Conformité NIS2 pour les PME : obligations et checklist

À retenir

La directive NIS2 (directive (UE) 2022/2555) devait être transposée par les États membres au plus tard le 17 octobre 2024, selon le texte officiel publié sur EUR-Lex.

Au 5 septembre 2026, la loi française de transposition (projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité ») n’est toujours pas promulguée : adoptée par le Sénat le 12 mars 2025 et votée en commission spéciale de l’Assemblée nationale le 10 septembre 2025, elle attend son examen en séance publique, d’après la FAQ officielle MonEspaceNIS2 de l’ANSSI.

La Commission européenne a saisi la Cour de justice de l’UE contre la France le 8 juillet 2026 pour défaut de transposition, en demandant des astreintes journalières (Commission européenne, 8 juillet 2026). Cette procédure devrait accélérer le calendrier français.

La directive prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes (article 34 de la directive (UE) 2022/2555).

L’article 21.2 impose dix mesures minimales de gestion des risques, dont la formation à la cybersécurité (21.2.g) et l’évaluation de l’efficacité des mesures (21.2.f). Notre guide dédié aux obligations de sensibilisation et de formation NIS2 les détaille.

Le 17 octobre 2024, le délai de transposition de la directive NIS2 a expiré dans toute l’Union européenne. Pour les PME françaises, l’enjeu est concret : des milliers d’entreprises qui n’étaient pas concernées par la première directive NIS1 se retrouvent désormais soumises à des obligations strictes en matière de cybersécurité. Et les sanctions sont lourdes : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements les plus graves.

Pourtant, selon une étude du CESIN publiée en 2025, moins de 30 % des PME françaises concernées ont entamé leur mise en conformité NIS2. La raison ? Le texte est dense, technique, et les ressources adaptées aux petites et moyennes entreprises sont rares. La plupart des guides disponibles s’adressent aux grands groupes disposant d’équipes cybersécurité dédiées.

Ce guide a été conçu spécifiquement pour les dirigeants et responsables informatiques de PME. Vous y trouverez tout ce qu’il faut savoir pour comprendre NIS2 et agir concrètement :

Qui est réellement concerné : avec un arbre de décision simple pour savoir si votre entreprise est dans le périmètre
Les 10 obligations concrètes de l’article 21, expliquées en langage clair
Les sanctions et la nouvelle responsabilité personnelle des dirigeants
Le calendrier de mise en conformité et les échéances critiques
Une checklist de 20 points organisée par priorité, pour structurer votre plan d’action

Ce guide s’appuie sur le texte officiel de la Directive (UE) 2022/2555 du 14 décembre 2022, les recommandations de l’ANSSI, les publications de l’ENISA, et les retours d’expérience des premières mises en conformité en France.

Qu’est-ce que la directive NIS2 ?

La directive NIS2, officiellement Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022, est le cadre réglementaire européen pour la cybersécurité des réseaux et des systèmes d’information. Elle remplace la première directive NIS adoptée en 2016, en élargissant considérablement son périmètre et en renforçant les exigences.

Pourquoi NIS2 remplace NIS1

La directive NIS1 de 2016 avait posé les premières bases d’une approche coordonnée de la cybersécurité en Europe. Mais elle présentait des limites importantes :

Périmètre trop restreint : seuls les « opérateurs de services essentiels » (OSE) et les fournisseurs de services numériques étaient concernés, soit environ 15 000 entités dans toute l’UE
Transposition hétérogène : chaque État membre avait interprété la directive différemment, créant des disparités importantes
Sanctions insuffisantes : les amendes n’étaient pas harmonisées et souvent trop faibles pour être dissuasives
Réactivité limitée : les mécanismes de notification d’incidents étaient lents et fragmentés

NIS2 corrige ces faiblesses. Le nombre d’entités concernées passe de 15 000 à environ 160 000 dans l’UE, dont plusieurs dizaines de milliers en France. Selon l’ANSSI, entre 10 000 et 15 000 entreprises françaises sont directement dans le périmètre de la nouvelle directive.

