Directive NIS2 en France : qui est vraiment concerné (et pourquoi la plupart des TPE ne le sont pas)

NIS2 fait régulièrement la une des newsletters cybersécurité, souvent avec un ton alarmiste qui laisse croire que toute entreprise française, même la plus petite, devra s'y conformer sous peu. C'est inexact, et c'est important de le dire clairement : la directive européenne NIS2 ne concerne, de façon directe, qu'environ 15 000 entités en France — des organisations de taille moyenne à grande, dans des secteurs précis. L'immense majorité des TPE et artisans n'entrent pas dans ce périmètre.

Ce qui est vrai, en revanche, c'est qu'une TPE peut être rattrapée par NIS2 par un autre chemin : en tant que prestataire ou sous-traitant d'une entreprise qui, elle, y est soumise. C'est cet angle, souvent absent des articles qui agitent la directive comme une menace générale, que nous détaillons ici : qui est vraiment concerné, où en est la loi française à la date de cet article, et ce qu'une petite structure peut faire par anticipation, sans paniquer ni dépenser inutilement.

NIS2 en deux phrases claires

NIS2 (Network and Information Security 2, ou directive SRI 2 en français) est une directive de l'Union européenne, adoptée le 14 décembre 2022, qui impose aux organisations de taille moyenne et grande d'un ensemble de secteurs jugés sensibles de renforcer leur gestion des risques cyber, de notifier les incidents significatifs à l'autorité nationale compétente et de sécuriser leur chaîne d'approvisionnement numérique. En France, cette autorité est l'ANSSI (Agence nationale de la sécurité des systèmes d'information), via le portail MonEspaceNIS2.

Contrairement à sa devancière NIS1, qui ne touchait qu'environ 500 opérateurs d'importance critique en France, NIS2 élargit fortement le périmètre : environ 15 000 entités seraient concernées une fois le dispositif pleinement en vigueur, réparties en deux catégories selon leur taille et leur secteur : les « entités essentielles » et les « entités importantes ».

Qui est vraiment concerné : secteurs et seuils réels

C'est le point le plus souvent approximé dans les articles grand public, alors que la directive et son texte de transposition française sont précis. D'après le texte adopté par le Sénat puis examiné en commission spéciale à l'Assemblée nationale (version au 10 septembre 2025, article 7 et suivants), une organisation n'est susceptible d'entrer dans le périmètre NIS2 que si elle réunit à la fois :

• une taille minimale (effectif et chiffre d'affaires ou bilan),
• et une activité dans l'un des secteurs listés par la directive (18 secteurs au total, dits « hautement critiques » et « critiques »).

Les seuils de taille, sourcés sur le texte de transposition tel que documenté par les analyses juridiques publiques du projet de loi (voir aussi la synthèse Wikipédia de la directive, qui reprend les mêmes chiffres que le texte européen) :

Certaines entités sont concernées indépendamment de leur taille (fournisseurs de télécommunications, prestataires de confiance qualifiés, registres de noms de domaine, éditeurs de certains logiciels critiques) mais ce sont des cas particuliers et sectoriels, pas la règle générale.

Conséquence directe pour une TPE : une entreprise de quelques salariés, même dans un secteur par ailleurs listé, ne franchit presque jamais le seuil des 50 salariés et 10 millions d'euros de chiffre d'affaires ou de bilan. Il existe de rares exceptions sectorielles (taille non déterminante), mais elles concernent des activités très spécifiques (télécoms, PSCo/prestataires de confiance numérique, infrastructures DNS) et non l'artisanat, le commerce de proximité ou les prestations de services classiques. Pour la quasi-totalité des TPE et artisans, NIS2 ne s'applique pas directement, et toute communication affirmant le contraire de façon générale est inexacte.

Où en est la transposition en droit français à la date de cet article

La directive devait être transposée par chaque État membre au plus tard le 17 octobre 2024. La France a pris un retard important sur ce calendrier, un fait reconnu publiquement par l'ANSSI elle-même et documenté par plusieurs échanges parlementaires :

• 15 octobre 2024 : présentation en Conseil des ministres du projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », qui transpose en un seul texte trois directives européennes (NIS2, REC sur la résilience des entités critiques, et DORA pour le secteur financier).
• 11 et 12 mars 2025 : adoption du projet de loi en première lecture au Sénat.
• 10 septembre 2025 : adoption à l'unanimité en commission spéciale de l'Assemblée nationale, après l'examen de 245 amendements.
• Entre septembre 2025 et l'été 2026 : le texte n'avance plus, faute d'inscription à l'ordre du jour de l'Assemblée — un retard que plusieurs parlementaires (dont Philippe Latombe et Olivier Cadic) ont publiquement dénoncé début 2026, soulignant le risque de sanction européenne pour la France.
• 8 juillet 2026 : faute de transposition, la Commission européenne saisit la Cour de justice de l'Union européenne contre la France, avec demande de sanctions financières.
• 1^er octobre 2026 : le texte est enfin inscrit à l'ordre du jour de la séance publique de l'Assemblée nationale, « à compter du 7 octobre », annonce la ministre déléguée au Numérique devant la commission spéciale.
• 6 octobre 2026 : revirement : la conférence des présidents de l'Assemblée nationale retire finalement le texte de l'ordre du jour des séances des 7 et 9 octobre, pour cause d'encombrement du calendrier parlementaire. Aucune nouvelle date n'est fixée à cette occasion.
• 14 octobre 2026 : la commission spéciale poursuit l'examen des amendements au texte (article 88 du Règlement), mais ce travail reste interne à la commission : ce n'est pas la séance publique.

