Accompagnement NIS 2 PME : 5 erreurs fatales et comment les corriger

La directive NIS 2 a changé d'échelle : là où NIS 1 ne visait qu'une poignée d'opérateurs critiques, le nouveau texte élargit le champ à des milliers d'entités françaises, dont une majorité de PME et d'ETI qui n'avaient jamais eu affaire à une obligation de cybersécurité contraignante. Sur le terrain, la difficulté n'est presque jamais technique. Elle est méthodologique. Les dirigeants que nous accompagnons ne butent pas sur le choix d'un EDR ou d'une solution de sauvegarde : ils butent sur la définition de leur périmètre, sur l'interprétation de l'article 21, sur la capacité à prouver ce qu'ils affirment, et sur un calendrier qu'ils découvrent trop tard. Cet article détaille les cinq erreurs que nous rencontrons systématiquement dans les projets de mise en conformité NIS 2 en PME, avec pour chacune l'origine du problème, ses conséquences concrètes en cas de contrôle, et la manière de la corriger sans mobiliser des moyens de grand groupe. Il s'adresse aux dirigeants, DAF, DSI et responsables qualité qui portent le sujet sans équipe sécurité dédiée.

NIS 2 en 2026 : qui est réellement concerné, et pourquoi les PME se trompent

La directive (UE) 2022/2555, dite NIS 2, structure son champ d'application autour de deux variables : le secteur d'activité et la taille de l'entité. Dix-huit secteurs sont listés, répartis entre secteurs « hautement critiques » (énergie, transports, banque, infrastructures numériques, santé, eau, administration publique, espace) et « autres secteurs critiques » (services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication de dispositifs médicaux, d'équipements électroniques, de machines, de véhicules, fournisseurs numériques, recherche). Le texte complet est consultable sur EUR-Lex.

Sur ces secteurs s'applique ensuite la règle de plafonnement par la taille : sont en principe concernées les entités moyennes (au moins 50 salariés ou plus de 10 M€ de chiffre d'affaires annuel) et grandes (au moins 250 salariés ou plus de 50 M€ de chiffre d'affaires). Les entités des secteurs hautement critiques dépassant les seuils « grande entreprise » relèvent de la catégorie essentielle ; les autres, de la catégorie importante. Cette distinction n'est pas cosmétique : elle détermine le régime de supervision (contrôle proactif pour les essentielles, contrôle a posteriori pour les importantes) et le plafond des sanctions.

C'est précisément là que naît la première méprise. Une PME de 35 salariés se déclare hors périmètre en lisant le seuil des 50 salariés, referme le dossier, et se retrouve six mois plus tard face à un client donneur d'ordre qui exige contractuellement la démonstration de son niveau de sécurité. Le mécanisme est parfaitement prévu par la directive, et il constitue le vrai vecteur de diffusion de NIS 2 dans le tissu économique français.

Ce que l'article 21 impose concrètement à une PME

L'article 21 est le cœur opérationnel du texte. Son paragraphe 1 pose une obligation de moyens proportionnée : les entités doivent prendre des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » au regard du risque encouru, de la taille de l'entité, de la probabilité de survenance des incidents et de leur gravité. Son paragraphe 2 énumère dix mesures minimales que toute entité, quelle que soit sa taille, doit couvrir :

• les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information ;
• la gestion des incidents (détection, qualification, traitement, retour d'expérience) ;
• la continuité des activités : gestion des sauvegardes, reprise après sinistre, gestion de crise ;
• la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs et les prestataires de services ;
• la sécurité de l'acquisition, du développement et de la maintenance des systèmes, dont la gestion des vulnérabilités et leur divulgation ;
• les politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques ;
• les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
• les politiques relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement ;
• la sécurité des ressources humaines, la politique de contrôle d'accès et la gestion des actifs ;
• l'authentification multifacteur ou l'authentification continue, les communications sécurisées et les communications d'urgence sécurisées.

