NIS2 PME : une PME est-elle concernée par NIS2 ?

NIS2 PME : oui, beaucoup de PME sont concernées. Une PME de 50 à 249 salariés qui exerce une activité d’un des 18 secteurs visés entre dans le périmètre, comme entité importante. Une petite entreprise de moins de 50 salariés n’est concernée que dans des cas précis, fixés par l’article 2 de la directive, ou indirectement via les exigences de ses clients.

Cet article fait partie de notre série sur le périmètre de NIS2. Pour la méthode complète, voir NIS2 : qui est concerné ?.

« PME » ne veut pas dire « hors NIS2 »

En France, le terme PME désigne les entreprises de moins de 250 salariés. Or NIS2 s’applique dès la moyenne entreprise, c’est-à-dire à partir de 50 salariés, ou de plus de 10 millions d’euros de chiffre d’affaires et de bilan. Une large partie des PME, celles qui ont entre 50 et 249 salariés, est donc dans le périmètre si leur activité est visée.

Votre entreprise	Secteur visé par NIS2	Résultat
50 à 249 salariés	Annexe I (énergie, santé, transport, infogérance…)	Entité importante
50 à 249 salariés	Annexe II (industrie, agroalimentaire, déchets…)	Entité importante
Moins de 50 salariés, 10 M€ ou moins de CA ou de bilan	Annexe I ou II	Hors périmètre, sauf cas particuliers ci-dessous
Toute taille	Aucun secteur visé	Hors périmètre direct

Attention au calcul : la recommandation 2003/361/CE prévoit que les effectifs et données financières d’une entreprise liée ou partenaire d’un groupe soient pris en compte. Pour un cas particulier, l’avis d’un conseil juridique reste le plus sûr. Voir À partir de quelle taille NIS2 s’applique-t-elle ?.

Les cas où une petite entreprise est concernée

L’article 2 de la directive (UE) 2022/2555 vise certaines entités quelle que soit leur taille :

1. Les opérateurs de communications électroniques : fournisseurs de réseaux ou de services de communications électroniques accessibles au public.
2. Les prestataires de services de confiance : signature électronique, horodatage, certificats, etc.
3. Les registres de noms de domaine de premier niveau et les fournisseurs de services DNS.
4. Le fournisseur unique d’un service essentiel au maintien d’activités sociétales ou économiques critiques dans un État membre.
5. Les entités dont la perturbation aurait un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou créerait un risque systémique.
6. Les entités d’importance particulière au niveau national ou régional pour leur secteur ou leur type de service.
7. Les entités critiques désignées au titre de la directive REC (2022/2557).

Les cas 4 à 7 supposent une désignation par l’État. Une petite entreprise ne peut pas s’y classer seule : si elle est concernée, l’autorité nationale le lui signifie.

Le cas le plus fréquent : la PME concernée par ricochet

Pour la majorité des petites entreprises, l’effet de NIS2 viendra des clients. L’article 21, paragraphe 2, point d, prévoit que les entités du périmètre gèrent la sécurité de leur chaîne d’approvisionnement. Elles peuvent donc demander à leurs fournisseurs et prestataires :

• des clauses de sécurité dans les contrats ;
• des questionnaires ou des preuves de mesures en place ;
• le signalement rapide d’un incident qui pourrait les toucher.

Une PME hors périmètre peut donc avoir à démontrer un niveau de sécurité proche de celui d’une entité régulée. Voir Suis-je concerné par NIS2 si mon client l’est ?.

Ce que NIS2 demande concrètement à une PME du périmètre

Une PME dans le périmètre est le plus souvent entité importante. La directive prévoit pour elle les mêmes mesures de sécurité que pour une entité essentielle, avec une supervision a posteriori. Les plus structurantes pour une petite équipe :

• les mesures de gestion des risques de l’article 21 (gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement, authentification multifacteur, etc.) ;
• l’implication de la direction, qui, selon l’article 20, approuve les mesures et suit une formation ;
• la notification des incidents importants, pour laquelle l’article 23 prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois.

La détection et la notification dans ces délais sont souvent le point le plus difficile sans équipe de sécurité interne. C’est précisément là qu’un SOC externalisé, opéré via son infogérant, prend son sens. Voir Quelle est la différence entre entité essentielle et entité importante ?.

Et la transposition en France ?

Au 9 août 2026, selon le dossier législatif de l’Assemblée nationale, la loi française de transposition n’est pas encore adoptée. Le périmètre, lui, est fixé par la directive. Une PME qui pense être concernée a intérêt à utiliser ce délai pour se préparer, et à faire vérifier sa situation par son conseil juridique.

Faire le point avec un expert

Vous êtes une PME dans le périmètre, ou fournisseur d’une entité qui l’est ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous : nous vous orienterons vers un partenaire.

Questions fréquentes

Une TPE peut-elle être concernée par NIS2 ?

Rarement, et seulement dans les cas particuliers listés plus haut : opérateur de communications électroniques, prestataire de services de confiance, fournisseur DNS, ou désignation par l'État. La plupart des TPE seront concernées indirectement, via leurs clients.

Les obligations sont-elles allégées pour une PME ?

Les mesures sont les mêmes, mais l'article 21 prévoit qu'elles soient proportionnées à la taille de l'entité, à son exposition aux risques et au coût de mise en œuvre. L'appréciation de cette proportionnalité pour un cas donné relève de votre conseil juridique et de l'autorité compétente.

Combien de temps faut-il pour se préparer ?

Cela dépend du point de départ. Les chantiers les plus longs sont souvent la gouvernance, la gestion des fournisseurs et la capacité à détecter les incidents en continu.