La directive NIS2 est en passe de transformer le paysage de la cybersécurité en France. Avec la Loi Résilience attendue au premier semestre 2026, près de 15 000 entités seront soumises à de nouvelles obligations de sécurité informatique, contre seulement 500 sous l'ancien cadre NIS1. Si vous dirigez une PME en Corrèze ou ailleurs en France, cet article fait le point sur ce que la directive NIS2 en France implique concrètement pour votre entreprise : êtes-vous concerné, quelles sont les obligations et comment vous préparer dès maintenant ?

Qu'est-ce que la directive NIS2 et pourquoi elle concerne les PME

La directive NIS2 (Network and Information Security 2) est un règlement européen qui impose des normes de cybersécurité renforcées aux entreprises opérant dans des secteurs critiques et importants. Adoptée par l'Union européenne en décembre 2022, elle devait être transposée dans chaque État membre avant octobre 2024.

La France a pris du retard dans cette transposition. La Commission européenne a adressé un avis motivé à la France le 7 mai 2025 pour défaut de notification. La Loi Résilience, qui traduit NIS2 en droit français, devrait entrer pleinement en vigueur courant 2026, avec une date probable en juillet.

L'élargissement du périmètre est massif : de 500 à près de 15 000 entités concernées. La directive NIS2 en France ne vise plus uniquement les grands groupes, mais aussi les PME qui dépassent certains seuils ou qui opèrent dans des secteurs désormais régulés.

Votre PME est-elle concernée par la directive NIS2 ?

Le champ d'application de NIS2 en France repose sur deux critères principaux : le secteur d'activité et la taille de l'entreprise. La directive distingue deux catégories.

Les entités essentielles (EE) concernent les secteurs hautement critiques :

Énergie (électricité, gaz, pétrole, hydrogène)
Transports (aérien, ferroviaire, maritime, routier)
Santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux)
Eau potable et eaux usées
Infrastructure numérique (DNS, centres de données, réseaux)
Administrations publiques et espace

Les entités importantes (EI) couvrent un périmètre plus large :

Industrie agroalimentaire et distribution
Gestion des déchets et fabrication industrielle
Services postaux et de livraison
Fournisseurs numériques (places de marché, moteurs de recherche)
Recherche et enseignement supérieur

Le seuil de taille général est fixé à plus de 50 employés et plus de 10 millions d'euros de chiffre d'affaires. Cependant, une PME plus petite peut être désignée si elle est le seul fournisseur dans sa région pour un service critique. Pour les entreprises du Limousin, cette exception mérite une attention particulière.

Les obligations concrètes imposées par la directive NIS2 en France

La transposition française définit 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Ces obligations couvrent plusieurs domaines fondamentaux.

En matière de gouvernance et de gestion des risques :

Réaliser une analyse de risques régulière et documentée
Mettre en place une politique de sécurité des systèmes d'information (PSSI)
Former les dirigeants aux enjeux de cybersécurité : ils sont désormais personnellement responsables
Intégrer la sécurité dans la chaîne d'approvisionnement et exiger des garanties de vos fournisseurs

Concernant la protection technique des systèmes :

Déployer des mesures de protection réseau adaptées (pare-feu, segmentation, chiffrement)
Mettre en place une gestion rigoureuse des accès et des identités
Assurer la continuité d'activité avec des plans de reprise testés régulièrement
Sécuriser les sauvegardes et garantir leur intégrité

Pour un site web d'entreprise, cela se traduit par des exigences concrètes : HTTPS obligatoire, mises à jour de sécurité régulières, sauvegardes automatisées. Un bon développement web intègre ces éléments dès la conception du site.

La notification obligatoire des incidents cyber

L'une des obligations les plus contraignantes de la directive NIS2 en France est le régime de notification des incidents. Le calendrier imposé est strict :

Sous 24 heures : alerte initiale à l'ANSSI décrivant l'incident et son impact potentiel
Sous 72 heures : rapport intermédiaire avec une évaluation détaillée de la gravité et des mesures prises
Sous 1 mois : rapport final complet incluant l'analyse des causes, l'impact réel et les mesures correctives

Pour une PME en Corrèze qui n'a pas de RSSI dédié, ce délai de 24 heures peut sembler très court. C'est pourquoi il est crucial de préparer en amont un plan de réponse aux incidents. La maintenance régulière de votre infrastructure numérique est un prérequis indispensable pour détecter et réagir rapidement.

