NIS2 : qui est concerné, et ce qu'il faut vraiment faire avant l'échéance

Trois questions pour savoir si vous êtes concerné

La directive européenne NIS2 (Network and Information Security 2) élargit fortement le nombre d'organisations soumises à des obligations de cybersécurité, par rapport à la première version du texte. Avant de chercher à comprendre le détail des obligations, trois questions suffisent à savoir si le sujet vous concerne réellement :

1. Votre secteur d'activité figure-t-il dans l'un des dix-huit secteurs couverts par le texte ? Énergie, transport, santé, eau, numérique, espace, gestion des déchets, industrie chimique, agroalimentaire, fabrication de dispositifs médicaux, administration publique — la liste est longue et couvre bien plus que les seuls opérateurs d'infrastructures critiques historiques.
2. Votre structure dépasse-t-elle 50 salariés ou 10 millions d'euros de chiffre d'affaires ? C'est le seuil général retenu pour la catégorie des « entités importantes ». En-dessous, vous n'êtes pas automatiquement exclu si votre activité est jugée critique par ailleurs.
3. Êtes-vous fournisseur ou sous-traitant d'une organisation elle-même soumise à NIS2 ? C'est le point le plus souvent négligé : une PME non directement concernée par les seuils peut se voir imposer des exigences de sécurité contractuelles par un client qui, lui, l'est.

Si vous répondez « oui » à l'une des trois, le sujet mérite d'être traité maintenant plutôt que d'attendre une mise en demeure ou une clause contractuelle qui tombe sans préavis.

Ce que NIS2 change concrètement par rapport à avant

Deux changements comptent plus que les autres pour une organisation qui découvre le sujet :

La responsabilité remonte à la direction. NIS2 prévoit explicitement que les organes de direction doivent approuver les mesures de gestion des risques cyber et en superviser la mise en œuvre — avec, dans certains cas, une responsabilité personnelle en cas de manquement grave. Ce n'est plus un sujet qu'on peut déléguer entièrement à un prestataire IT sans en garder la visibilité au niveau dirigeant.

Les obligations sont proportionnées, pas uniformes. La directive distingue « entités essentielles » et « entités importantes », avec des niveaux de contrôle et de sanction différents. Une PME qui entre dans le périmètre n'est pas soumise aux mêmes exigences qu'un opérateur d'infrastructure critique — le principe de proportionnalité est inscrit dans le texte, pas seulement dans son interprétation.

Les trois premières actions, avant de se noyer dans le texte

Plutôt que de partir du texte réglementaire dans son intégralité, trois actions concrètes permettent d'avancer sans attendre d'avoir tout compris :

1. Clarifier votre statut réel — au besoin avec un avis extérieur, plutôt que de se fier à une lecture rapide des seuils. La question du sous-traitant (voir plus haut) rend souvent le statut moins évident qu'il n'y paraît.
2. Poser un état des lieux de vos mesures de sécurité existantes — la plupart des organisations ont déjà en place une partie de ce que NIS2 attend (sauvegardes, gestion des accès, journalisation), sans l'avoir formalisé ni relié à un cadre de gouvernance identifiable.
3. Identifier qui, dans l'organisation, porte le sujet au niveau direction — pas nécessairement un poste dédié à créer immédiatement, mais un point de responsabilité clair, cohérent avec l'exigence de supervision par la direction.

Ce qu'il ne faut pas faire

L'erreur la plus coûteuse n'est pas de mal appliquer NIS2 — c'est de traiter le sujet comme un projet de mise en conformité ponctuel, bouclé une fois pour toutes. La directive attend une gestion des risques continue, pas un dossier constitué puis rangé. Une feuille de route réaliste vaut mieux qu'un plan d'action exhaustif qui ne survit pas au premier trimestre faute de suivi.