NIS2 : êtes-vous concerné si vous êtes une TPE/PME ?

IPSIP – 2025

NIS2 : quelles obligations pour les TPE/PME ?

La directive NIS 2 (en français : sécurité des réseaux et des systèmes d’information) est une réglementation européenne. Les Etats membres de l’Union européenne (UE) sont tenus de transcrire cette directive à l’échelle nationale depuis octobre 2024. Cette directive entrera en vigueur dès que les textes de transposition (loi, décrets, arrêtés) auront été promulgués. Elle vise à renforcer la cybersécurité des organisations publiques et privées opérant dans des secteurs jugés sensibles.

NIS 2 remplace la première directive NIS adoptée en 2016. Cette nouvelle version élargit le champ des entités concernées, impose des exigences de sécurité plus strictes, et renforce les mécanismes de contrôle et de sanction.

Qu'est-ce que la norme NIS2 ?

Contexte et évolution

Depuis plusieurs années, l’UE est confrontée à une multiplication des cyberattaques visant les infrastructures, les entreprises, et les citoyens.

La directive NIS2 vise à améliorer la résilience des entreprises face aux cybermenaces. Pour cela, elle impose un ensemble d’obligations dans des secteurs jugés critiques ou importants pour le fonctionnement de nos sociétés.

Les grands objectifs :

Améliorer la cybersécurité des entités critiques
Harmoniser les niveaux de sécurité dans tous les États membres
Mieux gérer les incidents cyber et limiter leur impact
Renforcer les obligations de reporting et de notification
Prévoir des sanctions dissuasives

TPE et PME, êtes-vous concernés par NIS 2 ?

D’après la directive, sont concernées les entreprises qui remplissent l’un des deux critères suivants :

Plus de 50 salariés
Un chiffre d’affaires annuel ou un total de bilan supérieur à 10 millions d’euros

Les critères d’éligibilité ne se basent pas uniquement sur la taille de l’entreprise, mais aussi sur le secteur d’activité et le niveau de criticité des services fournis. Alors que la première directive NIS visait principalement les grandes entreprises et les infrastructures critiques, NIS 2 élargit son champ d’application aux entreprises de taille moyenne, voire aux petites entreprises dans certains cas.

Cependant, il existe une exception notable : certaines microentreprises et petites entreprises (moins de 50 salariés et < 10 M€ de chiffre d’affaires) sont aussi concernées si elles opèrent dans un secteur critique.

Faites le test pour savoir si votre entité est concernée sur le site du gouvernement : https://monespacenis2.cyber.gouv.fr/simulateur

En tant que dirigeant de TPE ou PME, il est essentiel de comprendre que :

Vous êtes tout aussi exposés aux risques que les grandes entreprises. Une attaque sur vos systèmes d’information pourrait entraîner des coûts élevés, des sanctions, ou des pertes irréparables.
La conformité à la directive NIS2 n’est pas une option, mais une nécessité pour éviter des sanctions financières.
Se préparer à la directive NIS2 vous permet également de renforcer la confiance de vos clients. Les entreprises conformes à la réglementation sont perçues comme plus fiables et sécurisées.

Implications pour les entreprises : plus de détails

Secteurs concernés

La directive identifie 18 secteurs sensibles, répartis en deux grandes catégories : les secteurs dits “essentiels”, et les secteurs “importants”.

Les secteurs « essentiels » :

Énergie (électricité, gaz, pétrole)
Transports
Santé
Eau potable et eaux usées
Infrastructures numériques
Administrations publiques
Aérospatiale / Aéronautique

Les secteurs « importants » :

Services postaux et de messagerie
Gestion des déchets
Production et distribution de produits chimiques
Alimentation
Fabrication de certains équipements (médicaux, informatiques…)
Recherche
Fournisseurs de services numériques (plateformes, cloud, data centers, etc.)

Exemple d'application : Une PME de 35 salariés proposant des services d’hébergement cloud est considérée comme une entité importante et doit appliquer la directive NIS 2, même si elle n’atteint pas les seuils classiques de taille.

Quelle obligations pour les entreprises concernées ?