Le contexte français

En France, la transposition de NIS2 passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (dit « loi Résilience »). Au 5 septembre 2026, cette loi n’est toujours pas promulguée : le Sénat l’a adoptée le 12 mars 2025, la commission spéciale de l’Assemblée nationale l’a votée le 10 septembre 2025, mais l’examen en séance publique n’a pas encore eu lieu et aucun décret d’application n’est publié, comme l’indique la FAQ officielle MonEspaceNIS2. Ce retard a conduit la Commission européenne à saisir la Cour de justice de l’UE contre la France le 8 juillet 2026, en demandant une somme forfaitaire et des astreintes journalières.

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) sera l’autorité compétente, responsable de la supervision, des audits et des sanctions. Sans attendre la loi, elle a mis en place le portail MonEspaceNIS2 et diffuse depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), un document de travail qui liste les mesures recommandées pour atteindre les futurs objectifs de sécurité (cyber.gouv.fr). Le contenu des obligations est donc déjà largement connu : le projet français reste fidèle au texte européen, sans allègement notable pour les PME.

Qui est concerné par NIS2 en France ?

Contrairement à NIS1, la directive NIS2 utilise des critères objectifs de taille et de secteur pour déterminer qui est dans le périmètre. Il n’y a plus de désignation au cas par cas par les autorités.

Critères de taille

NIS2 s’applique à deux catégories d’entités, déterminées par leur taille :

Catégorie	Effectifs	Chiffre d’affaires	Bilan annuel
Entités moyennes	50 à 249 employés	10 à 50 M€	10 à 43 M€
Grandes entités	250+ employés	> 50 M€	> 43 M€

L’effectif suffit à lui seul : à partir de 50 salariés, vous êtes au moins une entité moyenne. En dessous de 50 salariés, il faut dépasser à la fois 10 M€ de chiffre d’affaires et 10 M€ de bilan (définition européenne des PME, recommandation 2003/361/CE). Une entreprise de 45 employés avec 12 M€ de chiffre d’affaires n’est donc concernée que si son bilan dépasse aussi 10 M€ et qu’elle opère dans un secteur listé.

Secteurs essentiels (Annexe I de la directive)

Les secteurs dits « hautement critiques » sont soumis aux exigences les plus strictes :

Secteur	Exemples d’activités
Énergie	Électricité, pétrole, gaz, hydrogène, réseaux de chaleur
Transport	Aérien, ferroviaire, maritime, routier
Secteur bancaire	Établissements de crédit
Infrastructures des marchés financiers	Plateformes de négociation, contreparties centrales
Santé	Hôpitaux, laboratoires, fabricants de dispositifs médicaux
Eau potable	Approvisionnement et distribution
Eaux usées	Collecte, traitement, rejet
Infrastructure numérique	DNS, registres, cloud, data centers, CDN, FAI
Gestion des services TIC	Fournisseurs de services managés (MSP/MSSP)
Administration publique	Entités de l’administration centrale
Espace	Opérateurs d’infrastructures terrestres

Secteurs importants (Annexe II de la directive)

Les secteurs dits « critiques » sont soumis à des obligations similaires mais avec des sanctions moins élevées :

Secteur	Exemples d’activités
Services postaux et d’expédition	Courrier, colis, logistique
Gestion des déchets	Collecte, traitement, recyclage
Fabrication, production et distribution de produits chimiques	Chimie industrielle, agrochimie
Production et distribution de denrées alimentaires	Agroalimentaire, grande distribution
Fabrication	Dispositifs médicaux, électronique, machines, automobile, équipements de transport
Fournisseurs de services numériques	Places de marché, moteurs de recherche, réseaux sociaux
Recherche	Organismes de recherche

Cas particuliers : concernés quelle que soit la taille

Certaines entités sont dans le périmètre de NIS2 indépendamment de leur taille :

Fournisseurs de services DNS
Registres de noms de domaine de premier niveau (TLD)
Fournisseurs de services de confiance qualifiés
Fournisseurs de réseaux de communications électroniques publics
Entités identifiées comme critiques au titre de la directive CER

Mon entreprise est-elle concernée ? Arbre de décision simplifié

Pour déterminer si votre PME est dans le périmètre NIS2, posez-vous ces trois questions :

