NIS2 : pourquoi votre TPE peut être concernée sans le savoir

La cybersécurité n'était jusqu'ici une affaire de loi que pour les grandes structures. Cela change. Une directive européenne, NIS2, va concerner directement environ 15 000 entités lors de sa transposition nationale (SFR Business sur la base ANSSI). Vous dirigez une TPE ou une PME et vous pensez passer entre les gouttes parce que vous êtes "trop petit" ? C'est l'erreur de lecture qui va coûter cher cette année. Vos plus gros clients, eux, sont concernés. Et la loi leur demande de sécuriser toute leur chaîne de fournisseurs. Vous compris.

NIS2 : ce que cette directive change vraiment

NIS2 est une directive de l'Union européenne publiée au Journal officiel en décembre 2022 (ANSSI). Son objectif tient en une phrase : forcer des milliers d'organisations à se protéger correctement contre les attaques informatiques, sous peine de sanction.

La directive remplace une première version, NIS1, qui ne visait qu'un cercle restreint d'acteurs critiques. NIS2 élargit ce cercle de façon massive. On passe de quelques centaines d'organisations visées à environ 15 000 entités à l'échelle nationale. Le changement d'échelle est total, et il vise désormais des secteurs qu'on n'associait pas spontanément à la cybersécurité : agroalimentaire, transport, gestion des déchets, fournisseurs de services numériques.

Une directive européenne ne s'applique pas seule. Chaque pays doit la traduire dans son propre droit par une loi. Cette loi de transposition, appelée loi Résilience, est attendue pour l'été 2026, après un examen parlementaire prévu en juillet (AdevWeb). La date limite de mise en conformité complète est fixée à fin 2027, avec une période de transition avant que les sanctions ne tombent. Autrement dit, le calendrier vous laisse encore quelques mois pour vous organiser. C'est court à l'échelle d'une petite structure qui a déjà mille priorités, mais largement suffisant pour bâtir un socle propre si vous vous y prenez maintenant plutôt qu'en catastrophe.

Les seuils sont chiffrés. Une entité essentielle compte au moins 250 salariés, ou réalise plus de 50 millions d'euros de chiffre d'affaires, ou plus de 43 millions d'euros de bilan. Une entité importante se situe entre 50 et 249 salariés, ou entre 10 et 50 millions d'euros de chiffre d'affaires (Orange Cyberdefense). En lisant ces chiffres, la plupart des dirigeants de TPE se rassurent. À tort.

Trop petit pour NIS2 ? Pourquoi le calcul est faux

Voici le piège. NIS2 ne s'arrête pas aux entreprises directement visées. La directive impose à chaque entité essentielle ou importante de gérer les risques liés à sa chaîne d'approvisionnement (ANSSI, directive NIS2). En clair : vos gros clients doivent répondre de la sécurité de leurs fournisseurs. Donc de la vôtre.

Pourquoi cette règle existe ? Parce que la majorité des attaques contre les grandes organisations passent par un sous-traitant mal protégé. Un prestataire avec un mot de passe faible, un logiciel jamais mis à jour, une boîte mail piratée. L'attaquant entre par le petit fournisseur, puis rebondit vers la cible réelle. Le maillon faible, c'est presque toujours le plus petit.

Conséquence concrète : un fabricant, un hôpital, une banque, un opérateur télécom qui tombe sous NIS2 va passer ses fournisseurs au crible. Pas par bonté. Parce que la loi le tient pour responsable de cette chaîne. Vous n'êtes pas assujetti directement, mais vous devenez un risque à documenter pour votre donneur d'ordre. Et un risque non documenté, c'est un fournisseur qu'on remplace.

Pour savoir où vous vous situez, l'État met à disposition un simulateur gratuit. Vous répondez à quelques questions sur votre secteur et votre taille, il vous dit si vous êtes une entité essentielle, importante, ou hors périmètre direct (simulateur officiel MonEspaceNIS2). Faites-le avant toute autre chose. Cinq minutes, et vous savez de quel côté vous jouez.

Les amendes et la responsabilité du dirigeant

Pour les entités directement concernées, les montants donnent le ton. Une entité essentielle risque une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour une entité importante, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial (Factorial).

La nouveauté qui fait bouger les conseils d'administration : la responsabilité personnelle des dirigeants. En cas de manquement, la loi de transposition doit permettre à l'ANSSI de prononcer une interdiction temporaire d'exercer des fonctions de direction (Orange Cyberdefense). La cybersécurité quitte le sous-sol technique. Elle remonte sur le bureau du gérant.

