Comprendre NIS2
NIS2 expliquée simplement
NIS2 est une directive européenne qui renforce la cybersécurité des organisations importantes pour l'économie et la société. Voici ce qu'une PME doit en retenir, sans jargon.
Mis à jour le 29 octobre 2026
NIS2 en une phrase
La directive (UE) 2022/2555, dite NIS2, demande aux entités de certains secteurs de gérer leurs risques cyber, de signaler leurs incidents importants et d'impliquer leur direction dans la cybersécurité.
Qui est concerné ?
Principalement les entreprises de taille moyenne ou grande qui travaillent dans l'un des secteurs listés par la directive (énergie, transport, santé, eau, numérique, industrie de certains produits, alimentaire, déchets…). Certains services sont concernés quelle que soit la taille. La règle « plus de 50 salariés = NIS2 » est donc fausse.
Qu'est-ce que cela change pour une PME ?
- La direction doit valider et suivre les mesures de cybersécurité.
- Des mesures de gestion des risques doivent être en place (accès, sauvegardes, incidents, fournisseurs…).
- Certains incidents importants doivent être notifiés à l'autorité compétente.
- Même hors périmètre, vos clients soumis à NIS2 peuvent exiger des garanties de votre part.
Voir les obligations expliquées →
Où en est la France ?
La France transpose NIS2 via un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. À la date de mise à jour de cette page, ce texte n'est pas encore définitivement adopté : les obligations et délais précis applicables en France restent donc à confirmer. L'ANSSI met déjà à disposition un simulateur officiel pour estimer votre statut, et un service de pré-enregistrement pour les entités qui s'estiment concernées.
Depuis le 17 mars 2026, l'ANSSI publie aussi le Référentiel Cyber France (ReCyF), encore en version de travail : il traduit NIS2 en 20 objectifs de sécurité. Les objectifs 1 à 15 visent les entités importantes et essentielles, les objectifs 16 à 20 les seules entités essentielles. Le bilan indique votre niveau de préparation pour chacun de ces objectifs.
Par quoi commencer ?
Inutile d'attendre le texte final : les mesures de base (MFA, sauvegardes protégées, procédure d'incident, sensibilisation) seront utiles quel que soit le résultat, et elles réduisent dès aujourd'hui votre risque réel.