Conformité NIS2 : calendrier 2026, sanctions et plan d’action PME

Conformité NIS2 2026 : calendrier, sanctions et plan d’action PME

Conformité NIS2 2026 : la directive européenne sur la sécurité des réseaux et des systèmes d’information entre dans sa phase d’application effective. Si votre entreprise figure parmi les 15 000 entités françaises concernées (et beaucoup de PME et ETI l’ignorent encore), vous êtes tenu de mettre en œuvre un ensemble de mesures techniques et organisationnelles sous peine de sanctions lourdes. Ce guide détaille le calendrier de la conformité NIS2 2026, les sanctions encourues, les obligations concrètes et le plan d’action à suivre pour les PME qui partent de zéro ou presque.

Conformité NIS2 : ce que dit la directive et qui est concerné

La directive NIS 2 publiée par l’ANSSI (Network and Information Security) élargit considérablement le périmètre de la première directive NIS. Là où NIS 1 ne concernait que quelques centaines d’opérateurs de services essentiels en France, la directive nouvelle génération touche désormais 18 secteurs d’activité et deux catégories d’entités : les entités essentielles (EE) et les entités importantes (EI).

Les secteurs concernés. Énergie, transports, santé, eau potable, infrastructure numérique, services postaux, gestion des déchets, fabrication de produits chimiques, agroalimentaire, fabrication de dispositifs médicaux, industrie spatiale, administration publique, recherche, et surtout les prestataires de services numériques (cloud, SaaS, hébergement, DNS, registraires). La directive s’applique aussi aux sous-traitants de ces secteurs quand ils fournissent des services critiques.

Les critères de taille. Sont concernées les entreprises de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires dans les secteurs visés. Certaines entités sont concernées quelle que soit leur taille : les fournisseurs de services DNS, les registraires de noms de domaine, les fournisseurs de services de confiance et les opérateurs de télécommunications. Si vous doutez de votre éligibilité, l’ANSSI met à disposition un outil d’auto-évaluation sur son site officiel.

Le calendrier de mise en application en France

La transposition de NIS 2 en droit français a connu des retards par rapport au calendrier européen initial. Voici les échéances clés que toute PME et ETI concernée doit intégrer dans sa planification.

Date limite de transposition (non respectée). La directive imposait aux États membres de transposer NIS 2 en droit national avant le 17 octobre suivant son adoption. La France, comme la majorité des pays européens, a dépassé ce délai. Le projet de loi de transposition a été déposé au Parlement et les décrets d’application ont été finalisés ensuite.

Entrée en vigueur effective. Les textes de transposition française sont entrés en vigueur, et l’ANSSI a publié les référentiels techniques détaillés. La conformité à NIS2 exige désormais que les entités concernées commencent à se déclarer auprès de l’ANSSI et à mettre en œuvre les mesures de sécurité requises. Le délai de mise en conformité varie selon la catégorie : les entités essentielles disposent de moins de marge que les entités importantes.

Premiers contrôles et audits. L’ANSSI et les autorités sectorielles compétentes commencent à réaliser des contrôles de conformité. Les entités essentielles sont les premières visées, avec des audits pouvant être déclenchés à tout moment. Les entités importantes font l’objet de contrôles a posteriori, typiquement à la suite d’un incident de sécurité.

Application pleine et sanctions. Quelques mois plus tard, le régime de sanctions devient pleinement opérationnel. Les retardataires s’exposent aux amendes maximales prévues par la directive. La conformité n’est pas un objectif ponctuel mais une obligation permanente : les mesures doivent être maintenues, les incidents signalés et les audits subis dans la durée.

Les sanctions prévues par la directive

Le régime de sanctions de NIS 2 est considérablement durci par rapport à NIS 1. Les montants sont alignés sur ceux du RGPD pour envoyer un signal clair : la cybersécurité n’est plus optionnelle.

Pour les entités essentielles. Amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Les dirigeants peuvent être personnellement tenus responsables en cas de manquements graves à leurs obligations de supervision. Des mesures d’exécution forcée (injonctions, astreintes) peuvent être prononcées.

Pour les entités importantes. Amendes pouvant atteindre 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial. Les contrôles sont principalement déclenchés ex post (après un incident), mais l’absence de mesures de cybersécurité constitue en elle-même une infraction, indépendamment de la survenue d’un incident.

La responsabilité des dirigeants. NIS 2 innove en imposant que les organes de direction valident les mesures de cybersécurité et supervisent leur mise en œuvre. Un dirigeant qui n’aurait pas mis en place de programme structuré, ou qui n’aurait pas suivi de formation en cybersécurité, pourrait voir sa responsabilité personnelle engagée. C’est un changement de paradigme majeur pour les PME et ETI où le dirigeant porte souvent seul la responsabilité.

