NIS2 — guide complet pour PME et scale-ups françaises.

Vous êtes concerné si vous opérez dans l'un des 18 secteurs annexés à la directive (énergie, transport, banque, santé, eau, infrastructure numérique, services TIC, gestion des déchets, services postaux, alimentation, fabrication, etc.) ET dépassez les seuils PME (50 salariés ou 10 M€ de CA). Catégories : entités essentielles (EE) ou importantes (EI). En France, l'enregistrement auprès de l'ANSSI est en cours depuis 2025.

Trois jalons : alerte précoce dans les 24 heures, notification d'incident dans les 72 heures (description, gravité, mesures immédiates), rapport final dans le mois. Notifications adressées au CSIRT national (en France, le CERT-FR) et à l'ANSSI pour les EE/EI. Tout incident significatif doit être déclaré, y compris ceux liés aux prestataires.

Article 21 — 10 mesures minimales : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, MFA, formation, contrôles d'accès, gestion des actifs, divulgation coordonnée des vulnérabilités. Les organes de direction sont personnellement responsables et doivent être formés à la cybersécurité.

Pour les entités essentielles : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial. Pour les entités importantes : jusqu'à 7 millions d'euros ou 1,4% du chiffre d'affaires mondial. Les dirigeants peuvent être personnellement sanctionnés (suspension de fonctions). En France, l'ANSSI dispose d'un pouvoir d'inspection et d'injonction.

Non, mais elle facilite considérablement. ISO 27001:2022 couvre environ 70% des exigences de l'article 21 NIS2. Une organisation déjà certifiée ISO 27001 a déjà une bonne partie du chemin parcouru. Les ajouts spécifiques NIS2 : notification d'incident réglementée (24h/72h/1 mois), responsabilité personnelle des dirigeants, gestion explicite de la chaîne d'approvisionnement TIC.

DORA est lex specialis sur le secteur financier (Article 1 DORA). Pour les entités financières, DORA prime sur NIS2. Mais les obligations sont en grande partie convergentes (gestion du risque TIC, notification d'incident, supply chain). Une approche pooled DORA/NIS2 économise 30-40% vs deux démarches séparées.