Votre entreprise opère-t-elle dans l’un des secteurs listés ci-dessus ? Si non → vous n’êtes probablement pas directement concerné (mais attention au point 3).
Votre entreprise atteint-elle la taille d’une entreprise moyenne ? (50 employés, ou à la fois plus de 10 M€ de CA et plus de 10 M€ de bilan) Si oui → vous êtes dans le périmètre.
Êtes-vous sous-traitant ou fournisseur d’une entité concernée ? Même si vous n’êtes pas directement dans le périmètre, vos clients soumis à NIS2 vont exiger des garanties de cybersécurité au titre de l’obligation de sécurité de la chaîne d’approvisionnement (article 21.2.d). C’est l’effet cascade de NIS2.

En cas de doute, consultez le portail MonEspaceNIS2 mis en place par l’ANSSI pour l’auto-évaluation.

Les 10 obligations de NIS2 pour les entreprises

L’article 21 de la directive NIS2 définit 10 catégories de mesures que les entités concernées doivent mettre en œuvre. Ces mesures doivent être proportionnées à la taille de l’entreprise, à son exposition aux risques et à la gravité potentielle des incidents.

Voici ces 10 obligations, expliquées concrètement pour une PME.

1. Analyse de risques et politique de sécurité (Article 21.2.a)

Ce que dit le texte : les entités doivent adopter des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information.

Concrètement pour votre PME : vous devez réaliser une cartographie de vos actifs numériques (serveurs, postes de travail, applications SaaS, données sensibles), évaluer les risques qui pèsent sur chacun, et documenter une politique de sécurité formelle. Ce document doit être validé par la direction et révisé au minimum une fois par an.

2. Gestion des incidents (Article 21.2.b)

Ce que dit le texte : les entités doivent mettre en place des procédures de gestion des incidents de sécurité.

Concrètement : vous devez disposer d’un processus documenté pour détecter, analyser, contenir et remédier aux incidents de sécurité. NIS2 impose des délais de notification stricts :

Alerte initiale : dans les 24 heures suivant la prise de connaissance d’un incident significatif
Notification complète : dans les 72 heures, avec une évaluation initiale de l’incident
Rapport final : dans le mois suivant la notification, avec l’analyse détaillée et les mesures prises

3. Continuité d’activité (Article 21.2.c)

Ce que dit le texte : les entités doivent assurer la continuité de leurs activités, y compris la gestion des sauvegardes, la reprise après sinistre et la gestion de crise.

Concrètement : documentez un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA). Testez régulièrement vos sauvegardes : une sauvegarde non testée n’est pas une sauvegarde. En cas d’attaque par rançongiciel, vous devez pouvoir restaurer vos systèmes critiques dans un délai défini.

4. Sécurité de la chaîne d’approvisionnement (Article 21.2.d)

Ce que dit le texte : les entités doivent gérer les risques liés à leurs fournisseurs et prestataires de services.

Concrètement : inventoriez vos fournisseurs critiques (hébergeur, éditeur de logiciels, prestataire de maintenance). Évaluez leur niveau de cybersécurité. Intégrez des clauses de sécurité dans vos contrats. C’est l’une des obligations les plus impactantes pour les PME car elle crée un effet cascade : même les entreprises hors périmètre NIS2 devront démontrer leur maturité cyber à leurs clients régulés.

5. Sécurité de l’acquisition, du développement et de la maintenance des réseaux et SI (Article 21.2.e)

Ce que dit le texte : les entités doivent intégrer la sécurité dans tout le cycle de vie de leurs systèmes d’information.

Concrètement : si vous développez des logiciels, intégrez la sécurité dès la conception (security by design). Si vous achetez des solutions, évaluez leur sécurité avant déploiement. Appliquez les correctifs de sécurité dans des délais raisonnables : les vulnérabilités non corrigées sont l’une des principales portes d’entrée des attaquants.

6. Évaluation de l’efficacité des mesures de gestion des risques (Article 21.2.f)

Ce que dit le texte : les entités doivent évaluer régulièrement l’efficacité de leurs mesures de cybersécurité.

