NIS 2 et PME : intégrer la conformité au projet digital

Une PME intègre NIS 2 à sa transformation digitale en traitant la sécurité comme une brique du projet, dès le cahier des charges. Cartographie des actifs, exigences posées aux fournisseurs cloud et SaaS, sponsor de direction, budget protégé et indicateurs de suivi : ce sont les mêmes décisions que le projet numérique, prises une seule fois.

NIS 2 dans une PME : le périmètre en deux phrases

La directive (UE) 2022/2555, dite NIS 2, s’applique aux organisations de dix-huit secteurs listés, à partir d’une certaine taille. D’après l’ANSSI, le seuil d’une entité importante commence à 50 personnes, ou à un chiffre d’affaires et un bilan annuels supérieurs à 10 millions d’euros.

Le périmètre réel d’une PME dépasse pourtant ce seuil. Les entités assujetties doivent sécuriser leur chaîne d’approvisionnement, et leurs fournisseurs voient remonter des exigences par contrat. Une entreprise de trente personnes qui développe un logiciel, héberge des données ou maintient le système d’un client assujetti vit donc NIS 2 par ricochet.

Cet article ne revient ni sur la définition de la transformation digitale ni sur ses étapes, déjà détaillées dans notre guide pour réussir sa transformation digitale. Il parle d’une seule chose : la sécurité et la conformité à l’intérieur de ce projet.

Le bon moment : avant le cahier des charges

Une feuille de route numérique se construit en choisissant des outils, des prestataires et un calendrier. Chacun de ces choix engage la sécurité pour des années. Un logiciel de gestion retenu sans authentification forte, un contrat SaaS signé sans clause de réversibilité ou une migration qui duplique les données sans inventaire créent une dette que la conformité devra rembourser plus tard, au prix fort.

La directive raisonne en objectifs de résultat, pas en liste d’équipements. Elle attend des mesures proportionnées au risque, documentées et révisées. C’est précisément la logique d’un projet bien conduit : un besoin exprimé, une solution choisie en connaissance de cause, une recette, un suivi.

Le terrain donne raison à cette approche. Parmi les causes d’échec que nous avons relevées dans les projets de transformation numérique qui échouent, la sécurité traitée en fin de parcours revient souvent sous une autre forme : un déploiement bloqué par un audit client, une mise en production retardée par une faille découverte à la recette.

Qui porte le sujet, et quand se faire accompagner

Une conformité sans propriétaire n’avance pas. La gouvernance cybersécurité d’une PME tient en deux rôles : un sponsor à la direction, qui arbitre et rend compte, et un référent opérationnel, qui tient le dossier au quotidien. NIS 2 renforce ce schéma, puisqu’elle prévoit que les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et suivent une formation.

Le référent n’a pas besoin d’être un expert. Il a besoin de temps, d’un accès direct au dirigeant et d’une méthode. Dans les PME sans responsable sécurité, trois situations justifient de faire intervenir un regard extérieur : l’incertitude sur l’assujettissement de l’entreprise ou de ses clients, la préparation d’une migration importante vers le cloud, et la réponse à un questionnaire de sécurité exigeant d’un grand compte.

Dans ces cas, un accompagnement nis2 externe fait gagner du temps : diagnostic de l’existant, mesure des écarts, puis intégration des chantiers de sécurité dans la feuille de route au lieu d’un plan parallèle que personne ne suit. Le bon prestataire laisse derrière lui des documents que l’équipe interne sait faire vivre, pas une dépendance. Les critères pour choisir un conseil en transformation, présentés dans notre article pourquoi faire appel à un conseil en transformation digitale, valent aussi ici : périmètre écrit, livrables nommés, transfert de compétences prévu.

Cartographier les actifs et les flux avant de migrer

Une migration est le seul moment où une PME a toutes ses données sous les yeux. C’est l’occasion d’en dresser l’inventaire, que la directive suppose à travers la gestion des actifs et l’analyse des risques.

