NIS2 : êtes-vous concerné sans le savoir ?
Des milliers de PME françaises découvrent qu'elles entrent dans le champ de la directive NIS2, souvent parce qu'elles sont sous-traitantes d'un secteur critique. Seuils, obligations, responsabilité des dirigeants : vous repartez avec un pré-diagnostic clair et une mise au niveau de ce qui relève du digital.
NIS2 en clair : seuils, obligations, sanctions
La directive européenne NIS2 étend largement les obligations de cybersécurité : 18 secteurs concernés, des seuils qui descendent à 50 salariés ou 10 millions d'euros de chiffre d'affaires, des sanctions jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles (7 millions ou 1,4 % pour les entités importantes). Nouveauté qui change la place du sujet : la directive prévoit que la responsabilité des dirigeants puisse être engagée, jusqu'à une interdiction temporaire d'exercer pour les entités essentielles. Dix-huit secteurs, dont transport, agroalimentaire, chimie, gestion des déchets, services numériques, fabrication : la liste ressemble trait pour trait au tissu économique du Haut-Rhin. La loi française de transposition fixe le calendrier ; les obligations de fond sont connues depuis 2022. Et l'effet chaîne d'approvisionnement fait entrer dans le champ des sous-traitants qui ne s'y attendaient pas. Peut-être vous.
Le cas typique alsacien : le sous-traitant industriel
Vous usinez pour l'automobile, la chimie, l'énergie ou la santé ? Votre donneur d'ordres, lui, est très probablement une entité essentielle ou importante au sens NIS2, et il va répercuter ses exigences sur sa chaîne de fournisseurs, comme les assureurs cyber le font déjà (MFA exigée, sauvegardes testées, plan de réponse). C'est le même socle que l'offre cybersécurité web. La question devient donc : que va exiger mon client principal, et quand ? Le scénario fréquent chez les sous-traitants industriels du Haut-Rhin : le questionnaire de conformité qui tombe à quelques semaines d'un renouvellement de contrat, rempli de questions qui supposent des mesures en place depuis des mois. Ce jour-là, vous répondez avec les faits et vous montrez un plan ; un plan commencé six mois plus tôt se montre mieux.
Vous avez déjà fait le RGPD : une partie se recycle, le reste est un autre chantier
La confusion est fréquente, et compréhensible : deux textes européens, des sigles partout, le même mot « conformité ». Le RGPD protège vos données. NIS2 protège votre production : la continuité de vos services, de vos lignes, de vos livraisons. Concrètement, votre registre de traitements ne remplace pas une analyse de risques cyber, et votre DPO (que NIS2 n'impose d'ailleurs pas ; c'est une exigence du RGPD) ne suffit pas à porter la gouvernance attendue. Ce qui se recycle : la culture de la conformité, la gestion des accès, la sensibilisation déjà engagée. Ce qui s'ajoute : la gestion des risques formalisée au niveau direction, la sécurité de la chaîne d'approvisionnement, la journalisation et les tableaux de bord qui prouvent que les mesures tournent, et un régime de notification d'incident très cadré (alerte précoce à l'ANSSI sous 24 h, notification sous 72 h, rapport final sous un mois). Ces trois échéances se tiennent avec un plan de réponse écrit avant l'incident : qui appelle qui, qui décide quoi, où sont les sauvegardes. Si l'incident touche votre site, le premier réflexe est déjà documenté sur la page site piraté : que faire.
Ce que vous confiez ici, et ce qui relève d'un cabinet
Le pré-diagnostic vous donne, en langage de dirigeant, la carte de ce qui vous concerne et le chemin le plus court pour être présentable devant un donneur d'ordres ou un assureur. L'audit certifiant et le conseil juridique restent des métiers à part, nommés dès le premier échange.