Concrètement : il ne suffit pas de mettre en place des protections : vous devez prouver qu’elles fonctionnent. C’est là que la simulation de phishing devient un outil de conformité : en testant régulièrement la résilience de vos employés face aux emails malveillants, vous produisez des métriques documentées et opposables à un auditeur.

Des campagnes de simulation trimestrielles contribuent à cette obligation pour le volet humain. Le taux de clic, le taux de signalement et leur évolution dans le temps sont des preuves concrètes de l’efficacité de vos mesures.

7. Pratiques de cyber-hygiène et formation (Article 21.2.g)

Ce que dit le texte : les entités doivent mettre en place des pratiques de base en matière de cyber-hygiène et de formation à la cybersécurité.

Concrètement : l’article 21.2.g fait de la formation à la cybersécurité une mesure obligatoire, et l’article 20 impose une formation aux dirigeants. Chaque collaborateur doit connaître les bonnes pratiques : reconnaître un email de phishing, utiliser des mots de passe solides, signaler un incident suspect. Une session annuelle sur diapositives ne suffit pas. Prévoyez une formation continue, adaptée aux risques de chaque poste.

C’est l’obligation la plus directement liée à la lutte anti-phishing : l’élément humain intervient dans 62 % des violations de données selon le Verizon DBIR 2026. Former vos équipes devient une obligation légale.

Pour aller plus loin, notre guide NIS2 et obligations de sensibilisation et de formation détaille ce pilier : texte exact des articles 20 et 21, fréquence attendue, preuves à présenter en audit et plan à 90 jours.

8. Politiques et procédures relatives à la cryptographie et au chiffrement (Article 21.2.h)

Ce que dit le texte : les entités doivent définir des politiques d’utilisation de la cryptographie, y compris le chiffrement.

Concrètement : chiffrez les données sensibles au repos et en transit. Utilisez HTTPS partout, chiffrez les disques des postes portables, et mettez en place le chiffrement des emails pour les données confidentielles. Documentez votre politique de gestion des clés.

9. Sécurité des ressources humaines, contrôle d’accès et gestion des actifs (Article 21.2.i)

Ce que dit le texte : les entités doivent sécuriser les processus liés aux ressources humaines et gérer les accès de manière appropriée.

Concrètement : appliquez le principe du moindre privilège : chaque employé ne doit avoir accès qu’aux ressources nécessaires à sa fonction. Mettez en place des procédures d’arrivée et de départ (onboarding/offboarding) pour accorder et révoquer les accès. Revoyez régulièrement les droits d’accès, en particulier pour les comptes à privilèges.

Un assistant de vérification IA, auquel les employés transfèrent les emails suspects, les aide à repérer les tentatives de vol d’identifiants.

10. Authentification multi-facteur et communications sécurisées (Article 21.2.j)

Ce que dit le texte : les entités doivent utiliser l’authentification multifacteur (MFA) ou l’authentification continue, et des communications sécurisées.

Concrètement : déployez la MFA sur tous les comptes critiques : email professionnel, accès VPN, applications métier, consoles d’administration. Privilégiez les solutions de MFA résistantes au phishing (FIDO2, WebAuthn) plutôt que les SMS, qui sont vulnérables au SIM swapping.

Sanctions et responsabilité des dirigeants

NIS2 durcit nettement les sanctions par rapport à NIS1.

Sanctions financières

Les montants maximaux des amendes varient selon la catégorie de l’entité :

Catégorie	Amende maximale	Alternative
Entité essentielle	10 000 000 €	2 % du CA mondial annuel (le plus élevé des deux)
Entité importante	7 000 000 €	1,4 % du CA mondial annuel (le plus élevé des deux)

Pour une PME réalisant 20 millions d’euros de chiffre d’affaires, 1,4 % du CA ne représente que 280 000 euros. C’est donc le plafond fixe qui s’applique : 7 millions d’euros pour une entité importante, 10 millions pour une entité essentielle. Ce sont des plafonds : l’amende réelle dépend de la gravité du manquement.

