NIS2 : ce que ça change concrètement pour votre PME

NIS2 (Network and Information Security Directive 2) est la directive européenne qui remplace NIS1 depuis octobre 2024. Elle élargit considérablement le périmètre des entités concernées, durcit les obligations, et instaure des sanctions significatives. Pour beaucoup de PME françaises, c'est la première fois qu'un texte réglementaire les oblige à prendre la cybersécurité au sérieux, non pas parce que c'est une bonne pratique, mais parce que c'est une obligation légale.

Qui est concerné par NIS2 ?

NIS2 distingue deux catégories d'entités : les entités essentielles (EE) et les entités importantes (EI). Les critères sont principalement la taille et le secteur d'activité.

• Entités essentielles : grandes entreprises (250+ salariés ou CA > 50 M€) dans les secteurs critiques, énergie, transport, banque, santé, eau, infrastructure numérique, espace.
• Entités importantes : entreprises de taille intermédiaire (50-249 salariés ou CA 10-50 M€) dans les mêmes secteurs critiques, plus la poste, la gestion des déchets, la fabrication de produits critiques, les services numériques.
• Des entités plus petites peuvent également être concernées si elles sont considérées comme critiques par l'État membre, ou si elles font partie de la chaîne d'approvisionnement d'une entité essentielle.

En France, l'ANSSI pilote la mise en œuvre. Si vous n'êtes pas certain de votre statut, le premier réflexe est de vérifier votre secteur dans l'annexe de la directive et de contacter l'ANSSI ou un conseil spécialisé.

Ce que NIS2 exige concrètement

La directive impose des mesures techniques et organisationnelles proportionnées au risque. Elle n'est pas prescriptive sur les outils, elle exige des résultats. Les obligations couvrent notamment :

• Analyse des risques et politiques de sécurité : cartographier les actifs critiques, identifier les menaces, définir des politiques documentées.
• Gestion des incidents : capacité à détecter, notifier et répondre aux incidents. Notification à l'ANSSI dans les 24 h pour les incidents significatifs, rapport complet sous 72 h.
• Continuité d'activité : plans de sauvegarde, de reprise, de gestion de crise cyber.
• Sécurité de la chaîne d'approvisionnement : évaluation de la sécurité des fournisseurs et prestataires critiques.
• Tests et audits : évaluation régulière de l'efficacité des mesures mises en place, c'est ici que le pentest entre en jeu.
• Formation et sensibilisation : formation régulière du personnel, y compris la direction.

Où le pentest s'inscrit dans NIS2

NIS2 n'impose pas explicitement un pentest annuel. Mais l'obligation de « tests et audits réguliers » pour évaluer l'efficacité des mesures de sécurité est clairement formulée. Un pentest est la réponse la plus directe à cette obligation pour les actifs numériques exposés : applications web, APIs, infrastructure réseau, Active Directory.

Un pentest répond à deux questions NIS2 simultanément : avons-nous des vulnérabilités exploitables ? (identification des risques) et nos mesures de sécurité fonctionnent-elles comme prévu ? (évaluation de l'efficacité). Le rapport de pentest constitue également une preuve documentaire en cas de contrôle.

Ce que NIS2 ne fait pas à votre place

NIS2 fixe un cadre, pas une méthode. La directive ne vous dit pas comment sécuriser votre infrastructure, elle exige que vous démontriez que vous l'avez fait, proportionnellement à votre niveau de risque. Cela signifie que deux entreprises du même secteur avec des profils de risque différents peuvent avoir des réponses NIS2 très différentes.

C'est aussi pourquoi les approches « kit de conformité NIS2 clé en main » vendues par certains prestataires sont risquées : elles cochent des cases documentaires sans traiter les risques réels. Une liste de politiques signées n'est pas de la sécurité. Et lors d'un contrôle ou d'un incident, c'est la réalité technique qui compte.

Comment aborder NIS2 sans se noyer

Pour une PME qui part de zéro, la priorité n'est pas de lire la directive de bout en bout, c'est de faire un état des lieux honnête de sa maturité actuelle. Qu'est-ce qui est exposé sur internet ? Qui a accès à quoi en interne ? Qu'est-ce qui se passe si le système d'information est chiffré pendant 72 heures ?

À partir de ces réponses, on définit un ordre de priorité : corriger les expositions critiques en premier, documenter ensuite, tester régulièrement. NIS2 n'attend pas la perfection, elle attend la preuve d'une démarche structurée et proportionnée au risque réel.

NIS2 n'est pas un exercice de conformité documentaire. C'est une obligation de résultat sur la sécurité réelle. La différence est importante quand un incident arrive.