NIS2 et PME : 12,6 % des entreprises de 50 salariés et plus dans le champ, et les
filiales aussi

Vous dirigez une PME, vous faites de l'agroalimentaire, de la logistique, de l'édition de logiciels ou vous bricolez du M365 pour des clients, et un beau matin un donneur d'ordre vous envoie un questionnaire de 80 lignes intitulé "exigences de cybersécurité NIS2". Réaction la plus fréquente : "Attendez, je suis concerné, moi ?". La réponse est peut-être oui en direct, peut-être oui par ricochet, et dans les deux cas il vaut mieux le savoir avant que le client ne décide pour vous.

Le vrai sujet d'une PME n'est pas de réciter la directive NIS2, c'est de savoir si elle la vise, ce que ses clients vont lui imposer par contrat, et comment démarrer sans y laisser un budget de grand groupe. Je suis pentester, pas avocat : ceci n'est pas un conseil juridique, le droit évolue, et le texte qui fait foi reste la directive elle-même.

NIS2 en deux minutes, version PME

La directive (UE) 2022/2555, dite NIS2, est le nouveau cadre européen de cybersécurité. Elle remplace NIS1 et élargit énormément le périmètre : l'étude d'impact du projet de loi Résilience annonce un passage "de 500 à 15 000 entités environ" en France, quand la page NIS 2 de l'ANSSI se contente de parler "des milliers d'entités". Notre propre estimation, plus bas, donne un ordre de grandeur compatible. Beaucoup d'organisations qui se croyaient hors radar vont découvrir qu'elles sont dans le viseur.

L'idée de fond : la directive ne s'applique pas "à toutes les entreprises". Elle vise des secteurs jugés critiques (énergie, santé, transports, banque, infrastructures numériques, eau, agroalimentaire, fabrication, services postaux, gestion des déchets, fournisseurs de services numériques, etc.), et au sein de ces secteurs, des entités qui dépassent certains seuils de taille. Si vous n'êtes ni dans un secteur listé, ni au-dessus des seuils, vous n'êtes en principe pas directement assujetti. Le mot "directement" est important, on y revient (l'effet de ruissellement, c'est le twist du film).

Concerné ou pas : la version courte

Deux conditions cumulatives pour être visé directement : appartenir à l'un des secteurs des annexes, et dépasser un seuil de taille (à partir de 50 salariés, ou, en dessous, plus de 10 M€ de chiffre d'affaires et de bilan). Il faut les deux en même temps. Une PME qui coche les deux cases tombe presque toujours en entité importante, au régime un peu plus souple que l'entité essentielle réservée aux grandes entreprises des secteurs les plus critiques : supervision a posteriori plutôt qu'a priori, sanctions plafonnées à 7 M€ ou 1,4 % du chiffre d'affaires au lieu de 10 M€ ou 2 %. Le socle de sécurité de l'article 21, lui, ne change pas d'une famille à l'autre.

Le détail des seuils, la grille essentielle contre importante annexe par annexe, le calendrier de transposition et le barème des sanctions sont posés dans le guide de référence sur la directive NIS2. Un point d'attention avant de vous croire trop petit : certaines entités sont concernées quelle que soit leur taille (fournisseurs de services DNS, registres de noms de domaine, opérateurs d'importance vitale, administrations). Vérifiez votre secteur précis avant votre effectif, et en cas de doute, le simulateur d'assujettissement de MesServicesCyber tranche.

Ce que disent les chiffres : une entreprise de 50 salariés et plus sur huit

"Toutes les PME vont y passer" est la phrase qu'on entend le plus, et elle est fausse. Nous avons appliqué les critères de la directive au stock SIRENE de l'INSEE, édition du 1er octobre 2026, le 7 octobre. Sur les 64 907 unités légales françaises de 50 salariés et plus, tous secteurs confondus, 8 170 exercent à titre principal une activité directement visée par les annexes, soit 12,6 %. Pour une entreprise moyenne indépendante, la question du secteur se pose donc avant celle de la taille, et elle répond non sept fois sur huit.

Le deuxième chiffre est celui qui surprend. Pour mesurer la taille, la directive renvoie à la recommandation européenne 2003/361, qui additionne les effectifs et les chiffres d'une entreprise liée à ceux de son groupe. Une filiale de 20 salariés d'une ETI n'est donc pas une PME au sens du texte : elle prend la taille de l'ETI. Appliqué aux secteurs visés, ce mécanisme fait entrer 4 061 unités légales de moins de 50 salariés qui se croient, de bonne foi, trop petites. Dans l'autre sens, 2 941 unités de 50 à 249 salariés deviennent "grandes" par leur groupe, et donc entités essentielles si leur secteur est à l'annexe I. Ce ne sont pas des PME, et c'est bien le point : ce que vous êtes sur votre fiche de paie ne dit pas ce que vous êtes pour NIS2.

