Mission NIS 2 · PME, ETI et collectivités
Mission NIS 2 pour PME : qualifiez votre statut, auditez-vous sur le référentiel de l’ANSSI, prouvez votre conformité
NIS 2 fait entrer dans la régulation cyber environ 15 000 entités françaises qui n’y étaient pas, des PME industrielles aux collectivités. La loi de transposition est encore en débat, mais l’ANSSI a déjà publié son référentiel et ouvert les inscriptions. Nous déterminons si vous êtes concerné, mesurons vos écarts objectif par objectif et vous remettons un plan de mesures réaliste, avec la documentation à présenter à l’ANSSI, à vos clients ou à votre assureur.
À partir de 2 250 € HT · Intervention sur site ou à distance, France et Suisse
Où en est NIS 2 en France
La loi se fait attendre, les obligations n’attendent pas
Octobre 2024 · échéance manquée
La directive devait être transposée au plus tard le 17 octobre 2024. Le projet de loi Résilience, qui transpose NIS 2, est déposé au Sénat le 15 octobre 2024 et adopté en première lecture le 12 mars 2025.
Novembre 2025 · pré-enregistrement
L’ANSSI ouvre MonEspaceNIS2, où les futures entités essentielles et importantes peuvent s’enregistrer sans attendre la loi.
Mars 2026 · le référentiel
L’ANSSI publie le Référentiel Cyber France (ReCyF) : vingt objectifs de sécurité, quinze communs et cinq réservés aux entités essentielles, avec les moyens acceptables de conformité. C’est la base des futurs contrôles.
Automne 2026 · loi toujours en débat
Le texte n’a pas été inscrit à la session de juillet 2026 ; la Commission européenne a saisi la Cour de justice le 8 juillet 2026 pour défaut de transposition. L’ANSSI annonce viser une conformité complète des entités fin 2028.
Les entreprises qui attendent la promulgation pour commencer auront deux ans pour rattraper ce que l’ANSSI, leurs clients et leurs assureurs demandent déjà. Celles qui démarrent maintenant choisissent leur rythme.
Êtes-vous concerné
Qui NIS 2 oblige, et à quoi
Qui est soumis
Dix-huit secteurs, de l’énergie et de la santé au numérique, à l’agroalimentaire, à la gestion des déchets, à l’industrie manufacturière et à l’administration publique. Le seuil de taille, 50 salariés ou 10 millions d’euros de chiffre d’affaires, y fait entrer beaucoup de PME ; certains services numériques sont concernés sans seuil, et les collectivités le sont par la transposition française.
Ce que la directive exige
Une analyse des risques, des mesures de sécurité proportionnées (authentification, sauvegardes, chiffrement, gestion des accès), une procédure de gestion des incidents avec alerte sous 24 heures et notification sous 72 heures, la sécurité de la chaîne d’approvisionnement, et la formation de l’organe de direction, qui approuve les mesures et répond de leur application.
Ce que vous risquez
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes, des injonctions et, pour les dirigeants, une mise en cause personnelle. Au-delà de l’amende, une cyberattaque coûte en moyenne 59 000 € à une PME, hors perte d’exploitation.
La mission
Trois étapes, du statut au plan de mesures
Qualification et sensibilisation
Nous déterminons votre statut au regard des secteurs, des seuils et de votre place dans la chaîne d’approvisionnement, et nous le documentons. Une session de sensibilisation pour la direction et les référents pose les enjeux, les obligations et les responsabilités de chacun.
Audit sur le référentiel ANSSI
Entretiens avec la direction, l’informatique et les métiers, revue de vos contrats et de vos prestataires, puis évaluation de chacun des vingt objectifs du ReCyF : ce qui est en place, ce qui manque, ce qui est partiellement couvert.
Livrables et accompagnement
Rapport d’audit, plan de mesures priorisé par risque et par effort, procédure de notification des incidents, politique de sécurité et dossier de preuves. Nous restons disponibles pour la mise en œuvre et pour vos échanges avec l’ANSSI, vos clients et votre assureur.