Les actifs

Recensez ce qui a de la valeur ou dont l’arrêt bloquerait l’activité : applications métier, bases clients, outils de facturation, messagerie, postes de travail, équipements réseau, comptes d’administration. Pour chaque actif, notez son propriétaire interne, l’endroit où il est hébergé et le prestataire qui l’opère.

Les flux de données

Dessinez ensuite les circulations : quelles données sortent de l’entreprise, vers quel outil, par quel connecteur, avec quel compte. Les automatisations ajoutées au fil des années, un export nocturne vers un tableur partagé, une synchronisation entre CRM et outil d’emailing, sont souvent les flux les moins protégés.

Les comptes et les accès

Terminez par les identités. Comptes nominatifs ou partagés, droits d’administration, accès des anciens salariés et des prestataires, comptes de service utilisés par les intégrations : ce recensement alimente directement l’une des mesures listées par la directive, le contrôle des accès, et prépare le déploiement de l’authentification multifacteur sur les outils exposés.

Cloud, SaaS, infogérance : les clauses à exiger

La transformation digitale d’une PME passe presque toujours par des services externalisés. NIS 2 place la sécurité de la chaîne d’approvisionnement parmi ses mesures minimales : la dépendance aux fournisseurs devient un risque à piloter, contrat par contrat.

Avant de signer ou de renouveler, vérifiez que le contrat couvre au moins ces points :

• la notification sans délai de tout incident touchant vos données ou le service ;
• la localisation des données et des sauvegardes, et les éventuels transferts hors de l’Union européenne ;
• la réversibilité, avec un format d’export exploitable et une durée d’assistance à la sortie ;
• la gestion des accès du prestataire, nominatifs, tracés et révocables ;
• l’encadrement de la sous-traitance, avec information préalable en cas de changement ;
• le droit d’obtenir des preuves de sécurité, rapport d’audit ou attestation.

Pour les données les plus sensibles, l’ANSSI délivre une qualification, SecNumCloud, aux offres qui respectent son référentiel d’exigences. Elle ne s’impose pas à toutes les entreprises, mais elle fournit un point de comparaison solide quand vous hésitez entre plusieurs hébergeurs.

Les outils marketing ne font pas exception. Une plateforme d’envoi de SMS ou d’emails manipule vos fichiers clients : les règles de conformité des campagnes marketing par SMS et email et les exigences de sécurité se vérifient au même moment, dans le même contrat.

Une gestion des risques à la mesure d’une PME

La directive retient une approche « tous risques » : la cyberattaque, mais aussi l’incendie, la panne électrique ou l’erreur humaine qui priverait l’entreprise de ses systèmes. La gestion des risques consiste à identifier les scénarios les plus probables et les plus graves, puis à choisir pour chacun une mesure, un transfert vers l’assurance ou une acceptation assumée par la direction.

L’ANSSI met à disposition la méthode EBIOS Risk Manager pour conduire cette analyse. Une PME n’a pas besoin d’en appliquer toute la profondeur. Un registre de quinze à vingt scénarios, classés par gravité et par vraisemblance, suffit à orienter les investissements du projet numérique. Il se relit à chaque évolution majeure : nouvel outil, nouveau site, nouveau client exigeant.

Deux scénarios reviennent dans presque toutes les PME. Le premier est le rançongiciel qui chiffre les serveurs et les sauvegardes accessibles depuis le réseau. Le second est la compromission d’une messagerie, qui sert ensuite à détourner un virement en usurpant un fournisseur. Les réponses sont connues, sauvegardes isolées et testées, authentification renforcée, procédure de contre-appel avant tout changement de coordonnées bancaires, et elles coûtent peu comparées au préjudice.

Prévoir la gestion des incidents dès la conception

Un projet numérique prévoit la mise en production, rarement la panne. NIS 2 oblige pourtant les entités assujetties à organiser la notification des incidents importants en trois temps vers l’autorité nationale : une alerte précoce dans les 24 heures qui suivent la prise de connaissance, une notification dans les 72 heures avec une première évaluation, puis un rapport final au plus tard un mois après.