Les structures visées par la directive doivent engager une vraie démarche de sécurisation de leurs systèmes d’information. Cela implique d’évaluer les risques, de mettre en place des dispositifs techniques (comme la protection réseau, les sauvegardes régulières, ou l’authentification forte), mais aussi d’instaurer des processus organisationnels (comme un plan de déclaration d’incidents significatifs en 24 à 72h). Il faudra également nommer un responsable dédié à la cybersécurité.

Il s’agit aussi de sensibiliser les équipes : la cybersécurité ne repose pas uniquement sur la technique, mais aussi sur les comportements humains. Une formation régulière et adaptée de vos collaborateurs peut faire une vraie différence en cas de tentative d’attaque

Quelles sont les sanctions de non-conformité à NIS2 ?

Ne pas se conformer à la directive NIS2 peut entraîner des sanctions sévères. En cas de non-respect des exigences de cybersécurité, les entreprises peuvent se voir infliger des amendes pouvant atteindre jusqu’à 10 millions d’euros ou 2 % de leur chiffre d’affaires mondial. Ces sanctions sont conçues pour inciter les entreprises à prendre au sérieux les exigences de cybersécurité, car les conséquences d’une cyberattaque peuvent être bien plus coûteuses, tant en termes financiers que de réputation.

Envie d’y voir plus clair sur la cybersécurité ? Discutons-en !

NIS 2 : Transformer une obligation en avantage concurrentiel

Chaque nouvelle réglementation peut sembler être une contrainte de plus. Pourtant, la directive NIS 2 ne doit pas être perçue uniquement comme une obligation à subir. Elle peut devenir un vrai levier de croissance et de différenciation.

Mettre en place une stratégie de cybersécurité, même simple, c’est avant tout se protéger contre des menaces bien réelles. C’est aussi rassurer ses clients, partenaires et prestataires. Dans de nombreux cas, afficher sa conformité peut devenir un critère de sélection dans les appels d’offres, ou même dans des négociations commerciales sensibles.

En s’engageant dans une démarche proactive, les dirigeants envoient un signal fort : celui d’une entreprise moderne, responsable, capable d’assurer la sécurité des données, la continuité de service, et de répondre aux nouvelles exigences du marché. La cybersécurité devient alors un avantage concurrentiel et un moteur de confiance pour l’avenir.

Bonne pratiques pour se préparer !

Si vous êtes dirigeant d’une TPE ou PME, la première étape est d’évaluer si vous êtes concerné. Comme évoqué plus haut, le gouvernement met à disposition un test en ligne pour le vérifier rapidement.

💡 Adoptez une démarche pragmatique Commencez par un état des lieux de votre maturité en cybersécurité. Identifiez les points critiques, mettez en place des mesures simples (comme les sauvegardes automatiques, les mises à jour régulières ou des mots de passe robustes), et formalisez un plan d’action. Enfin, impliquez vos collaborateurs : même une équipe restreinte doit comprendre les enjeux et savoir comment réagir face à un incident.

TPE / PME : comment se mettre en conformité sans se ruiner ?

Vous pouvez avoir l’impression que la cybersécurité est réservée aux grands groupes avec d’importants moyens. C’est faux. Aujourd’hui, il existe des solutions pensées pour les petites structures : simples, abordables, efficaces comme FlexSecure360.

Besoin d'un accompagnement pour votre mise en conformité ?

Nous comprenons que vous manquez de temps et de ressources pour vérifier votre conformité et vous mettre à jour. C’est pourquoi nous vous proposons une solution adaptée à votre taille et à vos ressources. Nous vous guidons de l’audit à la mise en place pour vous assurer que vous êtes en conformité sans perturber votre activité.

FlexSecure360 est une solution de cybersécurité pensée pour les petites et moyennes entreprises. Elle vous permet de renforcer la sécurité de vos systèmes d’information, de mettre en œuvre des mesures simples et efficaces, et de garantir votre conformité à la directive NIS 2, le tout sans complexité technique.

Pourquoi agir dès maintenant ?

Les entreprises doivent prendre au sérieux la directive NIS2. Se préparer aujourd’hui est essentiel pour éviter des sanctions et vous protéger des cyberattaques. Grâce à notre solution de cybersécurité FlexSecure360, vous pouvez facilement répondre aux exigences de cette directive.