Une PME qui répond à un appel d’offres découvre parfois, dans le cahier des charges, des exigences de cybersécurité qu’elle ne connaissait pas, imposées non pas parce qu’elle serait elle-même directement soumise à la réglementation européenne, mais parce que son client l’est, et qu’il répercute cette exigence sur l’ensemble de sa chaîne de sous-traitance. C’est précisément l’effet de cascade que produit la directive NIS2, qui étend son influence bien au-delà du cercle restreint des entités qu’elle vise directement.
Ce guide explique qui est directement concerné par NIS2, comment cette obligation se propage vers les PME sous-traitantes, les principales exigences imposées, et comment s’y préparer même sans obligation légale directe.
À retenir
- NIS2 vise directement certains secteurs et certaines tailles d'entreprises, mais ses effets se propagent vers leurs fournisseurs et sous-traitants par voie contractuelle.
- Les obligations couvrent la gestion des risques, la notification d'incidents, la sécurité de la chaîne d'approvisionnement et la formation des dirigeants.
- Une PME non directement visée a tout intérêt à anticiper ces exigences si elle travaille avec des clients eux-mêmes soumis à la directive.
Qui est directement concerné par NIS2
La directive NIS2 s’applique directement à des entités essentielles et des entités importantes, une distinction qui dépend du secteur d’activité et de seuils de taille fixés par la réglementation. Les secteurs concernés couvrent notamment l’énergie, la santé, le numérique, les transports, la gestion de l’eau et des déchets, ainsi que certains prestataires de services numériques. Ces catégories restent réservées à des structures dépassant certains seuils d’effectif et de chiffre d’affaires, ce qui exclut mécaniquement la grande majorité des TPE et petites PME du champ d’application direct.
L’effet de cascade vers les fournisseurs et sous-traitants
C’est le point le plus important pour une PME qui ne relève pas directement des secteurs ou seuils fixés par NIS2 : la directive impose aux entités qu’elle vise de sécuriser leur chaîne d’approvisionnement, ce qui les conduit à répercuter contractuellement des exigences de cybersécurité sur leurs propres fournisseurs et sous-traitants, quelle que soit la taille de ces derniers. Une PME qui fournit un service informatique, une prestation de maintenance, ou tout autre service à une entreprise directement soumise à NIS2 peut ainsi se voir imposer des exigences de sécurité alignées sur celles de son client, sous peine de perdre le marché.
De nombreuses PME découvrent tardivement, à l'occasion d'un appel d'offres ou d'un renouvellement de contrat, que leur principal client leur impose désormais des exigences de sécurité qu'elles ne remplissent pas. Anticiper cette évolution, plutôt que la subir dans l'urgence d'une échéance contractuelle, permet de rester compétitif face à des concurrents mieux préparés.
Les principales obligations imposées
Pour les entités directement soumises, NIS2 impose notamment :
- La mise en place d’une gestion structurée des risques de cybersécurité, avec des mesures techniques et organisationnelles proportionnées à l’exposition de l’entité.
- La notification des incidents significatifs aux autorités compétentes, dans des délais courts qui imposent une capacité de détection et de réaction rapide.
- La sécurisation de la chaîne d’approvisionnement, qui inclut l’évaluation de la sécurité des fournisseurs et sous-traitants, à l’origine de l’effet de cascade évoqué plus haut.
- La formation des organes de direction aux enjeux de cybersécurité, la directive engageant personnellement la responsabilité des dirigeants sur ce point.
PME qui anticipe
- Audit de sa situation actuelle réalisé avant toute exigence contractuelle explicite.
- Politique de sauvegarde et de gestion des accès déjà en place.
- Personnel sensibilisé aux bases de la cybersécurité au quotidien.
PME qui découvre l'enjeu tardivement
- Exigences de sécurité découvertes dans un appel d'offres, sans préparation.
- Aucune procédure de détection ni de notification d'incident en place.
- Risque de perdre un marché faute de conformité aux attentes du client.
Les sanctions pour les entités directement soumises
Les entités directement assujetties qui ne respectent pas leurs obligations s’exposent à des amendes administratives significatives, dont le montant peut être calculé en proportion du chiffre d’affaires pour les manquements les plus graves, ainsi qu’à des mesures correctives imposées par l’autorité compétente. La responsabilité personnelle des dirigeants peut également être engagée en cas de manquement caractérisé à leurs obligations de gestion des risques, un point qui justifie une implication directe de la direction dans la mise en conformité, au-delà d’une simple délégation au service informatique.
Comment une PME peut se préparer, même sans obligation directe
Pour une PME qui n’est pas directement soumise à NIS2 mais qui travaille avec des clients eux-mêmes concernés, quelques démarches accessibles permettent d’anticiper :
- Réaliser un audit simple de sa situation actuelle : systèmes critiques identifiés, politique de mots de passe, fréquence et fiabilité des sauvegardes, en s’appuyant si besoin sur une formation à la cybersécurité en ligne pour monter en compétence rapidement.
- Former le personnel aux bases de la cybersécurité, notamment la reconnaissance des tentatives de hameçonnage, souvent le point d’entrée le plus exploité par les attaquants pour tenter un piratage de compte bancaire professionnel.
- Documenter ses pratiques de sécurité, pour pouvoir répondre rapidement à un questionnaire de sécurité imposé par un client ou un donneur d’ordre.
- Se rapprocher des réseaux d’accompagnement locaux, notamment en Nouvelle-Aquitaine, où des dispositifs d’appui à la cybersécurité des PME existent pour faciliter cette mise à niveau.