Pour qui
PME industrielles et agroalimentaires sous-traitantes d’un donneur d’ordre, éditeurs et prestataires numériques (hébergeurs, SaaS, infogérants), collectivités et établissements publics, structures de santé et du médico-social. Dans tous les cas, nous articulons NIS 2 avec votre conformité RGPD, parce que les deux textes se recoupent sur la sécurité, les incidents et les sous-traitants.
Tarif
À partir de 2 250 € HT, sur devis selon votre taille, le nombre de sites et votre statut. Prix ferme annoncé avant de commencer. Si vous souhaitez un suivi dans la durée, la mission de DPO externalisé peut intégrer le suivi NIS 2 et les audits de suivi.
Votre interlocuteur
Un DPO qui travaille la sécurité depuis l’ISO 27001
Thomas Blanc, fondateur de donnees.net, exerce comme délégué à la protection des données depuis 2018 et accompagne plus de 200 structures en France et en Suisse. Ancien responsable qualité ISO 9001 d’un groupe de 500 collaborateurs, il intervient aussi auprès de PME sur l’ISO 27001, ce qui lui permet d’articuler NIS 2, RGPD et sécurité de l’information dans une seule démarche plutôt qu’en trois dossiers parallèles.
Sa méthode privilégie des mesures que vos équipes peuvent réellement tenir, classées par risque et par effort, et une documentation que vous pouvez présenter telle quelle.
Questions fréquentes
Ce que les dirigeants nous demandent sur NIS 2
La loi NIS 2 est-elle déjà applicable en France ?
Pas encore pour les entreprises privées. La directive devait être transposée avant le 17 octobre 2024 ; le projet de loi Résilience a été adopté par le Sénat en mars 2025 mais n’était toujours pas promulgué à l’automne 2026, et la Commission européenne a saisi la Cour de justice en juillet 2026. L’ANSSI a néanmoins publié son référentiel en mars 2026 et ouvert le pré-enregistrement des entités : les obligations arrivent, et l’agence vise une conformité complète fin 2028.
Comment savoir si mon entreprise est une entité essentielle ou importante ?
Trois critères se combinent : votre secteur d’activité (18 secteurs listés par la directive), votre taille (en général à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires, avec des exceptions sans seuil pour certains services numériques) et votre rôle dans la chaîne d’approvisionnement. Le premier temps de notre mission consiste précisément à qualifier votre statut et à le documenter.
Que contient le référentiel ReCyF de l’ANSSI ?
Vingt objectifs de sécurité répartis en quatre piliers, gouvernance, protection, défense et résilience : quinze objectifs communs aux entités importantes et essentielles, cinq réservés aux entités essentielles, chacun assorti de moyens acceptables de conformité. Nous auditons votre organisation objectif par objectif.
Quelles sont les sanctions prévues ?
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes, auxquels s’ajoutent des injonctions et la responsabilité personnelle des dirigeants, qui doivent approuver les mesures et suivre une formation. La loi française reprend ces plafonds.
Une PME sous-traitante d’un grand groupe est-elle concernée ?
Souvent, même lorsqu’elle est hors du champ direct : les entités régulées doivent sécuriser leur chaîne d’approvisionnement et répercutent leurs exigences dans les contrats et les questionnaires fournisseurs. Notre mission vous permet de répondre à ces questionnaires avec un dossier documenté.
Comment NIS 2 s’articule-t-elle avec le RGPD ?
Les deux textes se recoupent sur la sécurité, la gestion des incidents et les sous-traitants, et les violations de données devront souvent être notifiées à la fois à l’ANSSI et à la CNIL. Nous articulons les deux dans une même documentation, et la mission de DPO externalisé peut intégrer le suivi NIS 2.
Combien de temps dure la mission et à quel prix ?
Le cadrage tient dans un échange de 30 minutes ; la durée de l’audit dépend de votre taille, de votre statut et du nombre de sites, et elle est fixée dans le devis. La mission démarre à 2 250 € HT, sur devis annoncé avant toute intervention.
Parlons de votre situation
Un échange de 30 minutes pour savoir si NIS 2 s’applique à vous
Vous décrivez votre activité, votre taille et vos clients ; nous vous disons si vous êtes dans le champ de la directive, à quel titre, et par quoi commencer. Voir aussi notre audit RGPD et notre checklist ISO 27001 pour PME.
Non contractuel / Mentions
