NIS 2, vous en avez peut-être entendu parler comme d'un texte pour les opérateurs d'énergie ou les grands groupes industriels. C'est en partie vrai : le texte cible en priorité les moyennes et grandes entreprises de secteurs jugés critiques. Mais une partie du sujet concerne aussi les plus petites structures, pas parce que la loi les vise directement, mais parce que leurs clients, eux, seront tenus de sécuriser toute leur chaîne de fournisseurs.
Voici ce que dit le texte, où en est réellement sa transposition en France, et ce qu'un dirigeant de TPE/PME doit en retenir.
Ce que change NIS 2, en une minute
NIS 2 est une directive de l'Union européenne (directive (UE) 2022/2555) qui remplace et élargit fortement la première directive NIS. Elle impose aux entités concernées :
- Une gestion des risques cyber formalisée (mesures techniques et organisationnelles proportionnées).
- La notification des incidents significatifs à l'autorité nationale : alerte précoce sous 24h, notification sous 72h, rapport final sous un mois.
- Une gouvernance engagée : les organes de direction doivent approuver les mesures de sécurité, suivre une formation, et peuvent voir leur responsabilité engagée en cas de manquement grave.
- La sécurité de la chaîne d'approvisionnement : l'entité régulée doit s'assurer que ses fournisseurs et prestataires respectent, eux aussi, un niveau de sécurité suffisant.
Qui est directement concerné
Le texte classe les organisations en "entités essentielles" et "entités importantes", réparties sur 18 secteurs (énergie, transport, santé, eau potable, banque, infrastructures numériques, administrations publiques, espace, gestion des déchets, industrie chimique, fabrication de dispositifs médicaux et d'autres produits critiques, fournisseurs numériques, services postaux, recherche, entre autres).
En pratique, NIS 2 vise les entreprises moyennes et grandes : à partir de 50 salariés et 10 millions d'euros de chiffre d'affaires ou de bilan. En dessous de ce seuil, une micro ou petite entreprise est en principe hors champ direct, sauf cas particuliers (fournisseur unique de son service dans le pays, rôle critique pour la santé ou la sécurité publique, opérateur télécom, fournisseur de noms de domaine, administration publique).
Si vous êtes artisan, indépendant, ou petite structure de moins de 50 salariés hors secteur critique, vous n'êtes très probablement pas directement soumis à NIS 2. Le sujet qui vous concerne réellement est ailleurs, et il est décrit ci-dessous.
Le vrai sujet pour une TPE/PME : la chaîne d'approvisionnement
Une entité soumise à NIS 2 a l'obligation de sécuriser sa chaîne de fournisseurs. Concrètement, cela se traduit par des clauses contractuelles, des questionnaires de sécurité, voire des exigences techniques (authentification multifacteur, plan de réponse à incident, sauvegardes) imposées à ses sous-traitants et prestataires, même quand ceux-ci sont de petites structures hors champ direct de la loi.
C'est le même mécanisme que celui vécu avec le RGPD depuis 2018 : le texte visait d'abord les responsables de traitement, et les exigences se sont répercutées sur toute la chaîne de sous-traitants via des clauses contractuelles. Pour une TPE industrielle qui travaille avec un grand groupe, un hôpital, une collectivité ou un opérateur d'énergie, la question n'est pas "suis-je soumis à NIS 2", elle est "mon client va-t-il me demander de le prouver".
Où en est la France, mi-2026
L'échéance européenne de transposition était fixée au 17 octobre 2024. La France ne l'a pas tenue.
| Date | Étape | Statut |
|---|---|---|
| 17 octobre 2024 | Échéance européenne de transposition | Dépassée |
| Octobre 2024 | Projet de loi présenté en Conseil des ministres | Fait |
| 12 mars 2025 | Adoption du texte par le Sénat | Fait |
| 2025 | Examen en commissions à l'Assemblée nationale | Fait |
| 1er juillet 2026 | Session parlementaire extraordinaire : texte absent de l'ordre du jour | Bloqué |
| 17 mars 2026 | ANSSI publie le Référentiel Cyber France (ReCyF) | Fait |
← Faites glisser le tableau pour voir toutes les colonnes →
Le blocage porte notamment sur des désaccords politiques liés au chiffrement, sans lien direct avec le fond du texte NIS 2. L'adoption finale est attendue "courant 2026" selon les derniers calendriers parlementaires connus, sans date certaine à ce jour.
En attendant le texte définitif, l'ANSSI a publié depuis le 17 mars 2026 un référentiel (ReCyF) qui liste les mesures de sécurité recommandées pour se préparer à NIS 2. Ce référentiel n'a pas de valeur contraignante tant que la loi française n'est pas publiée, mais il donne une feuille de route fiable pour anticiper.
Ce qu'il faut déjà préparer, même hors champ direct
- Identifier vos clients potentiellement soumis à NIS 2 : grands groupes industriels, énergie, santé, collectivités, infrastructures numériques. Ce sont eux qui vous enverront des exigences en premier.
- Poser l'hygiène cyber de base : authentification multifacteur sur les comptes sensibles, sauvegardes testées régulièrement, mises à jour de sécurité appliquées, sensibilisation minimale des équipes.
- Avoir un plan simple de réponse à incident : qui prévenir, dans quel délai, comment isoler un poste ou un système compromis.
- Anticiper les questionnaires de sécurité qui arriveront de vos clients régulés, plutôt que de les découvrir au moment où un contrat est en jeu.
Le bon réflexe n'est pas d'attendre le vote de la loi française pour agir. C'est de traiter ces quatre points comme une hygiène de base utile en soi, indépendamment du calendrier parlementaire : ils réduisent un risque réel (incident, panne, perte de données) et répondent par avance aux exigences qui, tôt ou tard, viendront de vos donneurs d'ordre.