Aucune de ces dix mesures n'est hors de portée d'une PME. Mais chacune suppose une trace écrite, une désignation de responsabilité et une preuve d'exécution. C'est cette triple exigence — écrire, désigner, prouver — qui fait basculer un projet NIS 2 d'un chantier technique vers un chantier de gouvernance. Les cinq erreurs qui suivent découlent toutes, d'une manière ou d'une autre, de sa sous-estimation.

Erreur n°1 : définir un périmètre approximatif ou trop étroit

C'est l'erreur la plus fréquente et la plus coûteuse, parce qu'elle invalide tout le travail qui suit. Elle prend trois formes distinctes.

Le périmètre juridique mal tracé. Une PME appartenant à un groupe raisonne au niveau de sa propre entité alors que la qualification s'apprécie souvent au niveau du groupe consolidé, ou à l'inverse embarque des filiales étrangères qui relèvent d'une autorité nationale différente. Les règles de compétence territoriale de NIS 2 rattachent en principe l'entité à l'État membre où elle est établie, avec des règles spécifiques pour les fournisseurs de services numériques. Une holding française avec deux filiales industrielles et une société de services informatiques peut ainsi avoir trois qualifications différentes.

Le périmètre technique tronqué. Le scope se limite au système d'information « bureautique » et oublie les environnements industriels (OT), les systèmes hébergés chez des tiers, les applications SaaS métiers achetées par une direction opérationnelle sans passage par la DSI, ou les accès de télémaintenance des fournisseurs d'équipements. Dans l'industrie, c'est presque toujours l'atelier qui est oublié — alors que c'est là que se produisent les arrêts de production coûteux.

Le périmètre « fournisseur » ignoré. C'est le point aveugle numéro un des PME sous les seuils. L'article 21(2)(d) impose aux entités régulées de sécuriser leur chaîne d'approvisionnement. Concrètement, un équipementier automobile, un opérateur de santé ou un industriel de l'agroalimentaire va répercuter ses obligations sur ses fournisseurs par voie contractuelle : clauses de sécurité, questionnaires d'évaluation, exigence de certification, droit d'audit. Une PME de 30 personnes qui fournit un donneur d'ordre soumis à NIS 2 se retrouve donc de facto contrainte, sans être elle-même dans le champ de la directive.

Comment corriger. Reprenez le périmètre depuis la source : liste exhaustive des entités juridiques, code NAF de chacune, effectifs et chiffre d'affaires consolidés, puis confrontation à l'annexe I et à l'annexe II de la directive. Ajoutez systématiquement une analyse « aval » : quels sont vos dix premiers clients, et lesquels relèvent d'un secteur critique ? Cette question suffit souvent à faire basculer la décision d'investissement. Documentez le raisonnement, y compris quand il conclut à une non-applicabilité : c'est cette note qui vous protégera si la qualification est contestée.

Erreur n°2 : s'appuyer sur une auto-évaluation biaisée

La deuxième erreur consiste à confondre un questionnaire rempli de bonne foi avec une évaluation de conformité. Les auto-évaluations réalisées en interne présentent trois biais systématiques que nous mesurons à chaque mission de contre-expertise.

Le biais de l'intention. La question « disposez-vous d'une politique de sauvegarde ? » reçoit un « oui » parce que les sauvegardes existent. Mais l'article 21(2)(c) parle de gestion des sauvegardes dans le cadre de la continuité d'activité : cela suppose une politique écrite, une définition des RPO/RTO, une règle de rétention, une copie hors ligne ou immuable, et surtout des tests de restauration documentés. Dans les faits, moins d'une PME sur trois a testé une restauration complète dans les douze derniers mois.

