NIS2 et PME : êtes-vous concerné, et par où
commencer ?

Vous dirigez une PME, vous faites de l'agroalimentaire, de la logistique, de l'édition de logiciels ou vous bricolez du M365 pour des clients, et un beau matin un donneur d'ordre vous envoie un questionnaire de 80 lignes intitulé "exigences de cybersécurité NIS2". Réaction la plus fréquente : "Attendez, je suis concerné, moi ?". La réponse est peut-être oui en direct, peut-être oui par ricochet, et dans les deux cas il vaut mieux le savoir avant que le client ne décide pour vous.

Le vrai sujet d'une PME n'est pas de réciter la directive NIS2, c'est de savoir si elle la vise, ce que ses clients vont lui imposer par contrat, et comment démarrer sans y laisser un budget de grand groupe. Je suis pentester, pas avocat : ceci n'est pas un conseil juridique, le droit évolue, et le texte qui fait foi reste la directive elle-même.

NIS2 en deux minutes, version PME

La directive (UE) 2022/2555, dite NIS2, est le nouveau cadre européen de cybersécurité. Elle remplace NIS1 et élargit énormément le périmètre : là où NIS1 visait environ 500 entités en France, NIS2 en concernerait plusieurs milliers selon les estimations de l'ANSSI. Beaucoup d'organisations qui se croyaient hors-radar vont découvrir qu'elles sont dans le viseur.

L'idée de fond : la directive ne s'applique pas "à toutes les entreprises". Elle vise des secteurs jugés critiques (énergie, santé, transports, banque, infrastructures numériques, eau, agroalimentaire, fabrication, services postaux, gestion des déchets, fournisseurs de services numériques, etc.), et au sein de ces secteurs, des entités qui dépassent certains seuils de taille. Si vous n'êtes ni dans un secteur listé, ni au-dessus des seuils, vous n'êtes en principe pas directement assujetti. Le mot "directement" est important, on y revient (l'effet de ruissellement, c'est le twist du film).

Concerné ou pas : la version courte

Deux conditions cumulatives pour être visé directement : appartenir à l'un des secteurs des annexes, et dépasser un seuil de taille (à partir de 50 salariés, ou 10 M€ de chiffre d'affaires ou de bilan). Il faut les deux en même temps. Une PME qui coche les deux cases tombe presque toujours en entité importante, au régime un peu plus souple que l'entité essentielle réservée aux grandes entreprises des secteurs les plus critiques : supervision a posteriori plutôt qu'a priori, sanctions plafonnées à 7 M€ ou 1,4 % du chiffre d'affaires au lieu de 10 M€ ou 2 %. Le socle de sécurité de l'article 21, lui, ne change pas d'une famille à l'autre.

Le détail des seuils, la grille essentielle contre importante annexe par annexe, le calendrier de transposition et le barème des sanctions sont posés dans le guide de référence sur la directive NIS2. Un point d'attention avant de vous croire trop petit : certaines entités sont concernées quelle que soit leur taille (fournisseurs de services DNS, registres de noms de domaine, opérateurs d'importance vitale, administrations). Vérifiez votre secteur précis avant votre effectif, et en cas de doute, le simulateur d'assujettissement de MesServicesCyber tranche.

L'effet ruissellement : contraint sans être assujetti

Voici le passage que beaucoup de dirigeants ratent. Même si votre PME ne franchit ni la porte secteur, ni la porte taille, vous pouvez quand même vous retrouver à appliquer des exigences NIS2. La raison tient dans l'article 21(2)(d), qui impose aux entités assujetties de sécuriser leur chaîne d'approvisionnement, "y compris les relations entre chaque entité et ses fournisseurs ou prestataires de services directs".

Traduction : vos clients grands comptes, eux, sont assujettis. Pour rester conformes, ils doivent évaluer la cybersécurité de leurs fournisseurs, donc la vôtre. Concrètement, ça arrive sous la forme de clauses contractuelles, de questionnaires sécurité, d'audits, voire d'exigences de certification. Vous n'êtes pas régulé par l'État, mais vous êtes régulé par votre carnet de commandes, et ça contraint tout autant.

Par où commencer concrètement (sans cabinet à 50 k€)

Pas besoin d'une armée de consultants pour démarrer. Voici une trajectoire raisonnable pour une PME qui part de zéro :

1. Déterminez votre statut. Passez par le simulateur MonEspaceNIS2 et interrogez vos donneurs d'ordre. Assujetti direct, ou contraint par ruissellement ? La réponse oriente tout le reste.
2. Cartographiez ce que vous exposez. On ne sécurise pas ce qu'on ne voit pas. Inventoriez vos actifs exposés sur Internet : domaines, sous-domaines, serveurs, applis, API, services SaaS oubliés. C'est le socle de l'article 21.
3. Traquez le shadow IT. Le serveur de staging de 2021, le bucket d'un ancien prestataire, le sous-domaine d'une vieille campagne : ces actifs fantômes sont exactement là où les attaquants s'installent.
4. Posez les bases organisationnelles. Politique d'accès, gestion des mots de passe, sauvegardes testées, MFA, plan de réponse à incident écrit (même minimal). Mieux vaut pragmatique que parfait.
5. Validez par le test. Une fois la surface connue, faites-la éprouver par un test d'intrusion ciblé pour distinguer le risque réel du bruit théorique. C'est le volet technique d'un audit NIS2, qui prouve l'efficacité des mesures au lieu de la déclarer.
6. Documentez tout. En cas de contrôle ou d'audit client, un processus tracé vaut mille promesses orales.

Les étapes 2 et 3 sont précisément ce que couvre l'EASM (gestion de la surface d'attaque externe), une discipline qu'on détaille dans qu'est-ce que l'EASM. On a creusé le lien entre EASM et NIS2 dans notre article dédié EASM et conformité NIS2 : la cartographie des actifs exposés n'est pas un gadget, c'est le prérequis opérationnel de l'article 21. Pour le cadre réglementaire complet (statuts, obligations, sanctions, calendrier), partez de notre guide de référence sur la directive NIS2. Et si votre PME édite du logiciel ou vend des objets connectés, un second texte vous vise en propre : le Cyber Resilience Act, qui impose la sécurité dès la conception de vos produits. Enfin, si le sujet du shadow IT vous travaille, on lui a consacré un article entier : le shadow IT.

Cartographier sa surface exposée, la brique NIS2 la plus concrète

C'est le cœur du métier d'own2pwn. La plateforme EASM d'own2pwn découvre automatiquement votre surface d'attaque externe, traque les actifs inconnus et corrèle les vulnérabilités en continu : la brique "surface exposée" de NIS2, prête à documenter. Éditée par une société française et hébergée dans l'Union européenne, sous droit européen et RGPD, pour ceux que la juridiction des données concerne (et avec NIS2, ça vous concerne). Ce que pèse réellement ce critère face au reste du marché, on l'a mis à plat dans notre comparatif des plateformes EASM.

Quand il faut prouver qu'une faille est réellement exploitable plutôt que de l'estimer, nos services de pentest web blackbox prennent le relais : on attaque votre périmètre comme le ferait un vrai adversaire, et on vous remet un rapport actionnable. C'est l'étape 5 de la liste ci-dessus, version professionnelle.

La conformité NIS2 n'est pas une montagne réservée aux multinationales. Pour une PME, c'est surtout l'occasion de regarder enfin ce qu'on expose, de mettre de l'ordre, et au passage de rassurer ses clients. Le plus tôt sera le mieux : avant que quelqu'un d'autre ne découvre votre surface d'attaque à votre place.

Questions fréquentes sur NIS2 et les PME