NIS2 et PME en 2026 : obligations, seuils et sanctions

La plupart des guides NIS2 que vous trouverez commencent par une date d'entrée en vigueur et une amende à sept chiffres. Les deux sont trompeurs pour une entreprise française en 2026 — et c'est précisément ce qui rend le sujet difficile à traiter sereinement.

Ce guide part du texte officiel : la directive (UE) 2022/2555, dont les articles sont cités ici mot pour mot. Il distingue trois choses que le marketing de la conformité mélange en permanence : ce que la directive européenne impose, ce qui est aujourd'hui opposable à une entreprise française, et ce qu'il est raisonnable de faire dès maintenant.

En 30 secondes

• NIS2 est une directive européenne, adoptée le 14 décembre 2022. Elle devait être transposée par les États membres au plus tard le 17 octobre 2024 (article 41).
• La France ne l'a pas encore transposée. Le projet de loi « Résilience » n'est ni définitivement adopté, ni promulgué — il est toujours en navette parlementaire. Aucun décret d'application n'existe.
• Vous n'êtes donc pas encore soumis à des obligations NIS2 opposables en droit français. Mais le périmètre, lui, est déjà connu, et le délai de mise en conformité réel se compte en mois de travail, pas en semaines.
• Le périmètre exclut par défaut les petites entreprises (moins de 50 salariés), sauf exceptions sectorielles précises.
• Les sanctions prévues par la directive : au moins 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle ; 7 M€ ou 1,4 % pour une entité importante.

1. Ce qu'est NIS2, et ce qu'une directive peut vous imposer

NIS2 (Network and Information Security 2) remplace la directive NIS de 2016. Elle a été publiée au Journal officiel de l'Union européenne le 27 décembre 2022 et étend le champ de la réglementation cyber de 7 à 18 secteurs.

Un point de droit qui change tout et qu'on lit rarement : une directive européenne ne s'applique pas directement aux entreprises. Elle impose une obligation aux États. L'article 41 est explicite :

« Les États membres adoptent et publient, au plus tard le 17 octobre 2024, les dispositions nécessaires pour se conformer à la présente directive. […] Ils appliquent ces dispositions à partir du 18 octobre 2024. »

C'est une échéance faite aux États membres, pas à vous. Tant que la France n'a pas voté sa loi de transposition, il n'y a pas d'obligation NIS2 directement opposable à une entreprise française — ni d'autorité pouvant sanctionner sur ce fondement.

C'est pour cette raison que les affirmations du type « NIS2 est entrée en vigueur en octobre 2024, vous êtes en retard » sont, au mieux, des raccourcis.

Ce qui change vraiment par rapport à NIS1

Le changement de fond n'est pas la sévérité des amendes : c'est le passage d'une logique de réaction aux incidents à une logique de gestion documentée du risque, contrôlable à tout moment.

2. Êtes-vous concerné ? Le test réel

C'est la question qui compte, et c'est celle sur laquelle circulent le plus d'approximations. La directive ne définit pas ses propres seuils : son article 2 renvoie à la grille européenne des PME (recommandation 2003/361/CE).

« La présente directive s'applique aux entités publiques ou privées d'un type visé à l'annexe I ou II qui constituent des entreprises moyennes en vertu de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui dépassent les plafonds prévus au paragraphe 1 dudit article […] »

Étape 1 — la règle de taille, dépliée

La recommandation européenne définit une petite entreprise comme celle qui « occupe moins de 50 personnes et dont le chiffre d'affaires annuel ou le total du bilan annuel n'excède pas 10 millions d'euros ».

Ce qui donne, en pratique :

Le piège le plus répandu : lire « 50 salariés ou 10 M€ de chiffre d'affaires ». C'est faux. Une entreprise de 20 salariés réalisant 12 M€ de CA mais dont le bilan est de 8 M€ reste une petite entreprise au sens européen — donc hors périmètre par la taille. Il faut dépasser le seuil de CA et celui de bilan.

Une subtilité utile si vous avez des capitaux publics : la règle qui exclut du statut de PME les entreprises détenues à 25 % ou plus par des organismes publics est explicitement écartée par NIS2. Une société d'économie mixte peut donc être « moyenne » au sens de la directive.