Les obligations concrètes pour les PME et ETI

La directive impose un ensemble de mesures de sécurité que les entités concernées doivent mettre en œuvre de manière proportionnée à leur taille, leur secteur et leur exposition aux risques. Voici les principales obligations traduites en actions concrètes pour une PME ou ETI.

Analyse de risques et politique de sécurité. Vous devez formaliser une analyse de risques couvrant l’ensemble de votre système d’information et définir une politique de sécurité qui en découle. Pour une PME, cela ne signifie pas produire un document de 200 pages : un référentiel pragmatique de 20 à 30 pages, aligné sur ISO 27001 ou le guide d’hygiène informatique de l’ANSSI, suffit. La directive exige que cette analyse soit régulièrement mise à jour et validée par la direction.

Gestion des incidents. Vous devez être capable de détecter, analyser et signaler les incidents de sécurité significatifs. Le délai de notification est strict : alerte préliminaire dans les 24 heures, notification détaillée dans les 72 heures, rapport final dans le mois suivant l’incident. La directive impose donc de disposer d’outils de détection (SIEM, EDR), de procédures de réponse documentées et d’une chaîne d’alerte testée régulièrement.

Continuité d’activité. Plan de continuité (PCA), plan de reprise d’activité (PRA), sauvegardes testées, gestion de crise : le texte européen exige que vous soyez capable de maintenir ou de restaurer vos services critiques en cas d’incident majeur. Pour une PME, cela implique au minimum des sauvegardes hors site testées mensuellement, un plan de reprise documenté et un exercice de crise annuel.

Sécurité de la chaîne d’approvisionnement. NIS 2 innove en imposant aux entités de vérifier la sécurité de leurs fournisseurs et sous-traitants critiques. Si vous dépendez d’un hébergeur cloud, d’un éditeur de logiciel métier ou d’un prestataire d’infogérance, vous devez évaluer leur niveau de sécurité et l’intégrer dans votre analyse de risques. La directive peut aussi vous concerner en tant que fournisseur d’une entité essentielle : vos clients grands comptes commenceront à exiger des preuves de conformité.

Formation et sensibilisation. Les dirigeants doivent suivre une formation en cybersécurité, et l’ensemble des collaborateurs doit bénéficier de programmes de sensibilisation réguliers. Le texte ne se limite pas à la technique : il exige une culture de la cybersécurité à tous les niveaux de l’organisation.

Plan d’action pour PME : les 8 étapes

Voici une feuille de route réaliste pour une PME ou ETI qui part de zéro, ou presque, en matière de cybersécurité réglementaire.

Étape 1, Vérifier votre éligibilité (1 semaine). Consultez l’outil d’auto-évaluation de l’ANSSI et vérifiez si votre entreprise relève de la catégorie « entité essentielle » ou « entité importante ». Identifiez vos services critiques et le périmètre de votre SI concerné par la directive.

Étape 2, Réaliser un audit de maturité cyber (2-3 semaines). Évaluez votre posture de sécurité actuelle par rapport aux exigences NIS 2. Un diagnostic flash IT permet d’identifier rapidement les écarts critiques. Priorisez les actions en fonction du risque et de l’effort.

Étape 3, Formaliser l’analyse de risques (3-4 semaines). Cartographiez vos actifs critiques, identifiez les menaces et les vulnérabilités, évaluez les impacts et définissez les mesures de traitement. Utilisez une méthodologie reconnue (EBIOS RM recommandée par l’ANSSI, ou ISO 27005). Cette analyse est le socle de votre démarche.

Étape 4, Mettre en place les mesures techniques prioritaires (4-8 semaines). Déployez les protections de base : authentification multi-facteurs, chiffrement des données, segmentation réseau, EDR sur les postes et serveurs, sauvegardes hors site automatisées. Si votre infrastructure cloud est en place, vérifiez que les configurations de sécurité sont conformes aux bonnes pratiques (CIS Benchmarks, recommandations du fournisseur).

Étape 5, Documenter les procédures de gestion d’incidents (2-3 semaines). Rédigez les procédures de détection, d’analyse, de notification et de remédiation. Testez la chaîne d’alerte. Désignez un responsable de la notification auprès de l’ANSSI. La conformité à NIS2 exige que ces procédures soient opérationnelles, pas juste documentaires.

Étape 6, Élaborer le PCA/PRA (3-4 semaines). Documentez vos plans de continuité et de reprise d’activité. Testez les sauvegardes, validez les délais de restauration (RTO/RPO) et réalisez un exercice de crise simulé. Pour beaucoup de PME, c’est la première fois qu’elles formalisent ces documents : un DSI de transition peut accélérer considérablement cette étape.