Responsabilité personnelle des dirigeants

C’est l’une des innovations majeures de NIS2 et probablement la disposition la plus préoccupante pour les dirigeants de PME. L’article 20 de la directive stipule que :

Les organes de direction des entités concernées doivent approuver les mesures de gestion des risques en matière de cybersécurité
Ils doivent superviser la mise en œuvre de ces mesures
Ils peuvent être tenus personnellement responsables en cas de manquement
Ils doivent eux-mêmes suivre une formation en cybersécurité pour être en mesure d’évaluer les risques

En cas d’infraction grave, NIS2 prévoit pour les entités essentielles la possibilité d’une suspension temporaire des fonctions de direction. C’est inédit en cybersécurité : la conformité NIS2 devient un sujet de gouvernance qui engage directement le dirigeant.

Pouvoirs de l’ANSSI

En France, l’ANSSI dispose de pouvoirs étendus pour faire respecter NIS2 :

Audits et inspections : l’ANSSI peut réaliser des contrôles sur place ou à distance, y compris de manière inopinée
Injonctions : elle peut ordonner la mise en conformité sous astreinte
Amendes administratives : sans passer par le juge, dans les limites des plafonds prévus
Publication des sanctions (« name and shame ») : la décision peut être publiée avec le nom de l’entreprise, ce qui pèse souvent plus lourd sur la réputation que l’amende elle-même
Suspension d’activité : dans les cas les plus graves, pour les entités essentielles

Calendrier de mise en conformité NIS2

Comprendre le calendrier permet de prioriser vos actions. Voici les dates clés :

14 décembre 2022 : Adoption de la Directive (UE) 2022/2555 par le Parlement européen et le Conseil.

17 octobre 2024 : Date limite de transposition en droit national dans tous les États membres. C’est la date à partir de laquelle NIS2 est officiellement en application.

2025 : Le Sénat adopte le projet de loi Résilience le 12 mars 2025 ; la commission spéciale de l’Assemblée nationale vote un texte amendé le 10 septembre 2025. La Commission européenne adresse un avis motivé à la France le 7 mai 2025. L’ANSSI ouvre le portail MonEspaceNIS2 et privilégie l’accompagnement.

2026 : La loi n’est toujours pas promulguée. Le 8 juillet 2026, la Commission européenne saisit la CJUE contre la France et demande des astreintes journalières. L’ANSSI diffuse le référentiel ReCyF (document de travail, 17 mars 2026). C’est maintenant que se joue la préparation : le contenu des obligations est connu, seule la date d’opposabilité reste ouverte.

Après la promulgation : Les décrets et arrêtés seront publiés « dans les mois suivants la promulgation de la loi » selon l’ANSSI, avec une application progressive des exigences : enregistrement des entités, premiers contrôles, puis sanctions pleinement applicables. L’agence précise que la date d’entrée en vigueur ne correspondra pas à la date d’application de l’ensemble des exigences.

N’attendez pas les contrôles pour agir. Une mise en conformité commencée maintenant se fait sans la pression d’une échéance, et vos clients soumis à NIS2 vous demanderont de toute façon des garanties cyber au titre de leur chaîne d’approvisionnement.

Checklist de conformité NIS2 pour les PME

Cette checklist de 20 points couvre l’ensemble des obligations de l’article 21 de NIS2. Elle est organisée par catégorie pour vous permettre de structurer votre plan d’action et de suivre votre progression.

Gouvernance

Nommer un responsable cybersécurité. Même à temps partiel, une personne doit être identifiée comme référent. Ce n’est pas nécessairement un RSSI (responsable de la sécurité des systèmes d’information) à temps plein (voir FAQ), mais quelqu’un qui pilote le sujet au quotidien.
Former les dirigeants à la cybersécurité. L’article 20 de NIS2 l’exige explicitement. Les membres de la direction doivent comprendre les risques cyber et être capables d’évaluer les mesures proposées.
Documenter la politique de sécurité. Un document formel, approuvé par la direction, décrivant les principes, les rôles et les responsabilités en matière de cybersécurité. Révisé au minimum annuellement.
Établir un comité de pilotage cyber. Réunion trimestrielle minimum entre la direction, le responsable cybersécurité et les responsables métier pour suivre les indicateurs et valider les actions.

