Échantillon LinguaRank (FR) : brief SEO + article

Échantillon neutre, sans client, pensé pour les éditeurs de plateformes de conformité (GRC, ISO 27001, RGPD). Marché : France, Belgique francophone, Suisse romande. État du droit au 13 novembre 2026.

Brief SEO

Sujet : conformité NIS2 pour les PME et ETI
Format : guide pratique, 1 600 à 1 900 mots
Lecteurs : dirigeants, DSI, RSSI et responsables conformité de PME et ETI, souvent sans équipe conformité dédiée

Intention de recherche : informationnelle avec une composante commerciale. Le lecteur veut savoir s'il est concerné, ce que NIS2 exige concrètement et comment s'organiser. En fin de parcours, il compare tableur, cabinet et plateforme.

Mots-clés (volumes à vérifier dans Semrush ou Ahrefs, marché FR) :

• Principal : conformité NIS2
• Secondaires : NIS2 PME, directive NIS2 obligations, entités essentielles et importantes, loi Résilience NIS2, NIS2 ISO 27001, logiciel conformité NIS2
• Sémantique : ANSSI, ReCyF, gestion des risques, notification d'incidents, responsabilité de la direction, chaîne d'approvisionnement, fournisseurs

Méta :

• Title (≤ 60 caractères) : Conformité NIS2 : le guide pratique pour les PME
• Meta description (≤ 155 caractères) : Votre entreprise est-elle concernée par NIS2 ? Périmètre, obligations, sanctions et feuille de route en 6 étapes, avec ou sans ISO 27001.

Structure : H1 › 6 H2 › FAQ (voir l'article ci-dessous)

Sources autorisées : directive (UE) 2022/2555, dossier législatif du projet de loi Résilience (Sénat, Assemblée nationale), publications de l'ANSSI. Aucune statistique sans source.

Personnalisation : pour un éditeur de plateforme, le H2 « Tableur, cabinet ou plateforme » et l'appel à l'action s'adaptent au produit (démo, auto-évaluation, modèle de registre). Aucune fonctionnalité n'est citée sans validation par l'éditeur.

Conformité NIS2 : ce que les PME et ETI doivent savoir et faire

Pendant des années, la cybersécurité réglementaire concernait surtout quelques centaines d'opérateurs en France. Avec la directive NIS2, le périmètre change d'échelle : 18 secteurs au lieu de 6, et des milliers d'entreprises de taille moyenne qui n'avaient jamais eu affaire à l'ANSSI. Les estimations relayées par la presse spécialisée évoquent environ 15 000 organisations.

Beaucoup de dirigeants se posent donc les mêmes questions : sommes-nous concernés, que faut-il mettre en place, et à partir de quand ? Ce guide fait le point et propose une feuille de route réaliste pour une entreprise qui ne dispose pas d'une équipe conformité.

NIS2 en bref : où en est la France ?

La directive (UE) 2022/2555, dite NIS2, est entrée en vigueur le 16 janvier 2023. Les États membres devaient la transposer au plus tard le 17 octobre 2024. La France a pris du retard.

En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, souvent appelé « loi Résilience ». Le texte a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale en septembre 2025. Après plusieurs reports, les députés l'ont examiné en séance publique les 9 et 10 novembre 2026. Le vote solennel sur l'ensemble du texte est prévu le 17 novembre 2026. Si les deux assemblées n'adoptent pas un texte identique, une commission mixte paritaire devra trouver un accord, puis des décrets d'application préciseront les modalités.

En parallèle, la Commission européenne a saisi la Cour de justice de l'UE en juillet 2026 au sujet de ce retard. Ces sanctions éventuelles visent l'État, pas les entreprises.

Faut-il attendre la promulgation pour agir ? Non. Les grandes lignes des obligations sont fixées par la directive et ne changeront pas sur le fond. L'ANSSI a d'ailleurs publié en mars 2026 un document de travail, le référentiel ReCyF, qui détaille les objectifs de sécurité attendus. Les entreprises qui commencent maintenant auront le temps de construire leur dispositif sans travailler dans l'urgence.

Votre entreprise est-elle concernée ?