Le biais de l'évaluateur. Quand la personne qui répond au questionnaire est aussi celle qui a mis en place les mesures, la notation est structurellement optimiste. Ce n'est pas de la malhonnêteté : c'est un angle mort cognitif. Un administrateur système sait que les comptes à privilèges sont maîtrisés « parce qu'il les connaît » ; il ne réalise pas que cette connaissance non écrite est exactement ce que l'article 21(2)(i) demande de formaliser.

Le biais du référentiel. Beaucoup de PME utilisent un outil d'auto-diagnostic générique, parfois orienté par un éditeur, dont les questions ne recouvrent pas les dix mesures de l'article 21. Le score obtenu — souvent flatteur — n'a alors aucune valeur probante. Les ressources publiées par l'ANSSI et par l'ENISA constituent des points de repère nettement plus solides.

Comment corriger. Faites porter l'évaluation par un tiers, ou à défaut appliquez une règle simple : aucune réponse positive n'est retenue sans une preuve associée (document daté, capture de configuration, extrait de journal, compte rendu de test). Cette discipline divise généralement par deux le score initial — et transforme un exercice déclaratif en base de travail exploitable. Une organisation déjà engagée dans une démarche ISO 27001 dispose d'un avantage réel : l'annexe A de la norme couvre une large part des exigences de l'article 21, et le corpus documentaire du SMSI fournit directement les preuves attendues.

Erreur n°3 : sous-estimer les délais de mise en conformité

Le calendrier est le second grand facteur d'échec. Il obéit à une arithmétique que les directions découvrent trop tard.

Un projet NIS 2 en PME comporte quatre phases incompressibles : le cadrage et la qualification (4 à 6 semaines), l'analyse des risques et l'état des lieux (6 à 10 semaines), la remédiation technique et organisationnelle (6 à 18 mois selon l'écart initial), et enfin la mise en place du dispositif de preuve et de contrôle continu (2 à 3 mois, en recouvrement partiel avec la phase précédente). Additionnées, ces durées placent la plupart des PME sur un chantier de douze à vingt-quatre mois.

À cela s'ajoutent des délais externes rarement anticipés : la disponibilité des prestataires qualifiés, très tendue depuis l'entrée en vigueur du texte ; les cycles budgétaires annuels, qui interdisent souvent d'engager une dépense significative avant l'exercice suivant ; les renouvellements de contrats fournisseurs, seuls moments où les clauses de sécurité peuvent être renégociées ; et les fenêtres d'intervention en production, particulièrement contraintes en environnement industriel où un arrêt de ligne se planifie des mois à l'avance.

Sur le plan réglementaire, deux échéances doivent être distinguées. D'une part le calendrier de transposition et d'enregistrement des entités, dont les modalités françaises sont précisées progressivement par l'ANSSI. D'autre part le délai de notification d'incident, lui directement fixé par la directive : une alerte précoce dans les 24 heures suivant la connaissance d'un incident important, une notification circonstanciée sous 72 heures, et un rapport final sous un mois. Ce dernier délai n'attend pas la fin de votre programme de mise en conformité : il s'applique dès que vous êtes une entité régulée. Une PME qui n'a pas de procédure de notification opérationnelle est en défaut au premier incident, même si son plan d'action global est en cours.

Comment corriger. Construisez un rétroplanning à partir de la date cible, et non à partir de la date de démarrage. Séquencez en trois vagues : ce qui réduit immédiatement le risque (MFA, sauvegardes testées, gestion des correctifs, journalisation), ce qui est structurant mais long (segmentation réseau, gestion des identités, sécurisation OT), et ce qui est administratif (politiques, procédures, registre des incidents). Engagez les trois vagues en parallèle : la troisième ne coûte presque rien en trésorerie et produit immédiatement des preuves.

Erreur n°4 : ne désigner aucun responsable de la sécurité

NIS 2 n'impose pas nommément la création d'un poste de RSSI. Mais l'article 20 impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre, et de suivre une formation en cybersécurité. En pratique, cette responsabilité doit se traduire par une désignation opérationnelle : sans pilote identifié, aucun des dix domaines de l'article 21 ne progresse.

