NIS2 pour les PME : obligations, checklist et calendrier
La directive NIS2 étend la cybersécurité obligatoire à des milliers d’entreprises de taille moyenne, et par ricochet à leurs fournisseurs. Voici, en clair, qui est concerné, les 10 mesures à mettre en place, les délais de notification, la responsabilité des dirigeants, l’état de la transposition en France et une checklist pour avancer dès maintenant.
À jour au 6 octobre 2026
- salariés : le seuil général
- 50
- secteurs visés
- 18
- mesures de l’article 21
- 10
- pour l’alerte précoce
- 24 h
Mon entreprise est-elle concernée par NIS2 ?
Trois critères se combinent : votre secteur d’activité, votre taille et votre place dans la chaîne d’approvisionnement de clients eux-mêmes concernés.
Entités essentielles
En règle générale, les grandes entreprises des secteurs hautement critiques (annexe I) : au moins 250 salariés, ou plus de 50 M€ de chiffre d’affaires et plus de 43 M€ de total de bilan. Contrôles a priori (audits, inspections) et sanctions les plus lourdes.
Entités importantes
Les entreprises moyennes des secteurs des annexes I et II (au moins 50 salariés, ou plus de 10 M€ de chiffre d’affaires et de total de bilan), et les grandes entreprises de l’annexe II. Mêmes mesures de sécurité, contrôles a posteriori.
Quelle que soit la taille
Certaines entités sont visées même petites : fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance, fournisseurs de communications électroniques publiques, ou entités désignées par l’État (par exemple le seul fournisseur d’un service essentiel).
Les 18 secteurs de la directive
Annexe I, secteurs hautement critiques
Annexe II, autres secteurs critiques
L’effet en cascade sur les sous-traitants
Même hors du champ, une PME peut être rattrapée par NIS2 : l’article 21.2.d impose aux entités concernées de sécuriser leur chaîne d’approvisionnement. Vos clients soumis à NIS2 vous enverront des questionnaires de sécurité, ajouteront des clauses à vos contrats et vous demanderont des preuves (rapports d’audit, attestations de formation). Infogérants, éditeurs SaaS, hébergeurs et prestataires informatiques sont les premiers concernés.
Les seuils et secteurs ci-dessus sont ceux de la directive. En France, la loi de transposition et ses décrets fixeront le périmètre définitif. Pour vérifier votre statut, l’ANSSI propose le simulateur « Suis-je concerné ? » sur MonEspaceNIS2.
Les 10 mesures obligatoires, traduites en actions concrètes
L’article 21 demande des mesures « appropriées et proportionnées » au risque. La directive en fixe dix au minimum. Voici ce qu’elles signifient sur le terrain pour une PME, et ce que KrakenShield peut faire pour vous, sans prétendre couvrir ce qui relève de votre organisation.
- a
Analyse des risques et politique de sécurité
Concrètement : Recenser vos actifs et vos données sensibles, identifier les menaces plausibles, décider des priorités et écrire une politique de sécurité courte, approuvée par la direction.
Avec KrakenShield : L’audit SSL/TLS inclut l’empreinte publique de vos domaines (hébergement, DNS, e-mail, sous-domaines exposés) : la vue d’un attaquant, pour nourrir votre analyse.
- b
Gestion des incidents
Concrètement : Une procédure écrite : qui détecte, qui décide, qui prévient l’autorité et les clients, avec les coordonnées utiles et des journaux conservés. Puis un exercice par an.
Avec KrakenShield : Le chapitre « Gestion d’incident » du guide Cyber de A à Z détaille la marche à suivre.
- c
Continuité d’activité et gestion de crise
Concrètement : Sauvegardes dont une copie hors ligne, restauration testée régulièrement, plan de reprise et annuaire de crise imprimé.
Avec KrakenShield : Pas d’outil de sauvegarde chez nous : le chapitre « Rançongiciels » explique la règle 3-2-1 et le test de restauration.
- d
Sécurité de la chaîne d’approvisionnement
Concrètement : Lister vos fournisseurs critiques, évaluer leur niveau de sécurité et inscrire des exigences dans les contrats (notification d’incident, correctifs, accès).
Avec KrakenShield : Les audits SSL/TLS et de confidentialité fonctionnent sur tout site public, sans vérification de propriété : vous pouvez évaluer la façade web d’un fournisseur. L’analyse de code détecte les dépendances vulnérables de vos logiciels.
- e
Sécurité des systèmes, du développement à la maintenance
Concrètement : Appliquer les correctifs, rechercher les vulnérabilités de vos applications et de vos dépendances, organiser leur divulgation et leur correction.
Avec KrakenShield : Analyse de code par agent (dépendances vulnérables, SAST, le code ne quitte pas votre serveur) et test d’intrusion non destructif orchestré, sur domaine vérifié et mandat signé. Veille des CVE exploitées dans le Knowledge Center.