Étape 2 — votre secteur

NIS2 couvre 18 secteurs, répartis en deux annexes. L'annexe I regroupe les secteurs dits hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace. L'annexe II couvre les secteurs critiques : services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche.

Le détail secteur par secteur, avec les sous-catégories qui font basculer une entreprise d'un côté ou de l'autre, mérite sa propre lecture : la liste complète des secteurs critiques NIS2.

Étape 3 — essentielle ou importante ?

C'est ici que le contre-intuitif se loge. L'article 3 réserve le statut d'entité essentielle aux entités de l'annexe I qui dépassent les plafonds des moyennes entreprises — c'est-à-dire les grandes entreprises.

« Sont considérées comme étant des entités essentielles : a) les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises […] » « Les entités […] qui ne constituent pas des entités essentielles […] sont considérées comme des entités importantes. »

Autrement dit : une PME de 120 salariés dans la santé ou l'énergie est une entité importante, pas essentielle — contrairement à ce qu'affirment beaucoup de tableaux récapitulatifs en circulation. La différence est concrète : les entités essentielles sont soumises à une supervision proactive (contrôles possibles sans incident), les entités importantes à une supervision réactive.

Les exceptions : concerné quelle que soit la taille

Cinq situations font entrer une entreprise dans le périmètre indépendamment de son effectif :

1. Le type de service : fournisseurs de réseaux ou services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine de premier niveau, fournisseurs de services DNS, services d'enregistrement de noms de domaine.
2. L'unicité : vous êtes le seul prestataire, dans un État membre, d'un service essentiel au maintien d'activités sociétales ou économiques critiques.
3. L'impact : une interruption de votre service pourrait affecter significativement la sécurité ou la santé publiques, ou induire un risque systémique.
4. La criticité territoriale : vous êtes désigné comme critique au niveau national ou régional par l'autorité compétente.
5. La désignation au titre de la directive (UE) 2022/2557 sur les entités critiques.

Si vous êtes un prestataire informatique de 15 personnes qui gère l'infrastructure de clients relevant de NIS2, vous n'êtes pas assujetti directement par la taille — mais vos clients vous demanderont des garanties contractuelles au titre de leur propre obligation de sécurité de la chaîne d'approvisionnement. L'effet de ruissellement est réel, et c'est souvent par là que NIS2 atteint les petites structures.

3. Où en est vraiment le droit français

C'est le point sur lequel il faut être précis, parce que c'est celui où les guides concurrents se trompent le plus souvent — en annonçant des dates qui ont déjà glissé plusieurs fois.

Au 11 août 2026, la loi de transposition n'est pas promulguée. Le vecteur est le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », qui transpose simultanément trois textes européens : NIS2, la directive REC sur les entités critiques, et le règlement DORA pour le secteur financier.

Les dossiers législatifs de l'Assemblée nationale et du Sénat sont concordants, et l'ANSSI le confirme sur son espace dédié : la commission spéciale de l'Assemblée a terminé son examen (texte de commission n° 1779-A0, 10 septembre 2025), et le texte attend désormais son passage en séance publique. Il n'est ni définitivement adopté, ni promulgué.

Conséquence pratique : les seuils précis, les modalités de responsabilité des dirigeants, le calendrier d'enregistrement des entités et le montant réel des sanctions applicables en France seront fixés par cette loi et ses décrets. Tant qu'ils ne sont pas publiés, tout calendrier de mise en conformité daté relève de l'estimation.

Vous verrez circuler des dates — juillet 2026, septembre 2026, « avant la fin de l'année ». Aucune n'est officielle, et l'échéance a déjà été repoussée à plusieurs reprises. Nous ne les reprenons pas ici, et nous mettrons cette section à jour dès que le texte sera voté.

Ce que l'ANSSI a déjà publié

L'attente parlementaire n'a pas empêché l'ANSSI de préparer le terrain. Elle a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui traduit les exigences en objectifs de sécurité concrets. L'agence le présente comme « le référentiel de cybersécurité mentionné à l'article 14 du projet de loi Résilience » : il est aujourd'hui juridiquement non contraignant, et le deviendra avec les décrets d'application.

L'ANSSI met aussi à disposition MonEspaceNIS2, un simulateur d'éligibilité, et le portail MesServicesCyber. Ce sont les sources à privilégier sur votre éligibilité — devant n'importe quel guide, y compris celui-ci.