Cette logique de responsabilité étendue vers les sous-traitants rappelle celle déjà rencontrée en matière de lutte contre le travail dissimulé, où l’obligation de vigilance du donneur d’ordre engage également sa responsabilité au-delà de sa propre entreprise.
Une PME qui peut démontrer, documents à l'appui, une gestion sérieuse de sa cybersécurité se différencie positivement lors d'un appel d'offres face à des concurrents moins préparés. Ce qui commence comme une contrainte imposée par un client peut devenir un véritable avantage concurrentiel une fois la mise en conformité engagée.
NIS2 et RGPD : deux réglementations complémentaires, pas identiques
Il est fréquent de confondre les obligations de NIS2 avec celles déjà connues du RGPD, alors que ces deux réglementations poursuivent des objectifs différents : le RGPD protège les données personnelles des individus, quel que soit le contexte technique de leur traitement, tandis que NIS2 vise la résilience globale des systèmes d’information face aux cyberattaques, indépendamment de la nature des données concernées. Une entreprise déjà conforme au RGPD n’est donc pas automatiquement en conformité avec NIS2, même si certaines mesures de sécurité se recoupent naturellement entre les deux cadres, notamment sur la sécurisation des accès et la gestion des incidents.
Le calendrier de mise en œuvre à surveiller
Les modalités précises de transposition et d’entrée en application de NIS2 varient selon les États membres et continuent d’évoluer, avec des précisions apportées progressivement par les autorités nationales compétentes sur les listes d’entités concernées et les délais de mise en conformité. Une PME concernée directement ou indirectement a intérêt à suivre ces évolutions réglementaires de près, plutôt que de se fier à une information qui pourrait ne plus être à jour, en particulier si elle évolue dans un secteur dont le périmètre d’application a pu être précisé ou ajusté depuis les premières communications sur cette directive.
Ce qu’il faut retenir avant de vous lancer
La directive NIS2 ne concerne pas seulement les grandes entreprises des secteurs stratégiques : son effet de cascade contractuel touche potentiellement toute PME qui travaille, directement ou indirectement, avec une entité soumise à cette réglementation. Anticiper cette évolution, par un audit simple et une sensibilisation du personnel, reste accessible à toute structure et évite de découvrir l’enjeu au pire moment, celui d’un appel d’offres perdu faute de préparation.
À retenir
- Vérifiez si vos principaux clients relèvent directement de la directive NIS2, ce qui pourrait vous exposer à un effet de cascade contractuel.
- Réalisez un audit simple de votre situation de cybersécurité, indépendamment de tout assujettissement direct.
- Formez votre personnel aux bases de la cybersécurité, en particulier la détection des tentatives de hameçonnage.
Questions fréquentes
La directive NIS2 concerne-t-elle uniquement les grandes entreprises ?
Non, c'est l'un des points les plus mal compris de cette directive : au-delà des grandes entreprises directement désignées comme entités essentielles ou importantes selon leur secteur et leur taille, de nombreuses PME sont concernées indirectement, en tant que fournisseurs ou sous-traitants d'une entité elle-même soumise à NIS2, qui leur imposera contractuellement des exigences de sécurité renforcées.
Comment savoir si mon entreprise est directement soumise à NIS2 ?
L'assujettissement dépend du secteur d'activité (énergie, santé, numérique, transport, gestion des déchets, entre autres secteurs listés) et de seuils de taille (effectif et chiffre d'affaires) fixés par la réglementation. Une entreprise qui évolue dans un secteur sensible mais reste sous ces seuils peut malgré tout être concernée indirectement si elle travaille avec des clients ou donneurs d'ordre eux-mêmes soumis à la directive.
Quelles sont les principales obligations imposées par NIS2 ?
Les entités concernées doivent mettre en place une gestion des risques de cybersécurité, notifier les incidents significatifs aux autorités compétentes dans des délais courts, sécuriser leur chaîne d'approvisionnement, et former leurs dirigeants et salariés aux enjeux de cybersécurité. La direction de l'entité assujettie porte une responsabilité personnelle renforcée dans la mise en œuvre de ces mesures.
Que risque une entreprise directement soumise à NIS2 qui ne se met pas en conformité ?
Les sanctions prévues incluent des amendes administratives significatives, dont le montant peut être calculé en proportion du chiffre d'affaires pour les manquements les plus graves, ainsi que des mesures correctives imposées par l'autorité compétente. La direction de l'entité peut également voir sa responsabilité personnelle engagée en cas de manquement caractérisé aux obligations de gestion des risques.
Une PME non directement soumise à NIS2 doit-elle quand même s'en préoccuper ?
Oui, dans la mesure où elle travaille avec des clients ou partenaires eux-mêmes soumis à la directive, qui peuvent lui imposer contractuellement des exigences de sécurité alignées sur leurs propres obligations, sous peine de perdre le marché ou la relation commerciale. Anticiper cette évolution plutôt que la découvrir dans un appel d'offres reste la meilleure stratégie pour ne pas perdre de terrain face à des concurrents mieux préparés.
Par où commencer pour se préparer, même sans obligation légale directe ?
Un audit simple de sa situation actuelle (inventaire des systèmes critiques, politique de mots de passe, sauvegardes, sensibilisation du personnel) constitue un premier pas accessible à toute PME, indépendamment de son statut au regard de NIS2. Cette démarche renforce la résilience de l'entreprise face aux cyberattaques, un risque qui touche des structures de toute taille, bien au-delà des seules entités formellement désignées par la directive.