Gestion des risques

Réaliser une analyse de risques. Identifier les menaces, les vulnérabilités et les impacts potentiels sur vos activités. Utiliser une méthodologie reconnue (EBIOS RM, méthode d’analyse de risques recommandée par l’ANSSI, ou ISO 27005).
Cartographier les actifs critiques. Inventaire complet de vos systèmes d’information, applications, données sensibles et interconnexions. Vous ne pouvez pas protéger ce que vous ne connaissez pas.
Évaluer les risques de la chaîne d’approvisionnement. Lister vos fournisseurs critiques, évaluer leur maturité cyber, intégrer des exigences de sécurité dans vos contrats.
Documenter les mesures de remédiation. Pour chaque risque identifié, documenter la mesure choisie (accepter, réduire, transférer, éviter) et le plan de mise en œuvre.

Protection

Déployer l’authentification multi-facteur (MFA). Sur tous les accès critiques : email, VPN, applications métier, consoles d’administration cloud. Priorité absolue.
Chiffrer les données sensibles. Au repos (disques, bases de données) et en transit (HTTPS, VPN). Documenter la politique de gestion des clés.
Segmenter les réseaux. Séparer les réseaux d’administration, de production et d’invités. Limiter la propagation latérale en cas de compromission.
Mettre en place des sauvegardes testées. Règle du 3-2-1 : 3 copies, 2 supports différents, 1 copie hors site. Testez la restauration au minimum trimestriellement.

Formation et tests

Mettre en place un programme de sensibilisation. Formation continue de tous les employés aux bonnes pratiques de cybersécurité. Préférez des modules courts et réguliers à une session annuelle.
Lancer des simulations de phishing régulières. L’évaluation de l’efficacité des mesures (article 21.2.f) passe par des tests concrets. Les campagnes de simulation de phishing produisent des métriques documentées et exploitables.
Mesurer et documenter les progrès. Suivre l’évolution des taux de clic, de signalement, et de détection au fil du temps. Ces indicateurs sont votre preuve de conformité face à un auditeur ANSSI.
Former les employés au signalement d’incidents. Chaque collaborateur doit savoir comment et à qui signaler un email suspect ou un comportement anormal. Consultez notre guide sur la simulation de phishing en entreprise pour structurer ce programme.

Détection et réponse

Mettre en place un processus de gestion des incidents. Procédure documentée : qui fait quoi, dans quel ordre, avec quels outils. Inclure les coordonnées de l’ANSSI et du CSIRT compétent.
Préparer les templates de notification. NIS2 impose une notification sous 24h puis un rapport sous 72h. Préparez les formulaires à l’avance pour ne pas perdre de temps en situation de crise.
Tester le plan de réponse aux incidents. Un exercice de simulation (tabletop exercise) par semestre minimum. Simulez différents scénarios : ransomware, compromission de compte, fuite de données.
Documenter les leçons apprises. Après chaque incident réel ou simulé, rédigez un retour d’expérience (RETEX) et mettez à jour vos procédures en conséquence.

NIS2 et phishing : un lien direct

Le phishing est le premier vecteur d’intrusion relevé par IBM (16 % des violations, Cost of a Data Breach 2025). En France, 55 % des attaques significatives passent par lui selon le baromètre CESIN 2026.

Plusieurs obligations de l’article 21 ciblent explicitement cette menace :

L’article 21.2.f (évaluation de l’efficacité) impose de tester régulièrement vos défenses. Pour le volet humain, des campagnes de simulation trimestrielles avec leurs résultats datés donnent à un auditeur une preuve concrète. Elles ne suffisent pas à évaluer toutes vos autres mesures.

L’article 21.2.g (formation et cyber-hygiène) rend obligatoire la formation continue des employés. Une formation courte, assignée juste après un clic sur un email de phishing simulé, arrive au moment où l’employé est le plus attentif.

L’article 21.2.i (sécurité RH et contrôle d’accès) couvre la protection des identités numériques de vos employés. Un assistant de vérification IA, auquel les collaborateurs transfèrent les emails suspects pour obtenir un verdict, donne un second avis sur les messages que le filtre anti-spam a laissés passer.