- f
Évaluation de l’efficacité des mesures
Concrètement : Mesurer régulièrement : audits techniques, indicateurs simples, revue annuelle par la direction.
Avec KrakenShield : Relancez un audit après chaque correctif et suivez la note de A+ à F dans le temps. Chaque audit produit un rapport PDF à conserver comme preuve.
- g
Cyberhygiène et formation
Concrètement : Former tout le personnel aux bons réflexes (hameçonnage, mots de passe, signalement) et garder la preuve de la formation.
Avec KrakenShield : KrakenShield Academy : 12 modules de sensibilisation, un examen et une attestation vérifiable par QR code, avec tableau de bord et export ; payé en Kredits par salarié inscrit.
- h
Cryptographie et chiffrement
Concrètement : Une politique de chiffrement : TLS 1.2 ou 1.3 seulement, certificats suivis et renouvelés, données sensibles chiffrées au repos.
Avec KrakenShield : L’audit SSL/TLS (moteur testssl.sh, notation alignée sur SSL Labs) contrôle protocoles, suites de chiffrement, certificat et HSTS.
- i
Ressources humaines, contrôle d’accès, gestion des actifs
Concrètement : Droits au plus juste, arrivées et départs traités le jour même, inventaire du matériel, des comptes et des services en ligne.
Avec KrakenShield : L’empreinte publique révèle des sous-domaines et services oubliés, souvent absents de l’inventaire.
- j
Authentification multifacteur et communications sécurisées
Concrètement : MFA sur la messagerie, les accès distants et les comptes d’administration ; messagerie et visioconférence sécurisées, moyen de communication de secours.
Avec KrakenShield : Le module « Mots de passe, MFA et passkeys » de l’Academy forme vos équipes à la MFA.
Notifier un incident important : 24 h, 72 h, 1 mois
Un incident est « important » s’il perturbe gravement vos services, cause des pertes financières, ou porte un préjudice considérable à d’autres personnes. Les délais courent à partir du moment où vous en avez connaissance.
- 24 h
Alerte précoce
Signalement à l’autorité ou au CSIRT : l’incident est-il malveillant, peut-il toucher d’autres pays ?
- 72 h
Notification
Première évaluation : gravité, impact et, le cas échéant, indicateurs de compromission.
- 1 mois
Rapport final
Description détaillée, cause probable, mesures prises. Un rapport d’avancement si l’incident dure encore.
En France, le projet de loi désigne l’ANSSI comme autorité nationale. Vous devez aussi, le cas échéant, informer sans tarder vos clients touchés. Préparer sa gestion d’incident
La responsabilité des dirigeants
- Les organes de direction approuvent les mesures de cybersécurité et en supervisent la mise en œuvre.
- Ils peuvent être tenus responsables en cas de manquement : déléguer à un prestataire ne transfère pas cette responsabilité.
- Les membres de la direction doivent suivre une formation ; la directive encourage la même chose pour l’ensemble du personnel.
- Pour les entités essentielles, l’autorité peut aller jusqu’à l’interdiction temporaire d’exercer des fonctions de direction (article 32).
Les sanctions prévues
| Catégorie | Amende maximale (au moins) | Contrôle |
|---|---|---|
| Entité essentielle | 10 M€ ou 2 % du chiffre d’affaires mondial, le montant le plus élevé | A priori : audits, inspections, demandes de preuves |
| Entité importante | 7 M€ ou 1,4 % du chiffre d’affaires mondial, le montant le plus élevé | A posteriori : après un incident ou un signalement |
Ces plafonds sont les minimums imposés par la directive. Les montants applicables en France seront ceux de la loi de transposition.
Où en est NIS2 en France au 6 octobre 2026 ?
Au 6 octobre 2026, NIS2 n’est pas encore transposée en France. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive CER et la directive associée à DORA, attend toujours son examen en séance publique à l’Assemblée nationale.
Projet de loi « résilience » présenté en Conseil des ministres et déposé au Sénat, en procédure accélérée.
Date limite de transposition fixée par la directive, manquée par la France.
Adoption par le Sénat en première lecture.
Adoption par la commission spéciale de l’Assemblée nationale.
L’ANSSI ouvre le pré-enregistrement des entités sur MonEspaceNIS2.
L’ANSSI publie le ReCyF (Référentiel Cyber France), mesures recommandées pour atteindre les objectifs de NIS2, en document de travail.
La Commission européenne saisit la Cour de justice de l’Union européenne contre la France (ainsi que l’Espagne, l’Irlande et les Pays-Bas) et demande des sanctions financières.
La conférence des présidents retire de l’ordre du jour l’examen prévu le 7 octobre. Aucune nouvelle date n’est fixée à ce jour ; le rapporteur espère une réinscription « d’ici quinze jours ou trois semaines ».
Ensuite : vote de l’Assemblée nationale, accord éventuel avec le Sénat, promulgation, puis décrets et arrêtés qui préciseront les obligations et les délais de mise en conformité. Sans attendre, le ReCyF et la checklist ci-dessous donnent une base solide.