Ces délais ne se tiennent que si le projet a prévu les moyens de savoir ce qui s’est passé. Trois exigences se posent au moment de concevoir les outils, pas après :

• conserver des journaux d’événements sur les applications et les accès sensibles, avec une durée de rétention définie ;
• obtenir des prestataires cloud et SaaS l’accès à ces journaux, ou leur transmission rapide en cas d’incident ;
• écrire la chaîne d’alerte interne, du collaborateur qui constate au dirigeant qui décide, avec un suppléant pour chaque rôle.

Le règlement général sur la protection des données ajoute son propre circuit. Une violation de données personnelles se notifie à la CNIL dans un délai de 72 heures, par un canal distinct de celui de NIS 2. Une PME qui a cartographié ses flux, comme décrit plus haut, sait en quelques minutes si une fuite touche des données clients ; celle qui ne l’a pas fait perd la première journée à le chercher.

Un exercice de crise d’une demi-journée, organisé quelques semaines après la mise en production, valide l’ensemble. Il révèle presque toujours un numéro de téléphone manquant, un accès administrateur que personne ne retrouve ou une sauvegarde plus ancienne que prévu.

Budget : arbitrer sans sacrifier la sécurité

La sécurité perd souvent l’arbitrage budgétaire parce qu’elle ne produit rien de visible. La parade consiste à ne pas lui donner de ligne séparée qui se rabote en fin d’année, mais à l’intégrer au coût de chaque brique du projet : le logiciel s’achète avec son option d’authentification forte, la migration avec son inventaire, l’hébergement avec ses sauvegardes externalisées.

Les dispositifs de financement de la transformation numérique, présentés dans notre article sur le financement de la transformation numérique, couvrent parfois une part des dépenses de sécurité quand elles s’inscrivent dans un projet plus large. Vérifiez les conditions de chaque dispositif avant de monter le dossier, elles évoluent d’une année sur l’autre.

Reste une règle de priorité simple, défendable devant un comité de direction. D’abord ce qui empêche la perte définitive, sauvegardes et restauration. Ensuite ce qui ferme les portes les plus utilisées, authentification et mises à jour. Enfin ce qui améliore la détection et la réaction, journaux, supervision, exercices.

Les indicateurs à suivre en comité de pilotage

Une conformité se pilote comme le reste du projet, avec quelques indicateurs relus à chaque comité. Six suffisent pour une PME :

• la part des comptes protégés par une authentification multifacteur ;
• le délai moyen de correction des vulnérabilités critiques ;
• la date et le résultat du dernier test de restauration complète ;
• la part des contrats de prestataires critiques qui intègrent les clauses de sécurité ;
• le nombre de personnes formées, direction comprise ;
• le nombre d’incidents et de quasi-incidents relevés sur la période.

Ces indicateurs de sécurité s’ajoutent au tableau de bord du projet, sans en créer un second. Leur tendance compte davantage que leur valeur absolue : une part de comptes protégés qui progresse chaque trimestre raconte une démarche sérieuse, un chiffre isolé ne raconte rien.

Le calendrier réglementaire, et pourquoi il ne change rien au plan

Au moment où cet article est écrit, en septembre 2026, la loi française de transposition de NIS 2 n’est pas promulguée. Adopté par le Sénat en mars 2025 puis par la commission spéciale de l’Assemblée nationale en septembre 2025, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité attend son examen en séance publique. L’ANSSI précise que la directive entrera en vigueur en France une fois la loi, les décrets et les arrêtés promulgués.

L’agence a publié le 17 mars 2026 un document de travail, le Référentiel Cyber France, qui décrit les objectifs de sécurité attendus. Pour une PME en pleine conformité NIS 2 anticipée, ce référentiel donne la grille de lecture qui manquait : les chantiers de la feuille de route peuvent déjà y être rattachés, objectif par objectif.

Prochaine étape : reprendre la feuille de route numérique en cours, ajouter à chaque ligne une colonne « exigence de sécurité » et une colonne « preuve attendue », puis faire valider ces deux colonnes au prochain comité de pilotage.