, des circuits de décision et des processus d’arbitrage entre les contraintes de sécurité, les enjeux opérationnels et les limites budgétaires.

Pour une PME, cela peut passer par la mise en place d’un comité cybersécurité, par la désignation d’un responsable dédié, ou par la montée en compétence du DSI sur les aspects réglementaires. Cette gouvernance ne reste pas théorique. Elle doit se traduire dans des plans d’action annuels, dans des budgets clairement identifiés, dans des règles de validation pour les projets numériques, et dans des clauses contractuelles renforcées avec les prestataires. Les dirigeants ne peuvent plus ignorer ce sujet, car la directive prévoit des sanctions financières et engage leur responsabilité personnelle.

Mesures techniques : détection, protection et continuité

NIS2 impose un socle de mesures techniques qui couvrent la détection des menaces, la protection des systèmes et la gestion des incidents. Les entreprises doivent mettre en place une surveillance des actifs numériques, des procédures de remontée d’alerte, des plans de réponse aux incidents, et des dispositifs de sauvegarde et de continuité. La capacité à chiffrer les données sensibles, à gérer les droits d’accès, à maintenir les systèmes à jour et à corriger les vulnérabilités devient une exigence ferme.

Dans la pratique, cette montée en gamme oblige à revisiter des sujets parfois laissés en marge, comme le choix d’un antivirus ou d’une solution EDR adaptée au contexte PME. Un projet de sécurité du poste de travail doit se penser en cohérence avec la criticité de l’activité et avec la valeur des données manipulées. Les dirigeants qui comparent les options peuvent s’appuyer sur des ressources qui détaillent les protections informatiques adaptées aux PME pour éviter les fausses économies et les angles morts.

Gestion des sauvegardes et de la disponibilité des services

La directive accorde une place centrale à la continuité d’activité. Les entreprises régulées doivent prouver qu’elles peuvent encaisser une cyberattaque ou une panne majeure sans interrompre durablement les services critiques. Cela passe par des stratégies de sauvegarde robustes, par des tests de restauration réguliers, et par des dispositifs de redondance pour les ressources vitales comme les connexions internet, les systèmes de téléphonie ou les infrastructures cloud.

Cette logique rejoint des préoccupations opérationnelles très concrètes, comme la mise en place d’un internet de secours pour les sites qui ne peuvent pas se permettre une coupure prolongée. Une réflexion approfondie sur un backup 4G/5G pour la connexion professionnelle devient un volet d’un plan NIS2 réussi, au même titre que les mécanismes de sauvegarde ou les solutions de reprise après sinistre.

Impact de NIS2 sur les projets et les budgets des PME

La mise en conformité avec NIS2 ne se limite pas à cocher des cases dans une check-list réglementaire. Elle bouscule la manière dont les entreprises gèrent leurs projets numériques, leurs investissements et leurs relations avec les fournisseurs. Les directions doivent intégrer cette dimension dans chaque décision qui touche au système d’information, depuis le renouvellement du parc informatique jusqu’au choix d’une nouvelle solution cloud ou d’un nouveau logiciel métier.

Arbitrer entre achat et location du matériel informatique

L’un des impacts se situe au niveau du matériel informatique. La directive exige des systèmes maintenus, mis à jour, et capables d’appliquer des correctifs de sécurité dans des délais raisonnables. Cela rend beaucoup moins compatibles les parcs vieillissants, les machines hors support ou les équipements qui ne supportent plus les nouvelles versions des systèmes d’exploitation. Les entreprises doivent réévaluer leur stratégie de renouvellement et de financement du parc.

Dans certains cas, le leasing de matériel informatique apporte une réponse pragmatique, car il permet de lisser les investissements et de maintenir un parc à jour sans mobiliser massivement la trésorerie. Cette approche comporte des avantages et des limites qu’il faut analyser au regard de la conformité NIS2 et de la flexibilité souhaitée. Les dirigeants qui s’interrogent sur ce sujet peuvent approfondir les avantages et inconvénients du leasing informatique pour prendre des décisions éclairées.

Choix du parc : neuf, reconditionné ou mixte

Un autre volet touche au choix des PC. Les entreprises qui misent sur des PC reconditionnés pour des raisons budgétaires doivent vérifier que ces équipements supportent correctement les exigences de sécurité, les mises à jour et les outils de protection avancés. Un matériel trop ancien ou mal suivi peut compliquer la conformité, voire créer des failles difficiles à maîtriser. La performance, la compatibilité avec les solutions de sécurité et la capacité à intégrer des mécanismes d’authentification renforcée deviennent des critères de choix importants.

Une stratégie mixte qui combine postes neufs sur les fonctions critiques et matériels reconditionnés sur des postes moins sensibles peut constituer un compromis, à condition de bien baliser les usages et les niveaux de protection associés. Les entreprises qui s’intéressent à cette option gagneront à étudier si les PC reconditionnés pour l’entreprise représentent une vraie économie ou un risque caché dans un contexte NIS2.

Conclusion opérationnelle : placer NIS2 dans votre feuille de route

La directive NIS2 transforme la cybersécurité en sujet réglementaire structurant pour un grand nombre d’entreprises. En vérifiant votre secteur, votre taille et votre place dans la chaîne de valeur, vous pouvez déterminer si votre organisation se trouve directement concernée ou impactée par ricochet. Cette analyse n’a rien de théorique, car elle conditionne vos futures obligations, vos risques de sanctions et vos priorités de transformation numérique.

Que votre entreprise soit déjà identifiée comme entité régulée ou qu’elle se situe encore dans une zone grise, le moment reste opportun pour intégrer la cybersécurité dans votre budget, vos projets et vos contrats. Les sujets tels que la sauvegarde externalisée, la protection des postes de travail, la continuité de la connexion internet ou le renouvellement du parc informatique s’imbriquent désormais dans une même logique : protéger les services essentiels et démontrer la capacité à résister aux cyberattaques. En traitant NIS2 comme un levier de maturité plutôt que comme une contrainte, votre entreprise peut renforcer sa résilience et sa crédibilité auprès de ses clients, de ses partenaires et des autorités.