Dans la PME, le schéma dominant est celui du responsable informatique qui hérite du sujet sécurité en plus de son poste. Cette configuration échoue pour trois raisons structurelles. D'abord un conflit d'intérêts : la même personne conçoit les systèmes, les exploite et évalue leur sécurité, ce qui interdit tout regard critique. Ensuite une question de temps : la maintenance quotidienne absorbe l'agenda, et les tâches de gouvernance — qui n'ont pas d'échéance immédiate — sont systématiquement reportées. Enfin une question de compétences : la conformité réglementaire, l'analyse de risque formalisée et la gestion de crise relèvent de savoir-faire distincts de l'administration système.

Les conséquences sont mesurables. Absence d'analyse de risque à jour, procédure de notification jamais testée, plan de continuité rédigé une fois puis jamais exercé, comité de sécurité inexistant, indicateurs absents. Au moment d'un contrôle ou d'une évaluation client, l'organisation ne dispose d'aucun interlocuteur capable de présenter une vision d'ensemble — ce qui, en soi, est interprété comme une défaillance de gouvernance.

Comment corriger. Séparez les rôles. Le responsable informatique reste maître d'œuvre de la mise en œuvre technique ; la fonction de pilotage, d'arbitrage et de contrôle doit être portée par une personne distincte, rattachée à la direction générale. Pour une structure de 30 à 250 salariés, un poste de RSSI à temps plein est rarement justifiable économiquement : un dispositif de RSSI externalisé à raison de deux à quatre jours par mois couvre l'essentiel du besoin — animation du comité de sécurité, tenue du plan d'action, préparation des instances de direction, réponse aux questionnaires clients — pour un coût annuel très inférieur à celui d'un recrutement. Formalisez la désignation par écrit, avec une lettre de mission approuvée en comité de direction : c'est cette lettre qui prouve le respect de l'article 20.

Erreur n°5 : négliger la documentation et la constitution de la preuve

La cinquième erreur est la plus contre-intuitive pour des équipes techniques : une mesure de sécurité non documentée est, du point de vue du régulateur, une mesure inexistante. Le contrôle ne porte pas sur ce que vous faites, mais sur ce que vous pouvez démontrer.

Nous rencontrons régulièrement des PME dont le niveau technique réel est correct — segmentation propre, MFA généralisé, sauvegardes immuables — mais qui échouent à toute évaluation parce qu'aucune de ces mesures n'est écrite, datée, approuvée ni revue. À l'inverse, une organisation au niveau technique moyen mais dotée d'un corpus documentaire cohérent et de preuves d'exécution obtient de bien meilleurs résultats, parce qu'elle démontre une maîtrise du risque et une trajectoire d'amélioration.

Le socle documentaire minimal attendu pour une PME comporte : une politique de sécurité des systèmes d'information approuvée par la direction ; une cartographie des actifs et des flux ; une analyse de risque formalisée avec un plan de traitement ; une procédure de gestion des incidents intégrant les délais de notification à 24 h, 72 h et un mois ; un plan de continuité et de reprise avec les comptes rendus des tests ; une politique de gestion des accès et une revue périodique des habilitations ; une politique de sauvegarde avec les preuves de restauration ; un registre des fournisseurs critiques avec leur évaluation ; un plan de sensibilisation avec les feuilles d'émargement ; et un tableau de bord d'indicateurs présenté en comité de direction.

Comment corriger. Ne cherchez pas l'exhaustivité documentaire d'emblée. Adoptez la règle du document utile : chaque procédure doit tenir en deux à quatre pages, désigner un responsable nommé, porter une date de version et une date de revue. Puis instaurez un rythme de preuve : une revue des accès par trimestre, un test de restauration par semestre, un exercice de crise par an, un comité de sécurité tous les deux mois avec relevé de décisions. Ce sont ces artefacts récurrents et datés — bien plus que le volume de pages — qui font la différence lors d'un contrôle.

