NIS2 : votre PME est-elle vraiment concernée (et que risque-t-on à l'ignorer) ?

Non, NIS2 ne concerne pas automatiquement votre PME — la directive vise des entités dépassant certains seuils de taille dans 18 secteurs précis, soit environ 15 000 structures en France. Mais si vous travaillez comme sous-traitant ou fournisseur pour l’une d’elles (santé, énergie, collectivité, banque, prestataire numérique…), l’obligation de sécuriser la chaîne d’approvisionnement fait remonter des exigences contractuelles jusqu’à vous, quelle que soit votre taille.

Ce que dit vraiment la directive, et où en est la France

La directive européenne NIS2 (UE 2022/2555) devait être transposée en droit français au plus tard le 17 octobre 2024. Ce délai n’a pas été tenu. Le 8 juillet 2026, la Commission européenne a annoncé qu’elle renvoyait la France — avec l’Irlande, l’Espagne et les Pays-Bas — devant la Cour de justice de l’Union européenne pour défaut de notification de transposition complète, avec demande de sanctions financières (somme forfaitaire et astreintes journalières).

Le véhicule législatif français, le projet de loi Résilience (qui transpose aussi les directives REC et DORA), a été adopté en première lecture au Sénat en octobre 2024 puis examiné en commission spéciale à l’Assemblée nationale en septembre 2025. Il n’a toujours pas été voté en séance plénière ni promulgué à la date de rédaction de cet article ; son examen n’était pas inscrit à l’ordre du jour de la session extraordinaire de juillet 2026.

Conséquence concrète : en l’absence de loi promulguée, les obligations NIS2 ne sont pas encore juridiquement contraignantes en droit français. L’ANSSI a toutefois publié le 17 mars 2026 un référentiel technique, le Référentiel Cyber France (ReCyF), qui liste les mesures attendues par objectif de sécurité. Sa valeur est aujourd’hui celle d’une recommandation — elle deviendra contraignante une fois la loi promulguée.

Qui est directement concerné : secteurs et seuils

La directive s’applique aux entités des secteurs listés en annexe I (hautement critiques — énergie, transport, santé, eau, banque, marchés financiers, infrastructures numériques…) et annexe II (autres secteurs critiques — industrie, alimentation, gestion des déchets, recherche, services numériques avancés, fabrication), à condition de dépasser des seuils de taille :

• Entité essentielle : au moins 250 salariés, ou un chiffre d’affaires supérieur à 50 M€ et un bilan supérieur à 43 M€.
• Entité importante : au moins 50 salariés, ou un chiffre d’affaires et un bilan supérieurs à 10 M€.

Une TPE de moins de 50 salariés, hors des secteurs listés en annexe, n’entre donc pas dans le périmètre direct — c’est une réalité factuelle, pas une zone grise. C’est là que se situe l’écart entre le discours ambiant (« tout le monde est concerné ») et le texte : le seuil des 50 salariés exclut mécaniquement la majorité des micro-entreprises et petites structures françaises du champ d’application direct.

L’angle qui change la donne : la sécurité de la chaîne d’approvisionnement

L’article 21§2(d) de la directive impose aux entités essentielles et importantes de gérer les risques liés à leur chaîne d’approvisionnement, y compris les relations avec leurs fournisseurs et prestataires directs. Concrètement, une entité régulée doit pouvoir démontrer qu’elle maîtrise le niveau de sécurité de ses prestataires — elle ne peut pas se contenter de sécuriser son propre système d’information.

En pratique, cette obligation se traduit par une cascade contractuelle : les donneurs d’ordre soumis à NIS2 répercutent des exigences vers leurs sous-traitants — clauses de sécurité, droit d’audit, obligation de notifier tout incident au client, authentification multifacteur sur les accès distants. Un sous-traitant informatique, un prestataire de maintenance ou un fournisseur logiciel qui travaille pour un hôpital, une collectivité, une banque ou un opérateur d’énergie peut ainsi se voir imposer des exigences de sécurité par contrat, sans être lui-même une entité essentielle ou importante au sens de la loi.

Il existe une distinction à ne pas confondre :

• Être directement soumis à NIS2 : votre activité propre entre dans un secteur de l’annexe I ou II, et vous dépassez les seuils de taille.
• Être exposé indirectement (par cascade contractuelle) : vous n’êtes pas dans le périmètre légal, mais un client régulé par NIS2 vous impose des clauses de sécurité pour continuer à travailler avec vous.

Cette deuxième situation est la plus fréquente pour une PME guadeloupéenne — et c’est elle qui explique pourquoi l’ignorer purement et simplement n’est pas une option, même en l’absence de loi promulguée à ce jour.

Ce qu’on risque à l’ignorer

Une fois la loi promulguée, le régime de sanctions prévu par la directive s’appliquera : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial annuel (le montant le plus élevé étant retenu) pour une entité essentielle, jusqu’à 7 M€ ou 1,4 % pour une entité importante. La directive prévoit également une responsabilité personnelle des dirigeants, pouvant aller jusqu’à une interdiction temporaire d’exercer des fonctions de direction.

Ces sanctions ne visent que les entités directement régulées — elles ne s’appliquent pas à un sous-traitant hors périmètre. Mais pour une PME en position de fournisseur, le risque réel et immédiat n’est pas la sanction légale : c’est la perte du contrat si elle ne peut pas répondre aux exigences de sécurité demandées par un client soumis à NIS2. Ce risque commercial existe dès aujourd’hui, indépendamment du calendrier législatif français.

Comment savoir où vous vous situez

L’ANSSI met à disposition un outil d’auto-évaluation officiel, MonEspaceNIS2, pour déterminer si votre structure entre dans le périmètre direct de la directive selon son secteur et sa taille. Au-delà de cet outil, deux réflexes simples : vérifier si vos principaux clients (établissements de santé, collectivités, banques, énergéticiens, prestataires numériques) évoquent déjà des exigences de sécurité renforcées dans leurs contrats ou appels d’offres, et ne pas attendre la promulgation de la loi française pour documenter sa posture de sécurité si c’est le cas.

Cryptonyte accompagne les PME et sous-traitants de Guadeloupe dans cette clarification — audit de positionnement réel (directement concerné, indirectement exposé, ou hors sujet), gap analysis face aux exigences NIS2 déjà demandées par certains donneurs d’ordre, et mise en conformité technique (MFA, segmentation réseau, plan de reprise, journalisation) sur la page conformité NIS2.

À retenir

NIS2 ne s’applique pas à toutes les entreprises : le périmètre direct est défini par secteur et seuil de taille, et exclut la majorité des TPE. Ce qui change la donne, c’est l’obligation de sécurité de la chaîne d’approvisionnement imposée aux entités régulées — elle transforme une partie des sous-traitants et fournisseurs, quelle que soit leur taille, en cibles d’exigences contractuelles bien avant toute sanction légale.

Source : ANSSI — La directive NIS 2, MonEspaceNIS2 (ANSSI), Directive (UE) 2022/2555, texte consolidé — EUR-Lex, Commission européenne, communiqué IP_26_1499 du 8 juillet 2026 — renvoi de la France devant la CJUE.