NIS2 : quelles obligations pour une PME sous-traitante ?

Deux façons d’être concerné par NIS2

La directive (UE) 2022/2555, dite NIS2, élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité. Pour une PME, la question « suis-je concerné ? » a en réalité deux réponses distinctes.

La première est juridique : votre entreprise entre elle-même dans le champ de la directive, parce qu’elle exerce dans un secteur listé et dépasse certains seuils de taille. Elle devient alors « entité essentielle » ou « entité importante », avec des obligations directes et des sanctions possibles.

La seconde est contractuelle : votre entreprise n’est pas visée, mais elle travaille pour un client qui l’est. La directive impose à ce client de maîtriser les risques liés à ses fournisseurs. Ces exigences vous arrivent alors par le contrat, par un questionnaire de sécurité ou par un audit. Aucune sanction de l’ANSSI ne vous concerne directement, mais la perte d’un client, si.

Beaucoup de PME sous-traitantes découvrent NIS2 par la seconde voie, et c’est souvent la plus pressante.

Où en est la loi française

La directive devait être transposée par les États membres au plus tard le 17 octobre 2024. La France ne l’a pas fait dans ce délai.

Le texte qui porte cette transposition est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi la directive REC et adapte le droit français au règlement DORA. Il a été présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat les 11 et 12 mars 2025, puis adopté en commission spéciale à l’Assemblée nationale le 10 septembre 2025. À la date où nous écrivons, le dossier législatif de l’Assemblée nationale n’indique ni examen en séance publique, ni adoption définitive, ni promulgation. La date d’entrée en vigueur n’est donc pas connue.

L’ANSSI précise en outre que les obligations s’appliqueront une fois la loi, les décrets et les arrêtés publiés, et que la date d’application effective des exigences pourra être distincte de la date d’entrée en vigueur du texte. Les seuils, les délais et les montants cités ci-dessous sont ceux de la directive : la loi française et ses décrets peuvent en préciser les modalités.

Sources : avancement de la transposition sur MonEspaceNIS2, dossier législatif de l’Assemblée nationale, et texte de la directive (UE) 2022/2555 sur EUR-Lex.

Êtes-vous directement concerné ?

Deux critères se combinent : le secteur et la taille.

Le secteur. La directive liste en annexe I les secteurs « hautement critiques » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC entre entreprises, administration publique et espace. L’annexe II liste les « autres secteurs critiques » : services postaux, gestion des déchets, industrie chimique, production et distribution alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules et autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche.

Un point mérite l’attention des PME du numérique : la gestion des services TIC entre entreprises figure en annexe I. Elle couvre notamment les fournisseurs de services gérés et de services de sécurité gérés. Un infogéreur ou un prestataire qui administre à distance les systèmes de ses clients est donc dans un secteur visé.

La taille. En règle générale, la directive s’applique à partir de la moyenne entreprise au sens européen : au moins 50 salariés, ou un chiffre d’affaires annuel et un total de bilan dépassant tous deux 10 millions d’euros. En dessous, une entreprise est en principe hors champ, sauf exceptions prévues par la directive pour certaines activités (fournisseurs de réseaux ou de services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine et services DNS, notamment) ou désignation spécifique par l’État.

Essentielle ou importante. Une grande entreprise (250 salariés et plus, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions d’euros de bilan) d’un secteur de l’annexe I est en principe entité essentielle. Les autres entités dans le champ sont en principe importantes. La différence porte surtout sur le régime de contrôle et le plafond des sanctions : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions d’euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.

Pour vérifier votre situation, l’ANSSI met à disposition un simulateur sur MonEspaceNIS2. Il ne remplace pas une analyse juridique quand votre activité relève de plusieurs secteurs.

Comment NIS2 arrive chez un sous-traitant non soumis

L’article 21 de la directive impose aux entités essentielles et importantes des mesures de gestion des risques, dont la sécurité de la chaîne d’approvisionnement. Le paragraphe 3 précise qu’elles doivent tenir compte des vulnérabilités propres à chaque fournisseur et prestataire direct, de la qualité de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé.

Concrètement, votre client ne peut pas se contenter d’affirmer que ses prestataires sont fiables : il doit pouvoir montrer qu’il l’a vérifié. Cette obligation se traduit par un questionnaire, des clauses contractuelles, parfois un audit ou une demande de documents.

