NIS 2 est une directive européenne qui étend fortement les obligations de cybersécurité des entreprises et des administrations. On en entend beaucoup parler, parfois pour vendre des prestations de « mise en conformité » urgentes. Où en est-on vraiment en France, qui est concerné, et que doit faire une PME de Nice, de Sophia Antipolis ou de Carros ? Voici l'état des lieux au début du mois de novembre 2026, sources officielles à l'appui.
NIS 2 en quelques mots
La directive (UE) 2022/2555, dite NIS 2, a été adoptée fin 2022. Elle remplace une première directive de 2016, au champ beaucoup plus restreint. Les États membres devaient la transposer dans leur droit national au plus tard le 17 octobre 2024.
Son principe : les organisations qui rendent des services importants pour l'économie et la société doivent gérer leurs risques de cybersécurité, appliquer un socle de mesures de sécurité et signaler leurs incidents importants à l'autorité nationale, en France l'ANSSI. La direction de l'entreprise est directement impliquée dans ces décisions.
D'après l'ANSSI, plusieurs milliers d'entités seront concernées en France, principalement des moyennes et grandes entreprises, ainsi que des collectivités et des administrations.
Qui est concerné ?
Deux critères se combinent : le secteur d'activité et la taille. La directive couvre 18 secteurs, dont 11 dits hautement critiques (énergie, transports, banque, santé, eau, infrastructures numériques, administration…) et 7 autres secteurs critiques (services postaux, gestion des déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs numériques, recherche).
Dans ces secteurs, l'ANSSI distingue deux catégories, avec des obligations proportionnées.
- Entités essentielles : au moins 250 personnes, ou un chiffre d'affaires annuel supérieur à 50 millions d'euros et un bilan supérieur à 43 millions d'euros.
- Entités importantes : au moins 50 personnes, ou un chiffre d'affaires ou un bilan annuel supérieur à 10 millions d'euros.
- Quelques activités sont concernées quelle que soit leur taille, par exemple certains prestataires de services de confiance, fournisseurs DNS, registres de noms de domaine ou fournisseurs de communications électroniques.
Où en est la loi française en novembre 2026 ?
En France, NIS 2 doit être transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi « Résilience », qui transpose aussi deux autres textes européens. Il a été déposé au Sénat le 15 octobre 2024 et adopté par le Sénat le 12 mars 2025. À l'Assemblée nationale, une commission spéciale a adopté son texte le 10 septembre 2025.
Au début du mois de novembre 2026, à notre connaissance, le texte n'est ni définitivement adopté, ni promulgué, et aucun décret d'application n'est publié. Il restera ensuite à fixer, par décret, les obligations précises et les délais.
La France a dépassé la date limite de transposition fixée par l'Union européenne. Ce calendrier peut évoluer rapidement : le dossier législatif de l'Assemblée nationale et le site de l'ANSSI font foi.
Ce que cela change pour une PME fournisseur
C'est le point qui touche le plus de PME des Alpes-Maritimes. Même si votre entreprise n'est pas visée, vos clients peuvent l'être : une clinique, un transporteur, un industriel de la plaine du Var, une collectivité, un éditeur de logiciels de Sophia Antipolis.
Le référentiel de l'ANSSI demande aux entités concernées de recenser leurs prestataires et fournisseurs informatiques, de s'assurer par contrat qu'ils respectent des exigences de sécurité, notamment sur la gestion des risques et le signalement des incidents, et de le vérifier périodiquement, éventuellement par un audit. Les services confiés à l'extérieur doivent aussi être pris en compte dans les plans de continuité.
- Des questionnaires de sécurité à remplir lors d'un appel d'offres ou d'un renouvellement de contrat.
- Des clauses contractuelles nouvelles : délai pour signaler un incident, mesures de sécurité minimales, droit d'audit.
- Des demandes de preuves : double authentification, sauvegardes, mises à jour, gestion des accès des anciens salariés.
Comment se préparer sans attendre ni s'affoler
Que vous soyez concerné ou simplement fournisseur, les mesures attendues recoupent les bonnes pratiques de base. Les mettre en place protège d'abord votre entreprise, et vous permettra de répondre sereinement aux questionnaires de vos clients.
- Vérifier votre situation avec le simulateur de l'ANSSI, et repérer ceux de vos clients qui pourraient être concernés.
- Faire l'inventaire de vos équipements, de vos comptes et de vos prestataires informatiques.
- Activer la double authentification partout, à commencer par la messagerie et les accès à distance.
- Mettre en place des sauvegardes avec une copie hors ligne, et tester une restauration.
- Écrire une procédure simple en cas d'incident : qui prévenir, en combien de temps, et comment.
- Garder une trace de ce qui est fait : c'est ce que vos clients vous demanderont de montrer.
Ce que LAN & WAN peut faire pour vous
Depuis Carros, LAN & WAN accompagne les TPE et PME des Alpes-Maritimes et de Monaco sur les mesures concrètes que NIS 2 et les questionnaires des donneurs d'ordre mettent en avant : audit de sécurité et plan d'action priorisé, sécurisation de Microsoft 365, pare-feu et VPN, sauvegardes supervisées Safebox, coffre de mots de passe KeyBox, supervision des serveurs et des NAS, surveillance de la messagerie avec Shield 365 et sensibilisation des équipes. Nous pouvons aussi vous aider à rassembler les éléments pour répondre au questionnaire de sécurité d'un client.
Un client vous a envoyé un questionnaire, ou vous vous demandez si NIS 2 vous concerne ? Appelez-nous au 04 93 20 39 86. Le premier échange est offert.