Il y a encore peu, la cybersécurité relevait surtout des grands groupes ou des secteurs stratégiques. Aujourd’hui, avec l’entrée en vigueur de la directive NIS2, des dizaines de milliers de PME se retrouvent dans le viseur réglementaire. Ce n’est plus seulement une affaire de ministères ou de fournisseurs d’énergie : votre entreprise, même modeste, peut désormais être concernée. Et ce changement de paradigme exige une réponse claire, pragmatique, sans jargon inutile.
Diagnostic et analyse d'écarts : la première pierre de votre conformité
Identifier son périmètre d'assujettissement
La première étape, cruciale, consiste à déterminer si votre entreprise est classée comme Entité Essentielle (EE) ou Entité Importante (EI). Avec 18 secteurs d’activité concernés - allant de la santé aux fabricants de matériel médical, en passant par les services numériques ou les infrastructures énergétiques -, beaucoup de dirigeants sous-estiment leur exposition. Un diagnostic d’éligibilité, souvent mené en 2 à 4 semaines, permet de lever ce doute. Il s’agit de croiser taille de l’entreprise, secteur d’activité et seuils réglementaires pour savoir si l’on entre dans le périmètre NIS2.
Pour franchir sereinement chaque étape réglementaire, bénéficier d'un accompagnement à la conformité NIS2 pour les PME permet de sécuriser son infrastructure sans alourdir inutilement ses processus internes.
| 🔎 Catégorie | 💰 Sanction max | ⚖️ % du CA mondial | 📋 Obligations clés |
|---|---|---|---|
| Entité Essentielle (EE) | 10 millions € | 2 % | Notification sous 24h, audit technique, MFA obligatoire |
| Entité Importante (EI) | 7 millions € | 1,4 % | Gestion des risques, formation, sauvegardes |
Le plan d'action : déployer les mesures de sécurité prioritaires
La gouvernance et la gestion des risques
Une fois le périmètre clarifié, vient la mise en œuvre des 10 mesures obligatoires définies à l’Article 21 de la directive. La première, fondamentale, est la politique de gestion des risques. Elle n’est pas un simple document : elle doit être vivante, révisée régulièrement, et intégrée dans la culture de l’entreprise. Elle s’accompagne d’une formation obligatoire des dirigeants, souvent négligée, alors que les décideurs sont des cibles privilégiées du phishing.
Sécuriser les accès et les terminaux
Sur le terrain technique, deux leviers sont non négociables. D’abord, l’authentification multifacteur (MFA), qui doit être déployée sur tous les accès critiques. Ensuite, la protection des postes de travail via des solutions EDR (Endpoint Detection and Response), capables de détecter, contenir et remonter les alertes en temps réel. Ces outils forment un maillage sécuritaire efficace, même dans des structures sans RSSI interne.
Continuité d'activité et gestion des incidents
La conformité NIS2 impose aussi une continuité d’activité testée et validée. Cela inclut des sauvegardes régulières, isolées du réseau principal, et des procédures de remise en service rapides. En cas d’incident majeur, la notification à l’ANSSI est impérative : alerte initiale sous 24 heures, puis rapport intermédiaire sous 72 heures, et enfin un bilan complet sous un mois. Mine de rien, cette obligation change la donne : il faut être prêt avant que le pire n’arrive.
- 🔐 Politique de gestion des risques
- 🛡️ Gestion des incidents et notification
- 🔄 Continuité d’activité
- 📦 Sécurité de la chaîne d’approvisionnement
- 🔑 Authentification multifacteur (MFA)
- 💾 Cryptographie des données sensibles
- 📋 Formation à la cybersécurité
- 📉 Gestion des vulnérabilités
- 🧪 Tests d’intrusion réguliers (pentest)
- 📊 Surveillance des systèmes (SIEM)
Preuves et pérennité : valider sa posture cyber à long terme
L'audit technique et le pentest continu
La conformité, ce n’est pas un état, c’est un processus. Les autorités ne se contenteront pas de bonnes intentions : elles demanderont des preuves. C’est là qu’interviennent les audits techniques et les tests d’intrusion réguliers. Un pentest, bien conçu, ne vise pas à « casser » le système, mais à valider l’efficacité réelle des mesures mises en place. Et contrairement aux idées reçues, il ne doit pas être ponctuel : un rythme annuel, voire semestriel, devient la norme pour les entités critiques.
La surveillance via un SOC externalisé
Pour les PME sans équipe interne dédiée, la surveillance 24/7 via un SOC externalisé est une solution pragmatique. Elle permet de détecter les anomalies en temps réel, de réagir vite face à une menace, et surtout, de produire les logs nécessaires aux audits. Cela ne remplace pas la gouvernance interne, mais cela compense l’absence de compétences sur site.
Adapter la conformité aux évolutions
Enfin, la menace évolue. Le recours croissant à l’IA générative, par exemple, accélère les campagnes de phishing ou les tentatives d’ingénierie sociale. Pourtant, les délais légaux de notification restent fixes. Il faut donc anticiper. Une revue annuelle des politiques, des procédures et des outils est devenue indispensable. La résilience cyber, ce n’est pas d’être invulnérable - c’est de savoir rebondir, et vite.
Les questions standards des clients
Comment le pentest s'intègre-t-il concrètement dans le cycle NIS2 ?
Le pentest sert de validation technique des mesures exigées par l’Article 21. Il prouve que les défenses fonctionnent réellement, et non sur le papier. Il est particulièrement utile avant un contrôle ANSSI, pour identifier les points faibles restants.
Quelle est la différence majeure entre NIS2 et l'ISO 27001 pour mon SI ?
La NIS2 est une obligation légale imposée par l’État, avec des sanctions en cas de non-respect. L’ISO 27001 est une certification volontaire, souvent complémentaire, qui peut couvrir 5 à 6 des 10 mesures NIS2, réduisant ainsi l’effort de conformité.
L'IA générative change-t-elle les exigences de reporting des incidents ?
L’IA accélère la vitesse et la sophistication des attaques, mais les obligations de reporting restent inchangées. Une alerte doit toujours être envoyée à l’ANSSI sous 24 heures. La pression est donc plus forte pour détecter et analyser les incidents rapidement.
En cas de sous-traitance informatique, qui est responsable devant l'ANSSI ?
L’entité assujettie reste pleinement responsable de sa chaîne d’approvisionnement. Même externalisée, la sécurité du système d’information doit être contrôlée, avec des clauses contractuelles claires et des audits réguliers du prestataire.
Combien de temps faut-il prévoir pour être réellement 'prêt' avant un contrôle ?
Le cycle complet de conformité prend généralement entre 12 et 18 mois, selon la maturité initiale du système d’information. Le diagnostic initial dure 2 à 4 semaines, suivi d’un plan d’action sur 6 à 12 mois, puis une phase de déploiement et de validation.