Le questionnaire de sécurité. Il arrive au moment d’un appel d’offres ou d’un renouvellement. Il porte sur la double authentification, les sauvegardes, la gestion des accès, la gestion des correctifs, la procédure en cas d’incident.

Les clauses contractuelles. Elles peuvent prévoir un délai pour signaler un incident qui touche le client, un droit d’audit, des exigences minimales de sécurité, l’obligation de répercuter ces exigences à vos propres sous-traitants, voire la réversibilité des données. Ces clauses découlent de l’obligation du client : si lui doit adresser une alerte précoce à l’autorité dans les 24 heures suivant la prise de connaissance d’un incident important, il ne peut pas attendre une semaine que son prestataire le prévienne.

Il faut être précis sur un point : ce que la directive impose à votre client ne vous est pas imposé par la loi, mais par le contrat que vous signez. C’est le contrat qui fixe l’étendue de vos obligations. Lisez ces clauses avant de les accepter, et ne vous engagez pas sur un délai de notification que votre organisation ne sait pas tenir.

Les mesures attendues, concrètement

Que vous soyez directement soumis ou non, la référence est la même : la liste de l’article 21, paragraphe 2, de la directive. C’est sur elle que s’alignent les questionnaires des donneurs d’ordre. Elle couvre dix domaines :

1. une politique d’analyse des risques et de sécurité des systèmes d’information ;
2. la gestion des incidents ;
3. la continuité d’activité : sauvegardes, reprise après sinistre, gestion de crise ;
4. la sécurité de la chaîne d’approvisionnement ;
5. la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités ;
6. des procédures pour évaluer l’efficacité des mesures ;
7. l’hygiène informatique de base et la formation ;
8. l’usage de la cryptographie et, le cas échéant, du chiffrement ;
9. la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
10. l’authentification multifacteur et des communications sécurisées.

La directive pose un principe de proportionnalité : les mesures dépendent de l’exposition au risque et de la taille de l’entité. Pour détailler ce qu’elle attend, l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), avec un comparateur vers d’autres référentiels. C’est un document de travail : aucune version définitive ne sera publiée avant l’aboutissement de la transposition. Source : ReCyF et comparateur sur le laboratoire d’innovation de l’ANSSI.

Pour une PME sous-traitante de vingt à cinquante personnes, cela se traduit par un socle réaliste :

• Double authentification sur la messagerie, les accès distants et les consoles d’administration, y compris celles qui donnent accès aux systèmes de vos clients.
• Sauvegardes avec une copie déconnectée ou immuable, et un test de restauration documenté.
• Inventaire des postes, des serveurs, des comptes et des accès aux environnements clients, avec une revue régulière des droits.
• Correctifs appliqués selon un délai défini, et un suivi des équipements qui ne sont plus maintenus.
• Procédure d’incident écrite : qui détecte, qui décide, qui prévient le client et dans quel délai.
• Sensibilisation des équipes, en particulier à l’hameçonnage.
• Une politique de sécurité courte, que vous pouvez transmettre à un donneur d’ordre, et qui décrit ce que vous faites réellement.

Par où commencer

D’abord, vérifiez votre statut avec le simulateur MonEspaceNIS2. Si vous êtes dans le champ, une démarche de conformité complète s’impose.

Ensuite, listez vos clients soumis ou probablement soumis, et rassemblez les questionnaires et clauses déjà reçus. Ils indiquent précisément ce que l’on attend de vous.

Puis, faites un état des lieux honnête au regard des dix domaines de l’article 21. Un audit de sécurité informatique permet de hiérarchiser les écarts et de produire les preuves que demandent les donneurs d’ordre.

À retenir

• La transposition française de NIS2 n’est pas achevée à la date de rédaction : l’entrée en vigueur et la date d’application effective ne sont pas encore connues.
• Une PME est en principe directement concernée à partir de 50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan, si elle exerce dans un secteur des annexes I ou II.
• En dessous de ces seuils, NIS2 vous atteint par vos clients : questionnaires, clauses contractuelles, audits.
• Les exigences portent sur les dix domaines de l’article 21 ; le ReCyF de l’ANSSI en donne la déclinaison détaillée.