Deux critères s'appliquent en principe de façon cumulative : le secteur d'activité et la taille.

Le secteur. La directive distingue deux annexes :

• les secteurs hautement critiques (annexe I) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC (dont les fournisseurs de services managés), administration publique, espace ;
• les autres secteurs critiques (annexe II) : services postaux, gestion des déchets, chimie, alimentation, fabrication de certains produits (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.

La taille. Sont visées, en règle générale, les entreprises de taille moyenne et plus : à partir de 50 salariés, ou d'un chiffre d'affaires annuel et d'un total de bilan supérieurs à 10 millions d'euros. Certaines entités sont concernées quelle que soit leur taille, par exemple les fournisseurs de services DNS ou les registres de noms de domaine.

Entité essentielle ou importante ? Les grandes entreprises (250 salariés et plus, ou plus de 50 millions d'euros de chiffre d'affaires) des secteurs de l'annexe I sont en général des entités essentielles. Les autres entités dans le périmètre sont, pour la plupart, des entités importantes. La différence porte surtout sur la supervision et le niveau des sanctions, pas sur la nature des mesures à mettre en place.

Et si vous n'êtes pas dans le périmètre ? Vous pouvez être concerné indirectement. Les entités NIS2 doivent sécuriser leur chaîne d'approvisionnement. Leurs fournisseurs et prestataires informatiques reçoivent donc de plus en plus de questionnaires de sécurité et de clauses contractuelles. Pour un éditeur SaaS, être prêt à y répondre devient un argument commercial.

Pour une première qualification, l'ANSSI propose un outil d'auto-évaluation sur son site. En cas de structure complexe (groupe, activités multiples), un avis juridique reste recommandé.

Les obligations clés de NIS2

Des mesures de gestion des risques

L'article 21 de la directive impose des mesures « appropriées et proportionnées ». Proportionnées signifie adaptées à votre exposition, à votre taille et à la gravité possible d'un incident. La directive liste dix domaines minimum :

• analyse des risques et politique de sécurité des systèmes d'information ;
• gestion des incidents ;
• continuité d'activité : sauvegardes, reprise, gestion de crise ;
• sécurité de la chaîne d'approvisionnement ;
• sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités ;
• évaluation de l'efficacité des mesures ;
• cyberhygiène de base et formation ;
• cryptographie et, le cas échéant, chiffrement ;
• sécurité des ressources humaines, contrôle d'accès et gestion des actifs ;
• authentification multifacteur et communications sécurisées.

La notification des incidents

En cas d'incident important, le texte en discussion en France reprend le calendrier de la directive :

• une alerte précoce sous 24 heures ;
• une notification sous 72 heures, avec une première évaluation ;
• un rapport final sous un mois.

Ces délais supposent d'avoir défini à l'avance qui détecte, qui qualifie l'incident et qui notifie. Ce n'est pas un processus qui s'improvise un vendredi soir.

La responsabilité de la direction

NIS2 place la cybersécurité au niveau de la direction. Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. Leur responsabilité peut être engagée en cas de manquement.

Les sanctions

Dans le texte examiné par l'Assemblée, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante. Le montant le plus élevé s'applique.

NIS2 et ISO 27001 : réutiliser ce qui existe déjà

Si votre entreprise est certifiée ISO 27001 ou travaille à l'être, vous n'êtes pas au point de départ. Un système de management de la sécurité de l'information (SMSI) couvre déjà une grande partie des domaines de l'article 21 : analyse de risques, politiques, contrôle d'accès, gestion des incidents, continuité.

Attention cependant : ISO 27001 ne vaut pas conformité NIS2. Certains points demandent un travail spécifique :

• les délais et le circuit de notification à l'autorité ;
• l'implication formelle de la direction et sa formation ;
• le périmètre, qui doit couvrir les systèmes nécessaires aux services concernés par NIS2, pas seulement le périmètre certifié.

La bonne approche consiste à faire une analyse d'écart entre votre SMSI et les objectifs du référentiel de l'ANSSI, puis à traiter uniquement ce qui manque. Vous évitez ainsi de documenter deux fois les mêmes contrôles.