Étape 7, Sécuriser la chaîne d’approvisionnement (2-3 semaines). Identifiez vos fournisseurs critiques, évaluez leur niveau de sécurité (questionnaires, certifications, audits) et intégrez des clauses de sécurité dans vos contrats. La directive vous rend co-responsable de la sécurité de vos sous-traitants critiques.

Étape 8, Former et se déclarer (continu). Formez les dirigeants et sensibilisez les collaborateurs. Déclarez-vous auprès de l’ANSSI comme entité concernée. Planifiez les revues annuelles de votre programme pour assurer sa pérennité.

Outils, référentiels et bonnes pratiques pour réussir

Réussir sa démarche réglementaire ne s’improvise pas. Il existe heureusement un écosystème dense de référentiels, d’outils et de retours d’expérience qui permettent aux PME et ETI de capitaliser sur l’expérience des grands comptes et des opérateurs d’importance vitale déjà soumis à des obligations équivalentes.

Les référentiels ANSSI à connaître. Le guide d’hygiène informatique de l’ANSSI reste le socle pédagogique le plus accessible : 42 mesures concrètes, classées par niveau de priorité, qui couvrent l’essentiel des attentes de la directive pour une PME ou ETI. Le référentiel PSSIE (Politique de Sécurité des Systèmes d’Information de l’État) sert également de référence structurante. Pour les entités essentielles, les référentiels SecNumCloud et l’agrément Hébergeur de Données de Santé apportent un cadre supplémentaire si vous traitez des données sensibles.

Les normes internationales complémentaires. ISO 27001 (système de management de la sécurité de l’information) et ISO 27002 (mesures de sécurité) sont largement reconnues et couvrent une bonne partie des exigences. Si votre entreprise est déjà certifiée ISO 27001, vous disposez d’une longueur d’avance significative : il vous suffit de cartographier les écarts entre votre SMSI et les exigences spécifiques de la directive européenne. Le framework NIST Cybersecurity Framework (Identify, Protect, Detect, Respond, Recover) est également utile pour structurer votre démarche, notamment pour les entités importantes qui n’ont pas besoin d’une certification formelle.

Les outils techniques recommandés. Pour la détection d’incidents, un SIEM (Security Information and Event Management) couplé à un EDR (Endpoint Detection and Response) constitue le minimum viable. Plusieurs solutions du marché sont accessibles aux PME en mode SaaS, avec des tarifs au poste ou au volume d’événements traités. Pour la gestion des vulnérabilités, un scanner automatisé (Qualys, Tenable, Rapid7) couplé à un processus de remédiation documenté répond à l’exigence d’analyse continue des risques. Pour les sauvegardes, la règle 3-2-1 (3 copies, 2 supports différents, 1 hors site) reste la référence, complétée par une stratégie d’immutabilité contre les ransomwares.

La gouvernance documentaire. La conformité à la directive exige une documentation rigoureuse et tenue à jour. Un outil de GRC (Governance, Risk, Compliance) comme Egerie, AuditBoard ou des solutions open source comme MONARC (développé par le CASES luxembourgeois et adopté par plusieurs États européens) permet d’industrialiser la cartographie des risques, le suivi des plans d’action et la production des rapports d’audit. Pour une PME qui démarre, un référentiel Excel structuré peut suffire : l’essentiel est d’avoir une source unique de vérité et un processus de revue trimestriel.

Conformité NIS2 : les erreurs qui coûtent cher

L’accompagnement de dizaines d’entreprises dans leur mise en conformité révèle des erreurs récurrentes. Les identifier en amont vous fera gagner des mois et des dizaines de milliers d’euros.

Confondre conformité et sécurité. Le respect du texte n’est pas un simple exercice documentaire : cocher des cases dans un tableur ne protège pas contre les ransomwares. Inversement, une entreprise qui investit uniquement dans la technologie sans formaliser ses processus ni documenter ses mesures ne sera pas conforme non plus. La directive exige les deux : des mesures techniques effectives ET une documentation qui prouve leur mise en œuvre.

Sous-estimer le périmètre. Beaucoup de PME pensent que les exigences ne concernent que leur SI principal. En réalité, le périmètre inclut l’ensemble des systèmes qui supportent les services critiques : le cloud, les postes de travail, la messagerie, les accès distants, les systèmes industriels (OT) et même les smartphones professionnels. Oublier un pan entier du SI lors de l’analyse de risques expose l’entreprise à des non-conformités graves.