Mise à jour du 16 octobre 2026 : contrairement à ce qu'annonçait le calendrier début octobre, le texte n'est pas encore passé en séance publique à l'Assemblée nationale : son inscription du 7 octobre a été retirée le 6 octobre, et aucune nouvelle date de séance publique n'est connue à ce jour. La France a désormais environ deux ans de retard sur l'échéance européenne du 17 octobre 2024, et fait l'objet depuis juillet 2026 d'un recours de la Commission européenne devant la Cour de justice de l'UE pour défaut de transposition. La loi française n'est donc pas adoptée, ni même en cours d'examen en séance : elle attend une réinscription à l'ordre du jour. Une fois la loi votée, il restera encore à publier les décrets et arrêtés d'application avant l'entrée en vigueur effective des obligations (enregistrement des entités, délais de mise en conformité, modalités de contrôle). L'ANSSI le précise elle-même sur son espace d'aide : « NIS 2 rentrera donc en vigueur en France dès lors que l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués. » Aucune date d'entrée en vigueur définitive n'est donc confirmée à ce jour : toute affirmation d'une date précise d'application doit être considérée comme provisoire tant que la loi n'est pas promulguée.

En attendant, l'ANSSI met déjà à disposition, depuis le 17 mars 2026, un Référentiel Cyber France (ReCyF), document de travail non obligatoire listant les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Les futures entités concernées sont invitées à s'y référer dès maintenant, sans attendre la loi.

Pourquoi une TPE peut être concernée indirectement : l'effet de cascade fournisseur

C'est l'angle le plus utile et le plus souvent oublié des articles sur NIS2. Une entité essentielle ou importante soumise à la directive doit, parmi ses obligations, sécuriser sa chaîne d'approvisionnement : c'est-à-dire s'assurer que ses prestataires, sous-traitants et fournisseurs de services numériques (hébergement, maintenance informatique, développement, infogérance, maintenance de sites web, gestion de données) ne constituent pas un maillon faible par lequel une attaque pourrait transiter.

Concrètement, cela se traduit souvent par des exigences contractuelles imposées en cascade : une collectivité de plus de 30 000 habitants, une clinique, une entreprise agroalimentaire de taille moyenne ou un opérateur télécom soumis à NIS2 va, de plus en plus, demander à ses prestataires (y compris de petite taille) de démontrer un niveau minimal de sécurité : politique de mots de passe, sauvegardes testées, procédure de notification d'incident, parfois une clause contractuelle spécifique ou un questionnaire de sécurité avant signature.

Une TPE de l'Yonne qui développe un site, héberge des données, ou assure l'infogérance d'un client qui lui-même entre dans le périmètre NIS2 (une mairie de taille intermédiaire, un établissement de santé, un industriel moyen) peut donc se voir imposer, par contrat et non par la loi directement, des exigences inspirées de NIS2 sans jamais être elle-même une « entité régulée ». C'est un effet de bord bien identifié dans les analyses de la directive, qui parlent de « ruissellement » des exigences de sécurité vers les PME et TPE de la chaîne de sous-traitance — un terme repris publiquement par le député Philippe Latombe à propos de l'impact de la loi sur les petites communes et leurs prestataires.

Ce qu'une TPE peut faire par anticipation, même sans y être directement soumise

Pas besoin d'attendre une obligation légale pour adopter les bons réflexes : ce sont, pour l'essentiel, des bonnes pratiques de cybersécurité déjà recommandées indépendamment de NIS2, qui rendront une TPE prête si un client l'exige demain contractuellement.

Tenir un inventaire simple de ses accès et outils numériques. Savoir qui a accès à quoi (comptes, mots de passe, outils cloud) est la base de toute démarche de sécurité, et un prérequis à toute réponse à un questionnaire de sécurité client.

Mettre en place une politique de mots de passe robuste et un gestionnaire dédié. C'est l'un des points les plus fréquemment vérifiés dans un audit fournisseur, même informel — voir notre guide sur le gestionnaire de mots de passe pour entreprise.

Disposer de sauvegardes testées et d'un plan simple de reprise après incident. Un client soumis à NIS2 demandera souvent à ses prestataires de confirmer qu'ils peuvent continuer à fonctionner après un incident, sans perte de données — voir notre article sur la sauvegarde et l'infogérance en TPE/PME.

Savoir décrire sa procédure en cas d'incident de sécurité. Même sans obligation légale de notification à l'ANSSI, pouvoir expliquer à un client qui alerter et comment réagir en cas de compromission est désormais un argument commercial, pas seulement une contrainte.