Tableau comparatif : le coût réel de chaque erreur

Le tableau ci-dessous synthétise, pour une PME industrielle ou de services de 50 à 250 salariés, l'impact observé de chaque erreur et le coût comparé de l'anticipation par rapport au rattrapage. Les ordres de grandeur sont issus de missions réalisées auprès d'organisations de taille comparable.

Sanctions et responsabilité des dirigeants : ce que dit vraiment le texte

La directive prévoit un régime de sanctions administratives dont les plafonds sont fixés à l'article 34. Pour les entités essentielles, l'amende maximale est d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est d'au moins 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total. Ces montants sont des plafonds ; l'autorité compétente module la sanction en fonction de la gravité, de la durée, du caractère intentionnel ou négligent du manquement, des mesures correctrices prises et du degré de coopération.

Mais l'enjeu financier direct n'est pas le principal risque pour une PME. Trois autres leviers pèsent davantage. D'abord l'arsenal de supervision : injonctions contraignantes, obligation de réaliser un audit de sécurité à ses frais, obligation d'informer les clients d'une menace, publication d'un avis public de non-conformité — une mesure de réputation redoutable dans un secteur concurrentiel. Ensuite, pour les entités essentielles, la possibilité de suspendre temporairement une certification ou une autorisation d'exercer. Enfin la responsabilité personnelle : la directive prévoit que les personnes physiques exerçant des fonctions dirigeantes peuvent être tenues pour responsables des manquements, et que l'exercice de leurs fonctions dirigeantes peut être temporairement interdit en cas de violation répétée.

À ces sanctions s'ajoute le risque économique, souvent bien supérieur : la perte de contrats. Un donneur d'ordre soumis à NIS 2 qui ne parvient pas à évaluer la sécurité d'un fournisseur a un intérêt direct à le déréférencer, puisque ce fournisseur constitue pour lui un risque de chaîne d'approvisionnement documenté. Pour une PME dont trois clients représentent 60 % du chiffre d'affaires, cette perspective est autrement plus dissuasive qu'un plafond d'amende théorique.

Feuille de route en douze mois pour une PME

Voici la trajectoire que nous appliquons dans nos missions d'accompagnement NIS 2 auprès d'organisations de 30 à 250 salariés. Elle suppose un investissement moyen de trois à cinq jours-homme par mois côté client.

• Mois 1 — Qualification. Analyse des entités juridiques, des codes NAF, des seuils et de la position dans les chaînes d'approvisionnement. Livrable : note de qualification argumentée et opposable.
• Mois 2 — Gouvernance. Désignation du responsable sécurité, lettre de mission, constitution du comité de sécurité, formation de l'organe de direction au titre de l'article 20.
• Mois 3 et 4 — État des lieux. Cartographie des actifs, des flux et des dépendances ; évaluation des dix domaines de l'article 21 avec exigence de preuve ; analyse de risque formalisée.
• Mois 4 — Quick wins. Généralisation du MFA, durcissement des comptes à privilèges, test de restauration complet, mise en place de la journalisation centralisée.
• Mois 5 à 10 — Remédiation. Segmentation réseau, gestion des vulnérabilités et des correctifs, sécurisation des accès distants et de la télémaintenance, mise en conformité des contrats fournisseurs critiques.
• Mois 6 — Capacité de réponse. Procédure de notification à 24 h / 72 h / un mois, fiches réflexes, annuaire de crise, premier exercice sur table.
• Mois 8 — Sensibilisation. Plan de formation différencié dirigeants / utilisateurs / administrateurs, campagne de test, émargements archivés.
• Mois 11 — Dossier de conformité. Consolidation du corpus documentaire, des preuves d'exécution et des indicateurs ; revue par la direction.
• Mois 12 — Contrôle et cycle suivant. Audit à blanc, exercice de crise complet, plan d'amélioration de l'année N+1.