Reporter la mise en œuvre. Le calendrier est serré et les ressources en cybersécurité sont rares. Les entreprises qui attendent le dernier moment pour lancer leur programme se retrouvent en concurrence avec des milliers d’autres entités pour recruter des consultants, acheter des outils et obtenir des certifications. Les cabinets spécialisés sont déjà saturés, et les tarifs augmentent. Démarrer tôt, c’est bénéficier de meilleurs prix et d’une meilleure disponibilité des experts.

Vouloir tout faire en interne. Une PME de 80 collaborateurs n’a pas les ressources pour mener seule un programme de cette ampleur. L’approche la plus efficace combine un pilotage interne (le dirigeant ou le DSI comme sponsor) et un accompagnement externe ciblé : un consultant cybersécurité pour l’analyse de risques, un manager de transition IT pour le déploiement des mesures techniques, et un prestataire SOC managé pour la détection d’incidents. Cette approche hybride permet d’atteindre la conformité en 4 à 8 mois sans surcharger les équipes internes.

Négliger la chaîne d’approvisionnement. L’obligation de sécuriser la supply chain est l’une des nouveautés les plus structurantes de NIS 2, et celle que les PME sous-estiment le plus. Si votre hébergeur cloud ou votre éditeur de logiciel métier subit une cyberattaque, c’est votre continuité d’activité qui est en jeu. La directive exige que vous évaluiez formellement la sécurité de vos fournisseurs critiques et que vous disposiez de plans de continuité intégrant des scénarios de défaillance de la chaîne d’approvisionnement.

FAQ, Questions fréquentes sur la conformité NIS2

Ma PME est-elle concernée par la directive ?

Si votre entreprise compte plus de 50 salariés ou réalise plus de 10 millions d’euros de chiffre d’affaires et opère dans l’un des 18 secteurs visés par NIS 2, vous êtes probablement concerné. Les sous-traitants critiques de ces secteurs sont également visés, même en dessous de ces seuils. Consultez l’outil d’auto-évaluation de l’ANSSI pour vérifier votre situation au regard de la directive.

Quel budget prévoir pour une PME ?

Le budget dépend de votre maturité cyber actuelle. Pour une PME partant de zéro, comptez 30 000 à 80 000 euros la première année (audit, outils, conseil, formation), puis 15 000 à 40 000 euros par an pour le maintien en conditions de sécurité. Si vous disposez déjà d’une base solide (antivirus, sauvegardes, firewall), le surcoût se situe plutôt entre 15 000 et 40 000 euros la première année. Un manager de transition IT peut optimiser ces coûts en priorisant les actions à plus fort impact.

Quelles sont les premières actions à mener en urgence ?

Trois actions prioritaires : activer l’authentification multi-facteurs sur tous les accès critiques (messagerie, VPN, administration), vérifier que vos sauvegardes sont hors site et testées, et formaliser une procédure minimale de gestion d’incidents avec les coordonnées de contact de l’ANSSI. Ces trois mesures couvrent les risques les plus critiques et démontrent une démarche proactive en matière de cybersécurité.

Peut-on être conforme sans RSSI dédié ?

Oui, mais il faut désigner un responsable clairement identifié, même si ce n’est pas son unique fonction. Dans les PME, ce rôle est souvent porté par le DSI, le directeur technique ou un responsable informatique expérimenté. Si vous n’avez pas ce profil en interne, un DSI de transition spécialisé en cybersécurité peut mettre en place le programme en 4 à 6 mois et le transférer ensuite à un collaborateur interne formé.

Combien de temps pour être prêt face à un audit ?

Pour une PME qui démarre de zéro, comptez 6 à 9 mois pour atteindre un niveau de maturité défendable face à un premier audit ANSSI. Ce délai inclut l’analyse de risques (1 mois), le déploiement des mesures techniques prioritaires (2 à 3 mois), la formalisation documentaire (1 mois) et la phase de tests/exercices (1 à 2 mois). Pour une entité essentielle, la priorité est de pouvoir présenter une feuille de route crédible dès les premiers contacts avec les autorités, même si toutes les mesures ne sont pas encore déployées.

Lire aussi

• Stratégie de migration cloud : architectures hybrides et plan de transformation
• DSI de transition : notre accompagnement
• Facturation du management de transition IT : TJM, forfait et modèles

Pour aller plus loin

Pour aller plus loin

• DSI de transition secteur énergie
• nos cas clients
• gouvernance des données
• audit SI et plan d’action
• mise en conformité RGPD
• ressources ENISA sur la directive NIS 2

• Diagnostic flash IT, évaluation rapide de votre SI
• DSI de transition, notre accompagnement
• Tarifs du management de transition IT
• Management de transition IT, notre approche

Vous souhaitez voir comment nous avons accompagné des entreprises comme la vôtre ? Découvrez nos études de cas en management de transition IT pour des retours d’expérience concrets sur des missions similaires.