Pour des statistiques détaillées sur l’impact du phishing en entreprise, consultez notre article complet : Phishing en entreprise : statistiques 2026, exemples et solutions.

Comment nophi.sh vous aide à être conforme NIS2

La conformité NIS2 est un sujet vaste qui nécessite une approche globale. Aucun outil ne couvre l’intégralité des 10 obligations de l’article 21. Pour les obligations liées au phishing (6, 7 et 9), nophi.sh vous aide à produire des preuves. Le reste de l’article 21 relève d’autres mesures.

Obligation 21.2.f : évaluation de l’efficacité des mesures

Les campagnes de simulation de nophi.sh testent régulièrement vos employés avec 80 scénarios prêts à l’emploi, en français et en anglais, sur 16 catégories. Vous pouvez aussi écrire les vôtres. Chaque campagne mesure les ouvertures, les clics, les identifiants saisis et les signalements. Le rapport d’audit PDF et l’export CSV servent de preuve pour votre audit NIS2.

Obligation 21.2.g : formation et cyber-hygiène

Après un test échoué, nophi.sh assigne automatiquement un module court, selon des règles par catégorie de scénario ou par action. L’employé reçoit des relances à J+3 et J+6, puis son manager est prévenu. Le cours intégré « Sensibilisation au phishing : les fondamentaux » (5 leçons et un quiz de 10 questions, 80 % pour réussir) existe en français et en anglais. Le tableau de bord suit la formation par département.

Obligation 21.2.i : sécurité des ressources humaines

L’assistant de vérification IA de nophi.sh analyse les emails que vos collaborateurs lui transfèrent et leur renvoie un verdict motivé, en général en moins d’une minute. Vos contacts sécurité sont alertés. Il ne filtre ni ne bloque aucun email : il complète la formation.

Un rapport d’audit pour vos preuves

nophi.sh produit un rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et un export CSV, utilisables comme preuve pour vos audits NIS2, ISO 27001 (A.6.3) ou DORA. Ils documentent le volet sensibilisation et tests. L’analyse de risques, la continuité d’activité, la chaîne d’approvisionnement, le chiffrement et la MFA demandent leurs propres preuves.

Voir aussi nos fonctionnalités de conformité, ou démarrez un essai gratuit de 14 jours, produit complet et sans carte bancaire.

Questions fréquentes sur NIS2

Ma PME de 60 employés dans le conseil est-elle concernée par NIS2 ?

Cela dépend de votre secteur d’activité. Le conseil en tant que tel n’est pas dans les annexes I ou II de la directive. Cependant, si votre cabinet fournit des services informatiques managés (MSP), de la cybersécurité (MSSP), ou opère dans un secteur listé (conseil en santé, conseil en énergie), vous pouvez être dans le périmètre. De plus, si vos clients sont soumis à NIS2, ils vous demanderont probablement des garanties de sécurité au titre de la chaîne d’approvisionnement (article 21.2.d), même si vous n’êtes pas directement régulé.

Quelle est la différence entre entité essentielle et entité importante ?

La différence porte principalement sur le niveau de supervision et les sanctions. Les entités essentielles (secteurs de l’Annexe I, grandes entreprises) sont soumises à un régime de supervision proactive, l’ANSSI peut les auditer à tout moment, y compris de manière inopinée. Les entités importantes (secteurs de l’Annexe II, entreprises moyennes) sont soumises à un régime réactif, l’ANSSI intervient en cas d’incident ou de signalement. Les sanctions maximales sont également plus élevées pour les entités essentielles (10 M€ vs 7 M€).

Quand les sanctions NIS2 commenceront-elles à s’appliquer en France ?

Pas avant la fin de la transposition française. Au 5 septembre 2026, la loi Résilience n’est toujours pas promulguée (Sénat : 12 mars 2025 ; commission spéciale de l’Assemblée nationale : 10 septembre 2025 ; pas encore de séance publique) et aucun décret n’est publié. Les sanctions deviendront juridiquement applicables une fois la loi et ses décrets promulgués. La saisine de la CJUE contre la France le 8 juillet 2026 devrait accélérer ce calendrier. N’attendez pas pour agir : la mise en conformité prend plusieurs mois.