Rester attentif à ses propres obligations RGPD, qui s'appliquent elles, sans seuil de taille, dès qu'une donnée personnelle est traitée — voir notre point complet sur les obligations RGPD concrètes d'une TPE de l'Yonne. RGPD et NIS2 sont deux textes distincts mais complémentaires : le second insiste sur la résilience technique, le premier sur la protection des données personnelles.

Se référer, si l'activité s'y prête, au ReCyF de l'ANSSI pour structurer une démarche de sécurisation cohérente avec les attentes qui se généralisent, sans attendre d'y être contraint.

Checklist pratique pour une TPE

• Vérifier objectivement si l'entreprise franchit les seuils NIS2 (50 salariés et 10 M€ de chiffre d'affaires ou de bilan) dans un secteur listé : dans l'immense majorité des cas, la réponse est non.
• Identifier si un ou plusieurs clients importants sont eux-mêmes susceptibles d'être soumis à NIS2 (collectivité, établissement de santé, industriel, opérateur télécom) et anticiper d'éventuelles exigences contractuelles de sécurité.
• Mettre en place un gestionnaire de mots de passe d'entreprise et une politique d'accès claire.
• Vérifier que les sauvegardes sont réellement testées, pas seulement programmées.
• Formaliser, même sur une page, la marche à suivre en cas d'incident de sécurité constaté.
• Vérifier sa propre conformité RGPD de base, qui elle s'applique sans seuil de taille.
• Suivre les communications de l'ANSSI (monespacenis2.cyber.gouv.fr) pour connaître la date réelle d'entrée en vigueur une fois la loi promulguée, plutôt que de se fier à une date annoncée dans la presse avant le vote définitif.
• Ne jamais signer d'engagement contractuel de conformité « NIS2 » sans en comprendre précisément la portée réelle demandée par le client : un audit ou un accompagnement ciblé évite les clauses disproportionnées pour une structure de petite taille.

Questions fréquentes

Une TPE de moins de 10 salariés doit-elle se déclarer auprès de l'ANSSI ?

Non, sauf cas sectoriel très particulier (télécoms, prestataire de confiance qualifié, infrastructure DNS). Les seuils de taille (au minimum 50 salariés et 10 M€ de chiffre d'affaires ou de bilan pour la catégorie la plus large, « entité importante ») excluent de fait la quasi-totalité des TPE. Il n'y a, à ce jour, aucune obligation légale de déclaration pour une structure sous ces seuils.

Si mon client est soumis à NIS2, suis-je automatiquement soumis aussi ?

Non, juridiquement une TPE prestataire ne devient pas elle-même une « entité régulée » au sens de la directive du simple fait qu'elle travaille avec une entité qui l'est. En revanche, ce client peut parfaitement lui imposer, par contrat, des exigences de sécurité inspirées de NIS2 (c'est l'effet de cascade décrit plus haut), sans que cela relève de la loi NIS2 elle-même mais d'une clause commerciale.

Quand la loi française sera-t-elle définitivement en vigueur ?

Aucune date certaine n'est publiée à ce jour. L'examen en séance publique à l'Assemblée nationale, annoncé pour le 7 octobre 2026, a été retiré de l'ordre du jour le 6 octobre et n'a pas de nouvelle date fixée au 16 octobre 2026 : le texte n'est donc même pas encore entré en débat public. Il devra ensuite être adopté définitivement (éventuellement après une navette avec le Sénat), puis suivi de décrets d'application avant toute entrée en vigueur opérationnelle. Se référer uniquement aux communications officielles de l'ANSSI (monespacenis2.cyber.gouv.fr) pour la date réelle, et se méfier de toute date affichée comme certaine ailleurs tant que la loi n'est pas promulguée.

Conclusion : anticiper sans céder à l'alarmisme

NIS2 n'est pas, et ne sera pas, une obligation directe généralisée à toutes les TPE françaises — les seuils de taille et de secteur l'excluent clairement pour l'immense majorité d'entre elles, et la loi de transposition elle-même n'est, à ce jour, pas encore adoptée. Mais ignorer complètement le sujet serait une erreur : la cascade des exigences de sécurité depuis les grands donneurs d'ordre vers leurs sous-traitants, elle, est déjà une réalité observable. Une TPE qui professionnalise sa sécurité de base (mots de passe, sauvegardes, procédure d'incident, conformité RGPD) ne le fait pas pour « se mettre aux normes NIS2 », mais se retrouve naturellement prête si un client le lui demande un jour contractuellement.

Pour faire le point sur votre niveau de sécurité actuel et anticiper sereinement ces évolutions, sans jargon ni alarmisme écrivez-nous, nous en discutons simplement.

À lire aussi :

• RGPD pour une TPE de l'Yonne : les 5 obligations concrètes à cocher
• Cybersécurité pour les TPE et professionnels de l'Yonne
• Comprendre l'infogérance en TPE/PME
• Shadow IT en TPE : quand les salariés utilisent leurs propres outils cloud
• Le diagnostic cyber gratuit pour les TPE : comment ça marche