Si vous êtes sous les seuils, ces amendes ne vous visent pas. Mais l'effet en cascade, lui, vous vise. Un grand donneur d'ordre qui risque 2 % de son chiffre d'affaires mondial ne va pas prendre de risque sur un petit prestataire. Il va exiger des garanties. Par écrit.

Ce que vos clients vont vous demander

Concrètement, attendez-vous à trois choses dans les douze prochains mois.

D'abord, un questionnaire de sécurité. Une liste de questions sur vos mots de passe, vos sauvegardes, vos mises à jour, votre gestion des accès. Souvent un fichier de plusieurs dizaines de lignes, à remplir sous quinze jours, glissé dans un renouvellement de contrat.

Ensuite, des clauses contractuelles. Votre client va ajouter à vos contrats des obligations de sécurité, un délai pour le prévenir en cas d'incident, parfois un droit d'audit. Ces clauses ne sont pas négociables de son point de vue : elles découlent de sa propre obligation légale.

Enfin, une référence à un cadre commun. Depuis le 17 mars 2026, l'ANSSI diffuse un référentiel cyber baptisé ReCyF, qui liste les mesures recommandées pour atteindre les objectifs de NIS2 (ANSSI). Ce document n'est pas obligatoire par défaut, mais une entité qui décide de l'appliquer peut s'en prévaloir en cas de contrôle. Vos clients vont s'en servir comme grille de lecture. Autant la connaître avant eux.

La bonne nouvelle : les mesures attendues d'un petit fournisseur restent du bon sens, pas de la haute technologie. L'ANSSI résume l'essentiel dans ses dix règles d'or de sécurité numérique (ANSSI). Mots de passe forts, mises à jour, sauvegardes, vigilance sur les mails. Rien que vous ne puissiez mettre en place sans vous ruiner.

Par où commencer dès maintenant

Vous n'avez pas besoin d'un cabinet à 20 000 euros pour passer le premier filtre. Vous avez besoin d'un socle propre et d'une preuve écrite. Voici la marche à suivre, dans l'ordre.

[ ] 1. Passer le simulateur officiel MonEspaceNIS2 (5 min)
       Savoir si vous etes hors perimetre, importante ou essentielle.

[ ] 2. Lister vos 5 plus gros clients
       Lesquels sont susceptibles d'etre concernes par NIS2 ?
       Ce sont eux qui vont vous envoyer un questionnaire.

[ ] 3. Mettre en place le socle de base
       - Double authentification sur les mails et outils cles
       - Mots de passe uniques via un gestionnaire
       - Sauvegardes automatiques, testees une fois par trimestre
       - Mises a jour activees sur postes et logiciels
       - Acces supprimes pour les anciens salaries et prestataires

[ ] 4. Ecrire une fiche securite d'une page
       Ce que vous faites, qui est responsable, qui contacter
       en cas d'incident. C'est votre reponse type aux questionnaires.

[ ] 5. Designer un referent
       Une personne, en interne ou a distance, qui suit le sujet.
       Pas besoin d'un expert a plein temps, besoin d'un pilote.

Cette liste tient sur une page et se met en place en quelques semaines, par étapes. Elle ne vous rend pas conforme à NIS2 au sens strict, ce qui n'est pas votre obligation si vous êtes sous les seuils. Elle vous rend crédible et documenté face à un donneur d'ordre qui, lui, doit l'être.

La règle Alpha Digital : votre sécurité n'a plus à être parfaite, elle a à être prête et écrite avant que le client la demande. Un socle de base documenté vaut mieux qu'un dispositif sophistiqué que personne ne sait expliquer.

La cybersécurité est passée du statut de coût technique à celui de condition d'accès au marché. Ce n'est pas une mauvaise nouvelle. C'est un terrain où une petite structure organisée peut prendre l'avantage sur un concurrent négligent, à budget égal. Le tout est de s'y mettre avant le questionnaire, pas après.

Vous voulez savoir où vous en êtes et bâtir ce socle sans y passer vos soirées ni exploser votre budget ? Nous faisons le point avec vous lors d'un diagnostic gratuit, puis nous vous laissons une feuille de route claire à suivre à votre rythme : alpha-digital.fr/contact.