Feuille de route en 6 étapes

1. Qualifiez votre statut. Secteur, taille, entité essentielle ou importante. Gardez une trace écrite de votre raisonnement.
2. Impliquez la direction. Désignez un responsable, présentez les enjeux au comité de direction et planifiez la formation des dirigeants.
3. Cartographiez et analysez les risques. Identifiez les systèmes et les services critiques, les dépendances et les fournisseurs clés.
4. Faites l'analyse d'écart. Comparez vos mesures actuelles aux dix domaines de l'article 21 et aux objectifs du ReCyF. Priorisez selon le risque.
5. Préparez la gestion des incidents. Rédigez la procédure, définissez les rôles et faites un exercice pour tester les délais de 24 et 72 heures.
6. Documentez et pilotez dans la durée. Politiques, preuves, revues des fournisseurs, indicateurs. La conformité NIS2 n'est pas un projet ponctuel, c'est un suivi continu.

Pour une PME, ces étapes peuvent s'étaler sur plusieurs mois. L'important est de commencer par les deux premières : sans statut clair et sans soutien de la direction, le reste n'avance pas.

Tableur, cabinet ou plateforme : comment s'organiser ?

Le tableur. Gratuit et rapide à lancer, il convient pour une première analyse d'écart. Il devient vite difficile à maintenir quand il faut suivre des preuves, des fournisseurs et des revues régulières.

Le cabinet de conseil. Il apporte une expertise juridique et méthodologique, utile pour la qualification et les points délicats. Le coût et la dépendance à un intervenant externe sont à prévoir sur la durée.

La plateforme de conformité. Elle centralise les politiques, les contrôles, les preuves et les évaluations fournisseurs, et permet souvent de mutualiser le travail entre plusieurs référentiels (ISO 27001, RGPD, NIS2). C'est l'option la plus adaptée quand l'entreprise veut piloter la conformité en continu sans recruter une équipe dédiée.

Beaucoup d'entreprises combinent les deux dernières : un accompagnement ponctuel pour cadrer, une plateforme pour faire vivre le dispositif.

FAQ

NIS2 s'applique-t-elle déjà en France ?

La directive est en vigueur au niveau européen, mais la loi française de transposition n'était pas encore promulguée à la mi-novembre 2026 : l'Assemblée nationale a terminé l'examen du texte le 10 novembre et doit se prononcer sur l'ensemble lors d'un vote solennel. Les obligations deviendront exigibles une fois la loi et ses décrets publiés. Le contenu des mesures est cependant déjà connu, ce qui permet de se préparer.

Une PME de 60 salariés est-elle concernée ?

Elle peut l'être si son activité relève d'un des 18 secteurs listés. Une PME de 60 salariés dans la gestion des services TIC ou la fabrication de dispositifs médicaux, par exemple, entre en principe dans le périmètre. Une qualification précise reste nécessaire.

Quelle est la différence entre entité essentielle et entité importante ?

Les deux catégories appliquent des mesures de sécurité comparables. Les entités essentielles font l'objet d'une supervision plus poussée et de sanctions plus élevées ; les entités importantes sont surtout contrôlées après un incident ou un signalement.

Être certifié ISO 27001 suffit-il pour NIS2 ?

Non, mais c'est une base solide. Il reste à couvrir notamment la notification des incidents à l'autorité, l'implication et la formation de la direction, et l'adéquation du périmètre.

Que risque un fournisseur qui n'est pas lui-même soumis à NIS2 ?

Pas de sanction directe au titre de NIS2. En revanche, ses clients soumis à la directive peuvent exiger des garanties de sécurité par contrat et vérifier leur respect. Ne pas pouvoir y répondre peut coûter des contrats.

Sources : Assemblée nationale, « Examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » (assemblee-nationale.fr) ; Journal du Net, « NIS2 : l'Assemblée adopte enfin la transposition… », 13 novembre 2026 ; Le Monde Informatique, 10 novembre 2026 ; Leto, « NIS 2 : qui est concerné » ; directive (UE) 2022/2555, article 21. Cet article est informatif et ne constitue pas un conseil juridique. Produit avec l'IA et vérifié en plusieurs étapes.