NIS2 s’applique-t-elle aux sous-traitants des entités concernées ?

Pas directement : un sous-traitant qui n’est pas lui-même dans un secteur couvert et qui ne dépasse pas les seuils de taille n’est pas formellement soumis à NIS2. Mais indirectement, oui : l’article 21.2.d oblige les entités régulées à sécuriser leur chaîne d’approvisionnement. Concrètement, cela signifie que vos clients soumis à NIS2 vous imposeront des exigences de sécurité contractuelles : audits, certifications, garanties techniques. C’est l’« effet cascade » de NIS2 : il touche bien plus d’entreprises que le périmètre officiel.

Comment prouver la conformité NIS2 à un auditeur ?

La conformité NIS2 se prouve par la documentation. Vous devez être en mesure de présenter : votre politique de sécurité validée par la direction, votre analyse de risques, vos procédures de gestion des incidents, vos rapports de simulation et de formation, votre inventaire des actifs, vos contrats fournisseurs avec clauses de sécurité, et vos comptes-rendus de comité de pilotage. L’auditeur vérifiera la cohérence entre la documentation et les mesures réellement mises en œuvre. Des rapports de simulation de phishing réguliers, avec des résultats en progression, sont une preuve solide pour le volet humain.

Quel budget prévoir pour la mise en conformité NIS2 ?

Le budget varie considérablement selon la taille de l’entreprise et son niveau de maturité actuel. Selon l’ENISA, les PME européennes consacrent en moyenne entre 50 000 et 200 000 euros à leur mise en conformité NIS2 initiale, puis entre 20 000 et 80 000 euros par an pour le maintien. Ce budget couvre l’analyse de risques, les outils techniques, la formation, les audits et le temps humain. C’est un investissement important, mais à comparer avec le coût moyen d’une violation de données : 4,44 millions de dollars selon le rapport IBM Cost of a Data Breach 2025.

NIS2 et RGPD : quels recoupements ?

NIS2 et RGPD sont complémentaires mais distincts. Le RGPD protège les données personnelles, NIS2 protège les réseaux et systèmes d’information. Les recoupements sont nombreux : une fuite de données personnelles causée par un phishing sera à la fois un incident NIS2 (notification à l’ANSSI sous 24h) et une violation RGPD (notification à la CNIL sous 72h). Les mesures techniques se recoupent largement : chiffrement, contrôle d’accès, formation. L’avantage pour les PME déjà conformes au RGPD : une partie du travail de documentation et de gouvernance est déjà fait.

Faut-il un RSSI dédié pour être conforme NIS2 ?

NIS2 n’exige pas explicitement un RSSI (Responsable de la sécurité des systèmes d’information) à temps plein. Ce que la directive exige, c’est qu’une personne soit identifiée comme responsable de la cybersécurité et que la direction soit impliquée. Pour une PME de 50 à 100 employés, un responsable informatique formé à la cybersécurité, appuyé par des outils automatisés et éventuellement un prestataire externe (MSSP), peut suffire. L’essentiel est que le rôle soit formellement attribué, documenté, et que la personne dispose du temps et des moyens nécessaires.

Et si un incident de phishing se produit malgré vos mesures préventives, consultez notre guide de réponse à incident phishing pour savoir comment réagir étape par étape.

Par où commencer cette semaine

Selon le rapport Hiscox 2025 sur la gestion des cyber-risques, 57 % des TPE-PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois. Vous n’avez pas besoin d’attendre la loi pour avancer :

Vérifiez votre statut (secteur et taille) sur MonEspaceNIS2.
Nommez un responsable cybersécurité et inscrivez NIS2 au prochain comité de direction : l’article 20 demande que les dirigeants approuvent les mesures.
Activez la MFA sur les messageries et les accès d’administration.
Lancez une première simulation de phishing pour obtenir un point de départ chiffré, puis suivez les formations qui en découlent.

Pour l’étape 4, vous pouvez créer un compte d’essai nophi.sh : 14 jours, produit complet, sans carte bancaire.