Deux critères déterminent votre assujettissement, votre secteur d'activité et votre taille. Une entreprise d'au moins cinquante salariés ou dix millions d'euros de chiffre d'affaires, exerçant dans l'un des secteurs visés, entre dans le périmètre.
Mais la réponse la plus utile est ailleurs. Beaucoup de PME qui ne sont pas assujetties subissent la directive par ricochet, parce que leurs clients le sont et leur imposent des exigences contractuelles. C'est aujourd'hui le premier motif de mise en conformité que nous rencontrons.
Les deux catégories et ce qu'elles impliquent
Les entités visées sont réparties selon leur criticité, avec des obligations et des sanctions différentes.
| Catégorie | Profil type | Amende maximale |
|---|---|---|
| Entité essentielle | Grands opérateurs de l'énergie, des transports et de la santé, administrations centrales | 10 M€ ou 2 % du chiffre d'affaires |
| Entité importante | Moyennes entreprises, collectivités de plus de 30 000 habitants, éditeurs de logiciels | 7 M€ ou 1,4 % du chiffre d'affaires |
Deux élargissements méritent d'être signalés. Les éditeurs de logiciels entrent désormais dans le périmètre, ce qui touche des entreprises qui ne s'y attendaient pas. Les établissements de santé et médico-sociaux sont classés en entités essentielles.
L'effet de chaîne, qui concerne tout le monde
La directive impose aux entités assujetties de maîtriser les risques liés à leurs fournisseurs. Concrètement, elles répercutent ces exigences par contrat sur l'ensemble de leur chaîne d'approvisionnement.
Une PME industrielle qui livre un donneur d'ordres du secteur de l'énergie, un prestataire informatique qui intervient chez un opérateur de santé, un sous-traitant d'un équipementier, aucun n'est directement assujetti, et tous reçoivent désormais des questionnaires de sécurité et des clauses contractuelles.
C'est pour cette raison que la question de l'assujettissement, prise isolément, est trompeuse. Ce qui compte pour une PME est de savoir ce que ses clients vont lui demander.
Ce que la directive exige réellement
Quatre familles d'obligations structurent le texte.
Une gouvernance des risques formalisée, avec une implication explicite de la direction, qui devient responsable. Ce point est souvent mal perçu, il ne s'agit plus d'un sujet délégué à l'informatique.
La notification des incidents significatifs à l'autorité nationale, dans des délais courts, ce qui suppose d'être capable de détecter et de qualifier un incident.
La maîtrise de la chaîne d'approvisionnement, c'est-à-dire la sécurité de vos propres fournisseurs.
Des mesures techniques de base, gestion des accès, sauvegardes, continuité d'activité, journalisation et traitement des vulnérabilités. Rien qui ne relève des bonnes pratiques déjà connues.
Où en est la transposition française
La directive a été adoptée en décembre 2022, avec une date limite de transposition fixée au 17 octobre 2024, que la France n'a pas tenue.
Le projet de loi dit de résilience, qui transpose NIS 2 en même temps que d'autres textes européens, a été présenté en Conseil des ministres en octobre 2024, adopté en première lecture au Sénat en mars 2025, puis voté à l'unanimité en commission spéciale à l'Assemblée nationale en septembre 2025.
À la date de mise à jour de cet article, la promulgation et les décrets d'application étaient toujours attendus. Ce retard expose la France à des pénalités européennes, et il crée une situation inconfortable où des entreprises se voient déjà demander une conformité dont le cadre national n'est pas publié.
Vérifiez l'état d'avancement au moment où vous lisez ces lignes, la situation évolue.
Ce qu'il est raisonnable de faire maintenant
Attendre la publication des décrets pour commencer serait une erreur, car les délais de mise en conformité seront courts et les mesures attendues sont déjà connues.
Trois actions ont du sens dès aujourd'hui, indépendamment de votre assujettissement.
Déterminer votre situation, en examinant votre secteur, votre taille et surtout les exigences que vos clients commencent à formuler.
Établir un état des lieux honnête de votre maturité, ce qui prend quelques jours et donne une base de discussion budgétaire.
Traiter en priorité ce qui coûte peu et rapporte beaucoup, l'authentification à deux facteurs, les sauvegardes testées, la séparation des réseaux et la revue des accès. Ces mesures figurent dans tous les référentiels et ne seront jamais du travail perdu.
Questions fréquentes
Comment savoir si nous sommes assujettis à NIS 2 ?
Deux critères se cumulent, l'appartenance à un secteur visé par la directive et le franchissement d'un seuil de taille, généralement cinquante salariés ou dix millions d'euros de chiffre d'affaires. Les listes sectorielles définitives figureront dans les textes d'application français. En attendant, l'analyse sectorielle et les demandes de vos clients donnent déjà une bonne indication.
Sommes-nous concernés si nous fournissons une entreprise assujettie ?
Pas directement, mais très concrètement. La directive impose aux entités assujetties de maîtriser les risques liés à leurs fournisseurs, qu'elles répercutent par des clauses contractuelles et des questionnaires de sécurité. C'est aujourd'hui le premier motif de mise en conformité chez les PME industrielles, bien avant l'assujettissement direct.
Faut-il attendre la publication des décrets pour agir ?
Non, ce serait risqué. Les délais de mise en conformité seront courts une fois les textes publiés, et les mesures attendues sont déjà connues puisqu'elles relèvent des bonnes pratiques établies. Commencer par l'authentification à deux facteurs, les sauvegardes testées et la revue des accès ne sera jamais du travail perdu.
La direction est-elle personnellement concernée ?
Oui, et c'est l'une des évolutions majeures du texte. NIS 2 rend les organes de direction responsables de l'approbation des mesures de gestion des risques et de leur suivi, avec des obligations de formation. La cybersécurité cesse d'être un sujet délégué à l'informatique pour devenir un sujet de gouvernance.