Les sanctions prévues en cas de non-conformité

Le volet sanctions de NIS2 est dissuasif. Pour les entités essentielles, les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Pour les entités importantes, le plafond est fixé à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial.

Au-delà des amendes financières, la directive NIS2 introduit la responsabilité personnelle des dirigeants. Les organes de direction peuvent être tenus responsables en cas de manquement. Cela inclut l'obligation de suivre une formation en cybersécurité et de superviser activement la mise en conformité.

La cybersécurité n'est plus optionnelle, c'est une obligation légale au même titre que la protection des données (RGPD).

Le calendrier de mise en conformité NIS2 pour 2026

La mise en conformité avec la directive NIS2 en France suit un calendrier progressif :

Premier semestre 2026 : publication définitive de la Loi Résilience et des décrets d'application
Mi-2026 : ouverture de l'inscription obligatoire sur la plateforme de l'ANSSI
Fin 2026 : début de l'application pleine, avec les audits réguliers et le régime strict de notification

Il ne faut pas attendre la publication officielle pour agir. Les entreprises qui anticipent seront mieux préparées. Commencer par un audit de vos systèmes numériques est la première étape logique.

Comment préparer votre PME dès maintenant

Que votre entreprise soit directement concernée par NIS2 ou non, les bonnes pratiques profitent à toutes les PME :

Vérifiez votre éligibilité : consultez MonEspaceNIS2 sur le site de l'ANSSI
Réalisez un audit de sécurité : identifiez les vulnérabilités de vos systèmes et de votre site web
Formez vos équipes : sensibilisez tous vos collaborateurs aux risques de phishing et aux bonnes pratiques
Documentez vos procédures : créez une politique de sécurité et un plan de réponse aux incidents
Sécurisez votre chaîne d'approvisionnement : exigez des garanties de cybersécurité de vos prestataires
Planifiez des sauvegardes régulières : automatisez les sauvegardes et testez leur restauration

Pour les PME en Haute-Corrèze et dans le Limousin, ConsilioWEB propose un accompagnement personnalisé pour sécuriser votre présence numérique, de la création de site web sécurisé à la mise en place de bonnes pratiques.

Questions fréquentes

Ma PME de moins de 50 salariés est-elle concernée par NIS2 ?

En règle générale, les entreprises de moins de 50 salariés et de moins de 10 millions d'euros de chiffre d'affaires sont exclues du périmètre. Cependant, des exceptions existent pour les fournisseurs de services numériques critiques et les entreprises désignées comme seul fournisseur régional d'un service essentiel.

Quand NIS2 sera-t-elle effectivement applicable en France ?

La transposition française via la Loi Résilience est attendue pour le premier semestre 2026, avec une date probable en juillet. L'application pleine et les premiers audits devraient démarrer au quatrième trimestre 2026.

Combien coûte la mise en conformité NIS2 pour une PME ?

Le coût varie selon la taille et la maturité en cybersécurité. Pour une PME, comptez entre 5 000 et 30 000 euros pour un audit initial et la mise en place des mesures de base. L'investissement dans la prévention reste toujours inférieur au coût d'une cyberattaque.

Quelle est la différence entre NIS2 et le RGPD ?

Le RGPD protège les données personnelles des individus, tandis que NIS2 vise la sécurité des systèmes d'information des entreprises. Les deux réglementations sont complémentaires. Une entreprise conforme au RGPD aura déjà une partie du chemin fait pour NIS2.

Anticipez NIS2 avec un accompagnement professionnel

La directive NIS2 en France représente un tournant majeur pour la cybersécurité des PME. Plutôt que de la percevoir comme une contrainte, considérez-la comme une opportunité de renforcer la résilience de votre entreprise.

Chez ConsilioWEB, nous accompagnons les PME de Corrèze et du Limousin dans la sécurisation de leur présence numérique. Nous vous aidons à transformer cette obligation réglementaire en avantage compétitif.

➤ Demandez votre audit de sécurité gratuit

Directive NIS2 en France : ce que les PME doivent savoir