La première barre vaut 8 144 et non 8 170 : la banque y est comptée sur le registre des établissements de crédit agréés plutôt que par code d'activité. Les trois dernières barres sont les incertitudes du scénario haut. Une entreprise de moins de 50 salariés est déjà "moyenne" si son chiffre d'affaires et son bilan dépassent 10 M€, or SIRENE ne donne ni l'un ni l'autre : nous n'avons que le chiffre d'affaires publié, condition nécessaire mais pas suffisante. Si c'est votre cas, regardez votre bilan avant de conclure.

La part varie aussi selon la région du siège, de 5,9 % en Guyane à 15,3 % en Bourgogne-Franche-Comté. L'Île-de-France, qui concentre près d'un quart des entreprises de 50 salariés et plus, est la région métropolitaine où la part est la plus faible. On peut y voir le poids des sièges de sociétés de services hors annexes, mais c'est une hypothèse que nos données ne testent pas.

L'effet ruissellement : contraint sans être assujetti

Même si votre PME ne franchit ni la porte secteur, ni la porte taille, vous pouvez quand même vous retrouver à appliquer des exigences NIS2. La raison tient dans l'article 21(2)(d), qui impose aux entités assujetties de sécuriser leur chaîne d'approvisionnement, "y compris les relations entre chaque entité et ses fournisseurs ou prestataires de services directs".

Traduction : vos clients grands comptes, eux, sont assujettis. Pour rester conformes, ils doivent évaluer la cybersécurité de leurs fournisseurs, donc la vôtre. Concrètement, ça arrive sous la forme de clauses contractuelles, de questionnaires sécurité, d'audits, voire d'exigences de certification. Vous n'êtes pas régulé par l'État, mais vous êtes régulé par votre carnet de commandes, et ça contraint tout autant.

Par où commencer concrètement (sans cabinet à 50 k€)

Pas besoin d'une armée de consultants pour démarrer : on a détaillé ailleurs ce que couvre et ce que coûte un audit de sécurité à l'échelle d'une PME. Voici une trajectoire raisonnable pour une PME qui part de zéro :

1. Déterminez votre statut. Passez par le simulateur de MesServicesCyber, vérifiez la catégorie d'entreprise de votre unité légale si vous appartenez à un groupe, et interrogez vos donneurs d'ordre. Assujetti direct, ou contraint par ruissellement ? La réponse oriente tout le reste.
2. Cartographiez ce que vous exposez. On ne sécurise pas ce qu'on ne voit pas. Inventoriez vos actifs exposés sur Internet : domaines, sous-domaines, serveurs, applis, API, services SaaS oubliés. C'est le socle de l'article 21.
3. Traquez le shadow IT. Le serveur de staging de 2021, le bucket d'un ancien prestataire, le sous-domaine d'une vieille campagne : ces actifs fantômes sont là où les attaquants s'installent.
4. Posez les bases organisationnelles. Politique d'accès, gestion des mots de passe, sauvegardes testées, MFA, plan de réponse à incident écrit (même minimal). Mieux vaut pragmatique que parfait.
5. Validez par le test. Une fois la surface connue, faites-la éprouver par un test d'intrusion ciblé pour distinguer le risque réel du bruit théorique. C'est le volet technique d'un audit NIS2, qui prouve l'efficacité des mesures au lieu de la déclarer.
6. Documentez tout. En cas de contrôle ou d'audit client, un processus tracé vaut mille promesses orales.

Les étapes 2 et 3 sont ce que couvre l'EASM (gestion de la surface d'attaque externe), une discipline qu'on détaille dans qu'est-ce que l'EASM. La cartographie des actifs exposés y est le prérequis opérationnel de l'article 21. Pour ce lien entre inventaire et article 21, comme pour le cadre réglementaire complet (statuts, obligations, sanctions, calendrier), partez de notre guide de référence sur la directive NIS2. Et si votre PME édite du logiciel ou vend des objets connectés, un second texte vous vise en propre : le Cyber Resilience Act, qui impose la sécurité dès la conception de vos produits. Enfin, si le sujet du shadow IT vous travaille, on lui a consacré un article entier : le shadow IT.

Cartographier sa surface exposée, la brique NIS2 la plus concrète

C'est le cœur du métier d'own2pwn. La plateforme EASM d'own2pwn découvre automatiquement votre surface d'attaque externe, traque les actifs inconnus et corrèle les vulnérabilités en continu : la brique "surface exposée" de NIS2, prête à documenter. Éditée par une société française et hébergée dans l'Union européenne, sous droit européen et RGPD, pour ceux que la juridiction des données concerne (et avec NIS2, ça vous concerne). Ce que pèse réellement ce critère face au reste du marché, on l'a mis à plat dans notre comparatif des plateformes EASM.

Quand il faut prouver qu'une faille est réellement exploitable plutôt que de l'estimer, nos services de pentest web blackbox prennent le relais : on attaque votre périmètre comme le ferait un vrai adversaire, et on vous remet un rapport actionnable. C'est l'étape 5 de la liste ci-dessus, version professionnelle.

Pour une PME, la conformité NIS2 est surtout l'occasion de regarder enfin ce qu'on expose, de mettre de l'ordre, et au passage de rassurer ses clients. Le plus tôt sera le mieux : avant que quelqu'un d'autre ne découvre votre surface d'attaque à votre place.

Questions fréquentes sur NIS2 et les PME