NIS2 en pratique : les 5 actions prioritaires pour une PME concernée
La directive NIS2 élargit son périmètre aux PME sous-traitantes de secteurs critiques. Ce que ça signifie, si vous êtes concerné, et par où commencer sans vous noyer dans la réglementation.
NIS2, pour Network and Information Security 2, est la directive européenne de cybersécurité transposée en droit français depuis fin 2024. Elle étend considérablement le périmètre de la réglementation par rapport à NIS1 : là où la première directive visait principalement les opérateurs d’importance vitale et les grandes infrastructures, NIS2 descend jusqu’aux PME, en particulier celles qui sont sous-traitantes de secteurs critiques.
Si vous êtes une PME qui travaille avec des acteurs de la santé, de l’énergie, des transports, des finances, des collectivités publiques ou de la défense, vous êtes potentiellement concerné. Et “potentiellement concerné” signifie en pratique que vos clients de ces secteurs vont vous demander des garanties sur votre niveau de sécurité.
Êtes-vous réellement concerné par NIS2 ?
La question mérite d’être posée honnêtement avant d’investir dans des démarches de conformité. NIS2 s’applique directement aux entités qui opèrent dans des secteurs critiques au-delà de certains seuils (50 salariés et 10 M€ de CA minimum pour les entités “importantes”). En dessous de ces seuils, vous n’êtes pas une entité régulée par NIS2.
En revanche, vous pouvez l’être indirectement : si vous êtes prestataire d’une entité régulée (établissement de santé, collectivité, opérateur d’énergie), cette entité doit s’assurer que ses sous-traitants respectent des exigences de sécurité minimales. Elle va donc vous demander des preuves, questionnaires de sécurité, certifications, audits.
Dans ce cas, la conformité n’est pas une obligation légale directe, mais une condition commerciale pour maintenir vos contrats avec ces clients.
Action 1 : cartographier vos risques et vos actifs critiques
NIS2 repose sur une approche par les risques : identifier ce qui est critique pour votre activité, évaluer les menaces qui pèsent dessus, et proportionner les mesures de protection.
Pour une PME, cet exercice peut se faire de façon simple : quels systèmes, données ou processus, s’ils étaient indisponibles 48 heures, menaceraient la survie de l’entreprise ? Ce sont vos actifs critiques. La protection concentrée sur ces actifs est plus efficace que des mesures génériques sur l’ensemble du SI.
Action 2 : mettre à jour la gestion des identités et des accès
NIS2 exige des contrôles stricts sur qui a accès à quoi. Le minimum attendu :
- MFA obligatoire sur tous les accès critiques (email, VPN, applications métier)
- Comptes administrateurs distincts des comptes utilisateurs standards
- Revue trimestrielle des droits d’accès
- Procédure formelle d’offboarding (révocation des accès le jour du départ)
Ces mesures ne sont pas spécifiques à NIS2, elles représentent les bonnes pratiques de base que tout audit de sécurité recommanderait. La directive donne un cadre réglementaire à ce qui devrait être fait de toute façon.
Action 3 : structurer la gestion des incidents
NIS2 impose une capacité à détecter, gérer et notifier les incidents de sécurité. Pour une PME, cela se traduit par :
- Un plan de réponse à incident documenté (qui fait quoi, dans quel délai, qui notifier)
- Des canaux de communication de crise identifiés
- Une procédure de notification aux clients concernés en cas de compromission de leurs données
Ce n’est pas nécessairement un SOC 24/7 et des équipes dédiées, c’est un document clair et des contacts identifiés pour chaque étape de la réponse.
Action 4 : sécuriser la chaîne d’approvisionnement
NIS2 met un accent particulier sur la sécurité des tiers et de la chaîne d’approvisionnement. Si vous utilisez des prestataires (hébergeur cloud, éditeur de logiciel SaaS, prestataire IT), vous devez vous assurer qu’ils offrent un niveau de sécurité adéquat.
En pratique : demandez à vos prestataires critiques leurs certifications de sécurité (ISO 27001, SOC 2) ou leurs engagements contractuels sur la sécurité. Ce que vos clients vont vous demander, vous devez le demander à vos propres fournisseurs.
Action 5 : documenter et prouver
La grande différence entre “faire de la sécurité” et “être conforme à NIS2”, c’est la documentation. Votre client ou auditeur ne prendra pas votre parole, il demandera des preuves : rapports d’audit, politiques de sécurité écrites, journaux d’accès, résultats de tests de sauvegardes, compte-rendu de formation des collaborateurs.
Un registre de sécurité, même simple, qui trace les actions réalisées et les contrôles effectués, est la base de toute démarche de conformité.
Par où commencer concrètement
Si vous n’avez aucune base, commencez par un audit de maturité cybersécurité. Il vous donnera une vision de votre niveau actuel, des écarts par rapport aux exigences, et un plan de remédiation priorisé. C’est plus efficace que de démarrer par la rédaction de politiques de sécurité sans savoir où vous en êtes.
Zerobug accompagne les PME dans leur démarche de conformité NIS2 et dans la mise en place de mesures de cybersécurité proportionnées à leur taille et leurs risques. Contactez-nous pour un premier état des lieux.
Votre sécurité informatique est-elle à la hauteur ?
Ransomware, phishing, accès non autorisés ; nos ingénieurs auditent votre infrastructure et vous indiquent les points à corriger en priorité. Rapport sous 7 jours.
Commençons par un audit. Rapport sous 7 jours.
Nos ingénieurs se déplacent, analysent votre infrastructure et vous remettent un rapport clair avec des priorités chiffrées, remboursé à la signature d'un contrat.