Cette feuille de route s'articule naturellement avec une démarche ISO 27001 pour les organisations qui visent une certification, et avec les référentiels sectoriels comme AirCyber dans l'aéronautique. Les efforts se mutualisent à hauteur de 60 à 70 % : il serait contre-productif de mener ces chantiers séparément.

Questions fréquentes

Ma PME de 40 salariés est-elle vraiment concernée par NIS 2 ?

Directement, probablement pas : la directive vise en principe les entités de 50 salariés ou plus, ou dépassant 10 M€ de chiffre d'affaires, dans les secteurs listés à ses annexes I et II. Certaines catégories d'entités sont toutefois visées indépendamment de leur taille, notamment lorsqu'elles fournissent un service critique unique ou relèvent d'infrastructures numériques particulières. Surtout, si vous fournissez des clients eux-mêmes régulés, les obligations de sécurité de la chaîne d'approvisionnement vous atteindront par voie contractuelle. Formalisez la qualification par écrit plutôt que de conclure de mémoire.

Quel budget prévoir pour une mise en conformité NIS 2 en PME ?

Pour une organisation de 50 à 250 salariés partant d'un niveau de maturité faible, l'enveloppe se répartit entre l'accompagnement méthodologique (qualification, analyse de risque, documentation, pilotage), les investissements techniques (MFA, sauvegarde immuable, journalisation, segmentation) et les coûts internes de mobilisation des équipes. Le poste le plus variable est de loin la remédiation technique : il dépend entièrement de l'écart constaté lors de l'état des lieux. C'est pourquoi il est déconseillé d'engager un budget global avant la phase de diagnostic — mieux vaut financer d'abord la qualification et l'état des lieux, puis arbitrer sur une base factuelle.

Faut-il obligatoirement recruter un RSSI pour être conforme ?

Non. La directive n'impose pas de fonction nommée, mais l'article 20 rend l'organe de direction responsable de l'approbation et de la supervision des mesures, ce qui suppose un pilotage identifié. Pour une PME, un RSSI externalisé à temps partagé, avec une lettre de mission approuvée en comité de direction, répond à cette exigence pour un coût très inférieur à un recrutement. Le point critique n'est pas le statut de la personne, mais la séparation entre celui qui met en œuvre et celui qui contrôle.

Que se passe-t-il si je notifie un incident après le délai de 24 heures ?

Le dépassement du délai d'alerte précoce constitue en lui-même un manquement, indépendamment de la manière dont l'incident a été traité techniquement. Il est donc préférable d'envoyer une alerte précoce incomplète dans les temps, puis de compléter dans la notification à 72 heures, que d'attendre d'avoir une vision consolidée. Cela suppose d'avoir défini à l'avance qui déclenche la notification, sur quel critère de qualification, et par quel canal — trois points qu'une procédure de deux pages suffit à couvrir, à condition d'avoir été testée.

Une certification ISO 27001 me rend-elle automatiquement conforme à NIS 2 ?

Non, mais elle en couvre une part importante. L'annexe A de la norme recoupe largement les dix mesures de l'article 21, et le système de management fournit exactement les preuves attendues : politiques approuvées, revues de direction, audits internes, traitement des non-conformités. Restent à traiter spécifiquement les obligations propres à NIS 2 : les délais de notification aux autorités, l'enregistrement de l'entité, la formation obligatoire des dirigeants, et certaines exigences sur la chaîne d'approvisionnement. Comptez un complément de deux à trois mois pour une organisation déjà certifiée.

Pour aller plus loin

• Guide complet de la directive NIS 2 européenne
• NIS 2 : déploiement opérationnel 2026
• Premières sanctions ANSSI NIS 2 en France
• Conformité NIS 2 pour les opérateurs vitaux OT
• ANSSI ReCyF NIS 2 : ce qui change en 2026