Sur le nombre d'entités concernées, l'ANSSI parle de « milliers d'entités » sans publier de chiffre définitif. Les estimations du secteur vont de 10 000 à 18 000 : traitez-les comme des ordres de grandeur, pas comme des données officielles.

4. Les 10 mesures de l'article 21

L'article 21 est le cœur opérationnel du texte. Il impose une approche « tous risques » et énumère dix domaines minimaux.

Le texte précise que ces mesures doivent être « appropriées et proportionnées », en tenant compte « du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents ». Une PME de 60 personnes n'est pas tenue au dispositif d'un opérateur d'importance vitale — la proportionnalité est inscrite dans le texte, pas une tolérance officieuse.

La mesure 4 est celle que les PME sous-estiment le plus systématiquement, et celle qui demande le plus de temps contractuel : sécuriser sa chaîne d'approvisionnement au sens NIS2.

5. Notifier un incident : 24 h, 72 h, un mois

L'article 23 fixe une chronologie en trois temps. Un détail compte : le compteur part du moment où vous avez connaissance de l'incident, pas du moment où il s'est produit.

Un incident est « important » s'il « a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières », ou s'il « a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables ».

La directive ajoute une garantie utile : « Le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité qui est à l'origine de la notification. » Notifier ne vous incrimine pas.

Le déroulé opérationnel des premières heures — qui décide, qui rédige, que faire avant d'avoir toutes les réponses — est détaillé dans notre guide dédié : le rapport d'incident NIS2 sous 24 heures.

Les bons contacts, à intégrer dès maintenant dans votre procédure : le CERT-FR, CSIRT national, est joignable au 3218 ou au 09 70 83 32 18 (+33 9 70 83 32 18 depuis l'étranger), par courriel à [email protected], et via son portail de déclaration en ligne. Le CERT-FR n'est pas un service de police : le dépôt de plainte reste une démarche distincte. Pour les structures qui ne relèvent pas de son périmètre, le dispositif public d'assistance est cybermalveillance.gouv.fr et son service 17Cyber.

6. Sanctions et responsabilité des dirigeants

Les montants

L'article 34 fixe des planchers que les États membres doivent au minimum prévoir :

Notez la formulation : « d'un montant maximal s'élevant à au moins ». Ce sont des seuils minimaux imposés aux législateurs nationaux, pas des plafonds européens. La loi française pourra retenir des montants supérieurs.

Le régime de sanction, ses critères de modulation et la façon dont il s'articule avec le RGPD sont traités à part : sanctions et amendes NIS2 en détail.

Ce que dit exactement l'article 20

C'est le point le plus déformé du texte. Voici sa formulation réelle :

« Les États membres veillent à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité […], supervisent sa mise en œuvre et puissent être tenus responsables de la violation dudit article par ces entités. »

Trois nuances importantes :

• Le texte dit que les dirigeants « puissent être tenus responsables ». Les modalités concrètes relèvent du droit national — donc, en France, de la loi Résilience, qui n'est pas votée.
• L'interdiction temporaire d'exercer, souvent brandie, existe bien, mais elle est encadrée : elle ne vise que les entités essentielles, ne peut intervenir qu'après l'échec de mesures d'exécution moins sévères, s'applique temporairement — jusqu'à ce que l'entité se mette en conformité — et sous garanties procédurales.
• L'article 20 impose en revanche une chose immédiatement concrète : les membres des organes de direction « sont tenus de suivre une formation ». C'est une obligation de moyens simple à documenter, et l'une des premières à mettre en place.

Formulé correctement : la direction ne peut plus considérer la cybersécurité comme un sujet purement technique délégué à la DSI. Elle doit approuver, superviser, se former — et pourra en répondre.

7. Par où commencer, sans attendre la loi

L'absence de transposition n'est pas une raison d'attendre : elle est une fenêtre. Les entreprises qui commenceront le jour de la promulgation auront un retard que celles qui ont préparé n'auront pas. Voici une progression raisonnable.

Phase 1 — statuer sur votre éligibilité (quelques jours)

Déterminez votre catégorie de taille, vérifiez votre secteur dans les annexes I et II, et confrontez le résultat au simulateur MonEspaceNIS2 de l'ANSSI. Écrivez la conclusion et faites-la valider par la direction. Si vous êtes hors périmètre, ce document vous évitera de rouvrir le débat tous les six mois.

