Cybersécurité en France : NIS2 et les nouvelles obligations pour les PME en 2026

La directive européenne NIS2 (Network and Information Security), transposée en droit français en octobre 2024, étend considérablement les obligations de cybersécurité pour les entreprises. En 2026, ce sont désormais 15 000 entités françaises qui sont concernées, contre seulement 500 sous le régime NIS1. Les PME et ETI sont en première ligne.

Qu’est-ce que NIS2 ?

NIS2 est une directive européenne qui vise à renforcer le niveau de cybersécurité des infrastructures critiques et des services essentiels. Adoptée en 2022 et transposée dans les droits nationaux en 2024, elle élargit considérablement le périmètre des entités soumises à des obligations de sécurité.

Le texte distingue deux catégories d’entités :

• Les entités essentielles : secteurs de l’énergie, des transports, de la santé, de l’eau, des infrastructures numériques et financières
• Les entités importantes : secteur postal, gestion des déchets, fabrication de produits chimiques, production alimentaire, etc.

Pour chaque catégorie, les obligations sont proportionnées mais substantielles : analyse des risques, mesures de sécurité techniques et organisationnelles, gestion des incidents, notification obligatoire des incidents graves, et audits réguliers.

Les nouvelles obligations concrètes

Concrètement, les entreprises concernées par NIS2 doivent mettre en œuvre une série de mesures de cybersécurité. Parmi les plus importantes :

• Politique de sécurité des systèmes d’information (PSSI) : document formel qui définit les règles de sécurité applicables dans l’entreprise
• Gestion des incidents : processus de détection, d’analyse, de réponse et de notification des incidents de cybersécurité
• Continuité d’activité : plan de reprise d’activité (PRA) et plan de continuité d’activité (PCA) incluant les scenarii cyber
• Sécurisation de la chaîne d’approvisionnement : évaluation et contrôle des fournisseurs et sous-traitants ayant accès aux systèmes d’information

Les incidents graves doivent être notifiés à l’ANSSI dans les 24 heures suivant leur détection pour les entités essentielles, et dans les 72 heures pour les entités importantes.

Les sanctions en cas de non-conformité

Les sanctions prévues par NIS2 sont dissuasives. Pour les entités essentielles, l’amende administrative peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Pour les entités importantes, le plafond est de 7 millions d’euros ou 1,4 % du chiffre d’affaires.

Au-delà des sanctions financières, les dirigeants peuvent voir leur responsabilité engagée en cas de manquement grave. Les autorités nationales peuvent également ordonner la suspension temporaire de certaines activités en cas de risque imminent.

“Avec NIS2, la cybersécurité passe du statut de ‘nice to have’ à celui d’obligation légale. Les dirigeants d’entreprise ne peuvent plus ignorer le sujet sous peine de sanctions significatives”, prévient un expert de l’ANSSI.

Comment se préparer à NIS2

Pour les PME et ETI concernées, la mise en conformité avec NIS2 est un processus qui prend du temps. Voici les étapes recommandées :

1. Réaliser un audit de cybersécurité : identifier les lacunes par rapport aux exigences NIS2
2. Nommer un responsable de la sécurité : un RSSI, même à temps partiel, ou un prestataire externalisé
3. Mettre en place les mesures techniques : pare-feu, antivirus, chiffrement, authentification multi-facteurs, sauvegardes
4. Former les collaborateurs : la cybersécurité est l’affaire de tous, pas seulement de la DSI
5. Se faire accompagner : l’ANSSI, les CCI et les fédérations professionnelles proposent des guides et des formations

Les ressources disponibles

Plusieurs ressources sont disponibles pour aider les entreprises dans leur mise en conformité. Le guichet unique de l’ANSSI propose des conseils personnalisés. Les CCI organisent des ateliers pratiques. Bpifrance finance des audits de cybersécurité via son programme France Num.

Le marché de la cybersécurité est en pleine expansion : les incidents cyber en France ont augmenté de 63 % en 2024 selon l’ANSSI, et les startups françaises de la cybersécurité (comme Prelude, Gatewatcher ou Tenable) proposent des solutions adaptées aux PME.

Conclusion

NIS2 marque un tournant dans la régulation de la cybersécurité en Europe. Pour les PME et ETI françaises, c’est une contrainte réglementaire mais aussi une opportunité de renforcer leur résilience face aux cyberattaques, dont le nombre ne cesse d’augmenter. Les entreprises qui anticiperont leur mise en conformité en tireront un avantage concurrentiel, la cybersécurité devenant un critère de sélection de plus en plus important pour les clients et les partenaires.

L’augmentation des cyberattaques ciblant les PME

L’obligation de renforcer sa cybersécurité n’est pas qu’une contrainte réglementaire. Les chiffres de l’ANSSI montrent une augmentation de 63 % des incidents cyber en France en 2024, et les PME sont de plus en plus ciblées par les attaquants. Selon le CLUSIF, 43 % des cyberattaques visent désormais les PME et ETI, contre 27 % en 2022.

Les attaquants considèrent les PME comme des maillons faibles dans la chaîne d’approvisionnement des grandes entreprises. Une faille chez un sous-traitant de taille modeste peut permettre d’accéder aux systèmes d’un grand groupe. C’est pourquoi NIS2 impose aux entreprises de sécuriser leur chaîne d’approvisionnement et d’évaluer régulièrement leurs fournisseurs.

Le coût moyen d’une cyberattaque pour une PME est estimé à 55 000 euros par le CLUSIF, un montant qui peut être fatal pour une petite structure. La rançon demandée dans le cadre d’un ransomware est en moyenne de 10 000 à 50 000 euros, mais les coûts indirects (perte d’exploitation, remédiation, image) sont souvent 3 à 5 fois supérieurs.

Les solutions adaptées aux PME

Face à ces enjeux, des solutions de cybersécurité adaptées aux budgets des PME existent. Les offres de type SOC-as-a-Service permettent de bénéficier d’une surveillance 24/7 sans avoir à recruter des experts en interne. Les EDR (Endpoint Detection and Response) protègent les postes de travail contre les menaces avancées. Et les solutions de sauvegarde externalisée (cloud) garantissent la continuité d’activité.

Bpifrance, via son programme France Num, propose des aides pour financer les premiers audits et équipements de cybersécurité. Les CCI organisent des ateliers de sensibilisation pour les dirigeants. Et l’ANSSI publie des guides pratiques adaptés aux TPE et PME, avec des mesures concrètes à mettre en œuvre.

Conclusion

NIS2 marque un tournant dans la régulation de la cybersécurité en Europe. Pour les PME et ETI françaises, c’est une contrainte réglementaire mais aussi une opportunité de renforcer leur résilience face aux cyberattaques. Les entreprises qui anticiperont leur mise en conformité en tireront un avantage concurrentiel, la cybersécurité devenant un critère de sélection de plus en plus important pour les clients et les partenaires.