- Pré-diagnostic clair : êtes-vous dans le champ (directement ou par vos clients), et qu'est-ce qui manque, avec le simulateur officiel ANSSI comme point de départ
- Mise au niveau du périmètre digital : sites et plateformes durcis, MFA, sauvegardes 3-2-1 testées, journalisation, gestion des accès, y compris la récupération des accès détenus par un prestataire injoignable
- Sensibilisation des équipes : exigée par la directive, et de toute façon votre meilleur investissement
- Dossier de preuves constitué au fil de la mission : ce que votre donneur d'ordres ou votre assureur demandera, prêt avant qu'il le demande
- Orientation pour le reste : conformité organisationnelle complète, audit certifiant, réponse à incident. Vous êtes mis en relation avec les spécialistes, notamment via l'écosystème présenté sur la page cybersécurité à Mulhouse et Sud Alsace ; la feuille de route digitale replace ces chantiers dans votre calendrier global
Un principe transverse : le dossier de preuves, les procédures et les accès constitués pendant la mission sont à votre nom dès le premier jour, et ces engagements figurent dans le contrat que vous signez. Le jour où vous internalisez ou changez de partenaire, tout part avec vous. Comme la conformité vit dans le temps, le dossier se met à jour au fil des exigences : un questionnaire reçu, une réponse déjà prête.
La conformité qui
rassure vos clients.
NIS2, RGPD, DPO :
ce qui vous concerne.
Vous l'êtes probablement si vous dépassez 50 salariés ou 10 M€ de chiffre d'affaires dans l'un des 18 secteurs visés, mais aussi, indirectement, si vous êtes sous-traitant d'une entité essentielle : vos donneurs d'ordres répercuteront leurs exigences. Le simulateur officiel de l'ANSSI donne une première réponse en quelques minutes ; le pré-diagnostic la traduit en plan d'action, et si votre digital dans son ensemble mérite une remise à plat, l'audit digital 360 l'englobe.
Des sanctions jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles (7 M€ ou 1,4 % pour les entités importantes), et la directive prévoit que la responsabilité des dirigeants puisse être engagée en cas de manquement aux obligations de gouvernance, jusqu'à une interdiction temporaire d'exercer pour les entités essentielles. C'est le changement de fond de NIS2 : la cybersécurité devient un sujet de comité de direction. L'obligation de formation des dirigeants se remplit avec une session de sensibilisation qui inclut la direction.
Par ce qui sert doublement : MFA généralisée, sauvegardes 3-2-1 testées, gestion propre des accès, sensibilisation des équipes, journalisation. Ces mesures sont exigées par NIS2 et par votre assureur cyber : les faire d'abord, c'est avancer sur les deux fronts au prix d'un seul. Le détail technique est sur la page sécurisation de site web et cybersécurité PME.
Non : la conformité organisationnelle complète et l'audit certifiant relèvent de cabinets spécialisés, que vous connaîtrez avec leur budget. Vous confiez ici le périmètre digital (sites, plateformes, accès, sauvegardes, formation) et vous êtes orienté vers les bons acteurs pour le reste, notamment via l'écosystème du Pôle cyber m2A Sud Alsace présenté sur la page cybersécurité à Mulhouse.
Non : le DPO (délégué à la protection des données) est une exigence du RGPD et non de NIS2. Ce que NIS2 demande, c'est une gouvernance de la cybersécurité portée par la direction : gestion des risques, formation des dirigeants, mesures techniques et organisationnelles. Votre DPO peut y contribuer, mais son mandat, les données personnelles, ne couvre pas la continuité des services, qui est le centre de NIS2. La même logique de gouvernance vaut pour l'IA : voir la charte d'usage de l'IA.
Trois échéances : une alerte précoce à l'ANSSI sous 24 h, une notification détaillée sous 72 h, puis un rapport final sous un mois. À ne pas confondre avec les 72 h de notification CNIL du RGPD, qui ne concernent que les données personnelles ; un même incident peut déclencher les deux. Ces délais se tiennent avec un plan de réponse écrit avant l'incident, et si le site est la porte d'entrée, la page site piraté : que faire donne les premiers gestes.
Le pré-diagnostic est compris dans le premier appel, gratuit, de trente minutes. La mise au niveau du périmètre digital (MFA, sauvegardes testées, journalisation, durcissement des sites) se situe généralement entre 1 500 et 5 000 € selon l'état initial. La conformité organisationnelle complète et l'audit certifiant relèvent de cabinets spécialisés, nommés avec leur budget à part. Si un ancien prestataire détient encore vos accès, leur récupération auprès d'un prestataire injoignable précède la mise au niveau.
Vos clients vont exiger.
Soyez prêt avant eux.
Pré-diagnostic au premier échange (gratuit, trente minutes) : êtes-vous dans le champ, qu'exigeront vos donneurs d'ordres, et que mettre au niveau en premier. Plan d'action chiffré sous cinq jours.
hello@s-media.fr · Mulhouse, 68100 · Ce qui relève d'un autre acteur vous est nommé, avec son budget