Phase 2 — mesurer l'écart (2 à 4 semaines)

Évaluez votre position face aux dix mesures de l'article 21. Deux volets : l'organisationnel (politiques, procédures, formations, contrats) et le technique (exposition externe, vulnérabilités, chiffrement des flux, configuration).

Le volet technique est celui qui s'automatise le mieux : la surface exposée d'une entreprise — en-têtes HTTP, configuration TLS, services ouverts, erreurs de configuration — se mesure en quelques minutes plutôt qu'en jours d'audit manuel.

Phase 3 — traiter les écarts, en commençant par ce qui ne coûte rien

Les gains les plus rapides sont rarement les plus coûteux :

• généraliser l'authentification multifacteur sur tous les accès sensibles ;
• corriger les en-têtes HTTP de sécurité et désactiver les versions obsolètes de TLS ;
• écrire la procédure de notification d'incident (24 h / 72 h / 1 mois) et y inscrire les bons contacts ;
• lancer une formation de sensibilisation, en commençant par la direction, puisque l'article 20 l'exige explicitement ;
• inventorier les fournisseurs critiques.

Viennent ensuite les chantiers de fond : plan de continuité réellement testé, journalisation centralisée et supervision, revue des clauses de sécurité dans les contrats fournisseurs, tests d'intrusion.

Phase 4 — tenir la preuve

NIS2 est un état de conformité continu, pas un projet qui se termine. Ce qui sera contrôlé, ce n'est pas votre intention : ce sont vos preuves. Politiques datées et versionnées, comptes rendus de comité, registre des incidents, attestations de formation, résultats de tests. Une mesure appliquée mais non documentée sera traitée comme une mesure absente.

8. Checklist de préparation

Gouvernance

• Politique de sécurité des SI écrite, datée, approuvée par la direction
• Responsable cybersécurité désigné nommément
• Cartographie des risques cyber, revue au moins annuellement
• Formation de gouvernance cyber suivie par les organes de direction (article 20)
• Point sécurité récurrent en comité de direction, avec compte rendu archivé

Gestion des incidents

• Procédure formalisée : détection, qualification, notification, réponse, retour d'expérience
• Contacts CERT-FR intégrés à la procédure (3218 / 09 70 83 32 18 / [email protected])
• Critères écrits de qualification d'un incident « important »
• Registre des incidents tenu à jour
• Exercice de notification simulé au moins une fois par an
• Plan de communication de crise, interne et externe

Continuité

• Plan de continuité et plan de reprise documentés
• Sauvegardes selon la règle 3-2-1, avec restauration testée
• Test de continuité annuel en conditions réelles
• Délais de reprise (RTO/RPO) définis et validés par le métier

Chaîne d'approvisionnement

• Liste des fournisseurs critiques établie
• Évaluation de leur niveau de sécurité
• Clauses de sécurité, de notification et d'audit dans les contrats
• Procédure de sortie de fournisseur (récupération et effacement des données)

Cyberhygiène

• Formation de sensibilisation pour l'ensemble du personnel, tracée
• Campagnes de phishing simulées
• Politique de mots de passe et gestionnaire déployé
• MFA activé sur tous les accès sensibles
• Procédure d'arrivée et de départ (création et révocation des accès)

Technique

• Inventaire des actifs informatiques à jour
• Gestion des vulnérabilités, avec délai de correction défini pour les critiques
• Chiffrement des données sensibles en transit et au repos
• En-têtes HTTP de sécurité et configuration TLS à jour
• Protection des postes et serveurs
• Journalisation centralisée et supervision
• Segmentation du réseau
• Revue périodique des droits d'accès
• Tests d'intrusion sur les actifs exposés
• Revue des configurations cloud

9. Questions fréquentes

Nous sommes 30 personnes, sommes-nous concernés ? Par la règle de taille, non : en dessous de 50 salariés, avec un CA ou un bilan inférieur à 10 M€, vous êtes hors périmètre. Deux réserves : les exceptions sectorielles (DNS, services de confiance, communications électroniques, prestataire unique d'un service essentiel), et l'effet indirect — vos clients assujettis vous imposeront des exigences contractuelles au titre de leur propre obligation sur la chaîne d'approvisionnement.