Sources (7)
- Next, « Caramba, encore raté : la transposition de NIS2 est de nouveau repoussée », mis à jour le 6 octobre 2026
- Assemblée nationale, dossier du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, consulté le 6 octobre 2026
- Commission européenne, saisine de la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026
- ANSSI, la directive NIS 2 (ReCyF publié le 17 mars 2026), consulté le 6 octobre 2026
- ANSSI, « NIS 2 : les entités assujetties peuvent se pré-enregistrer », 24 novembre 2025
- MonEspaceNIS2, avancement de la transposition de la directive NIS 2, mis à jour le 19 septembre 2025
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 32 et 34, 14 décembre 2022
15 actions pour se préparer, dès maintenant
Cochez au fur et à mesure. Ces actions découlent de la directive et restent valables quelle que soit la version finale de la loi française.
- Academy
- Empreinte publique
- Gouvernance
- MFA
- Rançongiciels
- Gestion d’incident
- Audit SSL/TLS
- Corriger DMARC
- Code et chaîne logicielle
- Tests d’intrusion
Les cases cochées ne sont pas enregistrées : imprimez la page ou recopiez la liste dans votre outil de suivi.
NIS2 : vos questions
Comment savoir si mon entreprise est concernée par NIS2 ?
Croisez votre secteur (18 secteurs listés aux annexes I et II de la directive) et votre taille : en règle générale, au moins 50 salariés, ou plus de 10 M€ de chiffre d’affaires et de total de bilan. Certaines activités sont visées quelle que soit la taille, comme les fournisseurs de services DNS. L’ANSSI propose un simulateur sur MonEspaceNIS2.
NIS2 s’applique-t-elle déjà en France ?
Pas encore. Au 6 octobre 2026, le projet de loi de transposition, adopté par le Sénat le 12 mars 2025, attend son examen en séance à l’Assemblée nationale : celui prévu le 7 octobre a été reporté sans nouvelle date. Les obligations s’appliqueront après la promulgation de la loi et la publication de ses décrets.
Une PME de moins de 50 salariés doit-elle se conformer à NIS2 ?
En principe non, sauf exceptions (fournisseurs DNS, prestataires de services de confiance, entités désignées par l’État). Mais si vos clients sont soumis à NIS2, ils exigeront des garanties de sécurité de leurs fournisseurs : dans les faits, beaucoup de petites entreprises devront appliquer une partie des mesures.
Quels sont les délais de notification d’un incident NIS2 ?
Pour un incident important : une alerte précoce dans les 24 heures, une notification avec une première évaluation dans les 72 heures, puis un rapport final dans le mois qui suit la notification. En France, l’ANSSI est désignée comme autorité nationale par le projet de loi.
Quelles sanctions prévoit NIS2 ?
La directive impose des amendes maximales d’au moins 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 M€ ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. La loi française fixera les montants applicables.
Les dirigeants sont-ils personnellement responsables ?
Oui, l’article 20 prévoit que les organes de direction approuvent les mesures de cybersécurité, en supervisent la mise en œuvre et peuvent être tenus responsables des manquements. Ils doivent aussi suivre une formation à la cybersécurité.
KrakenShield suffit-il pour être conforme à NIS2 ?
Non, aucun outil ne rend conforme à lui seul : NIS2 exige aussi une gouvernance, des procédures et des contrats. KrakenShield couvre des mesures techniques et de preuve (audits SSL/TLS et de confidentialité, analyse de code, test d’intrusion non destructif) et la formation du personnel avec l’Academy, avec des rapports PDF à présenter à vos clients ou à l’autorité.
Continuer avec le Knowledge Center
Le droit de la cyber en France et en Europe
RGPD, NIS2, DORA, Cyber Resilience Act et AI Act : qui est concerné et dans quels délais.
LireSécuriser une PME
Les priorités concrètes quand on n’a ni RSSI ni grand budget.
LireTester la sécurité de son site web
Ce que vérifie un audit SSL/TLS et comment corriger les six problèmes les plus fréquents.
LireKrakenShield Academy
La sensibilisation certifiante de tout le personnel, preuve de formation comprise.
LireCommencez par mesurer votre surface exposée.
Créez votre compte, lancez un premier audit SSL/TLS de votre domaine et obtenez en quelques minutes une note de A+ à F, l’empreinte publique et un rapport PDF à verser à votre dossier NIS2.
Lancez un audit, une analyse de code ou une campagne de sensibilisation depuis votre console.
Inscription gratuite, sans carte bancaire, avec 10 Kredits offerts par l’offre de lancement BETATEST2026 tant qu’elle est active. Hébergé en Europe.
Information générale, pas un conseil juridique. Cette page présente la directive NIS2 et l’état de sa transposition au 6 octobre 2026. Les textes évoluent : vérifiez leur état avant toute décision et faites-vous accompagner par un avocat ou un juriste pour votre situation.