En quoi est-ce différent du RGPD ? Le RGPD protège les données personnelles ; NIS2 protège la continuité des services critiques. Les deux se cumulent. Une même violation peut relever des deux régimes, avec deux autorités distinctes — la CNIL et l'ANSSI en France.

Faut-il attendre la loi française pour agir ? Attendre pour se déclarer conforme, oui : les obligations précises ne sont pas encore fixées. Attendre pour agir, non. Les dix mesures de l'article 21 ne changeront pas dans leur substance, et la plupart relèvent de bonnes pratiques qui protègent votre entreprise indépendamment de toute réglementation.

Nous sommes certifiés ISO 27001, est-ce suffisant ? Ce n'est pas une équivalence juridique, mais c'est une avance considérable : le système de management de la sécurité couvre la majeure partie des exigences de l'article 21. Restent typiquement à traiter la procédure de notification aux délais NIS2, la formation spécifique des organes de direction, et le volet chaîne d'approvisionnement s'il n'est pas déjà couvert.

Nous sommes sur AWS ou Microsoft 365, la sécurité est-elle de leur ressort ? Partiellement. Le modèle de responsabilité partagée place la sécurité de l'infrastructure chez le fournisseur, et la sécurité dans le cloud chez vous : configuration, gestion des accès, données, applications. NIS2 vous tient responsable de votre périmètre, et le fournisseur entre par ailleurs dans votre évaluation de la chaîne d'approvisionnement.

Nous n'avons pas de RSSI, comment faire ? Trois voies : former une personne en interne (souvent le responsable informatique) et lui allouer explicitement du temps ; recourir à un RSSI à temps partagé ; externaliser auprès d'un prestataire de services de sécurité. La directive n'impose pas de recruter un RSSI — elle impose que la responsabilité soit portée, ce qui suppose au minimum qu'elle soit attribuée nommément.

Quand les contrôles commenceront-ils ? Personne ne peut le dire avec certitude, puisque la loi n'est pas votée et que le calendrier d'enregistrement des entités sera fixé par décret. Ce qui est en revanche prévisible : la première étape sera l'identification et l'enregistrement des entités, pas les sanctions.

Les dirigeants risquent-ils vraiment personnellement quelque chose ? La directive prévoit qu'ils puissent être tenus responsables, et permet une interdiction temporaire d'exercer — pour les entités essentielles uniquement, en dernier recours et de façon temporaire. La portée exacte en droit français dépendra de la loi de transposition. Ce qui est déjà certain et immédiatement applicable : l'obligation de formation des organes de direction.

10. Ressources officielles

Sur un sujet réglementaire mouvant, privilégiez toujours la source primaire :

• Directive (UE) 2022/2555 — texte intégral sur EUR-Lex
• ANSSI — la directive NIS 2, et le simulateur d'éligibilité MonEspaceNIS2
• CERT-FR — contacts et déclaration d'incident
• Assemblée nationale — dossier législatif du projet de loi Résilience, pour suivre l'avancement en temps réel
• Cybermalveillance.gouv.fr — assistance et ressources de sensibilisation gratuites

En résumé

NIS2 n'est pas encore opposable en France, et c'est une information utile : elle vous donne du temps, pas une dispense. Le périmètre est connu, les dix mesures ne bougeront plus, et l'essentiel du travail — écrire les politiques, former, inventorier, tester — ne dépend d'aucun décret.

Commencez par les deux choses qui ne coûtent presque rien et qui structurent tout le reste : statuer par écrit sur votre éligibilité, et mesurer votre exposition technique réelle. Le reste s'organise à partir de là.

WarDek analyse automatiquement l'exposition technique de votre surface web — en-têtes de sécurité, configuration TLS, vulnérabilités courantes — et restitue un score de conformité par référentiel, dont NIS2. Créer un compte gratuit permet de lancer un premier diagnostic ; les plans et limites sont détaillés sur la page tarifs.

Cet article est mis à jour au fil de l'avancement de la loi Résilience. Dernière vérification des sources officielles : 11 août 2026 (dossier législatif de l'Assemblée nationale et espace MonEspaceNIS2 de l'ANSSI, concordants). Il présente une lecture documentée de la réglementation et ne constitue pas un conseil juridique.