NIS2 : même hors champ, vos clients vont vous l’imposer — l’effet cascade pour les PME
La transposition française n’est pas finalisée, mais le cadre de référence existe déjà et les grands donneurs d’ordre exigent des garanties de leurs prestataires. Ce que vous pouvez préparer sans attendre.
La directive NIS2 élargit fortement le nombre d’entités tenues à des obligations de cybersécurité. En France, sa transposition (le projet de « loi résilience ») avait pris du retard : selon plusieurs guides publiés en 2026, le texte n’était toujours pas promulgué à l’été et la Commission européenne avait saisi la Cour de justice pour défaut de transposition. Faut-il pour autant attendre ? Pour une PME qui travaille avec des clients d’une certaine taille, la réponse est non.
Une obligation qui descend la chaîne
NIS2 ne s’applique pas directement à tous les sous-traitants, mais les entités qu’elle vise doivent maîtriser le risque de leur chaîne d’approvisionnement : éditeurs, hébergeurs, prestataires informatiques, agences. Concrètement, elles le traduisent en exigences contractuelles et questionnaires de sécurité envoyés à leurs fournisseurs. Une PME qui n’est « pas concernée » par la directive peut donc se retrouver soumise à ses exigences, parce qu’un client l’impose comme condition d’un contrat ou d’un renouvellement.
Un référentiel déjà disponible
Selon les mêmes sources, l’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF), qui décline les attentes en objectifs de sécurité — une vingtaine pour les entités essentielles, une quinzaine pour les entités importantes. Même sans loi promulguée, c’est une feuille de route utilisable pour structurer sa démarche et répondre à un questionnaire client.
Ce qu’un client est en droit de vous demander
- Gouvernance : qui est responsable de la sécurité chez vous ? Existe-t-il une politique écrite ?
- Gestion des accès : authentification multifacteur, comptes à privilèges maîtrisés, revue des droits.
- Sauvegardes et reprise : sauvegardes isolées, testées régulièrement, objectifs de reprise définis.
- Détection et réponse : capacité à repérer un incident et à le notifier dans les délais contractuels (voir notre SOC hybride).
- Correctifs et vulnérabilités : délais de mise à jour, inventaire des actifs.
- Vos propres sous-traitants : la chaîne continue de se propager.
Préparer une réponse sans attendre le texte final
Faites un état des lieux factuel de ces six points, avec des preuves (captures de configuration, procédures, résultats de test de restauration) plutôt que des déclarations. Corrigez d’abord les écarts à faible coût — MFA, mises à jour, sauvegardes — qui couvrent l’essentiel du risque (les bases qui comptent). Documentez : un dossier de réponse réutilisable fait gagner des semaines à chaque questionnaire.
Une limite à connaître
Cet article décrit une tendance et une démarche pratique ; il ne détermine pas si votre entreprise entre dans le champ de la directive, ce qui dépend de votre secteur et de votre taille. Pour cela, appuyez-vous sur les textes de transposition et l’avis de votre conseil. Un audit permet au moins de savoir précisément où vous en êtes.
Sources
Questions fréquentes
Comment se préparer à NIS2 quand on est sous-traitant ?
Faites un état des lieux factuel de six points — gouvernance, gestion des accès, sauvegardes et reprise, détection et réponse, correctifs et vulnérabilités, vos propres sous-traitants — avec des preuves plutôt que des déclarations. Corrigez d’abord les écarts à faible coût : MFA, mises à jour, sauvegardes. Puis documentez un dossier de réponse réutilisable.
NIS2 concerne-t-elle les PME qui ne sont pas dans son champ ?
Pas directement. Mais les entités visées doivent maîtriser le risque de leur chaîne d’approvisionnement, et le traduisent en exigences contractuelles et questionnaires de sécurité envoyés à leurs fournisseurs. Une PME « pas concernée » peut donc se retrouver soumise à ces exigences, parce qu’un client en fait une condition de contrat ou de renouvellement.
Où en est la transposition française de NIS2 ?
Selon plusieurs guides publiés en 2026, le projet de « loi résilience » n’était toujours pas promulgué à l’été et la Commission européenne avait saisi la Cour de justice pour défaut de transposition. Savoir si votre entreprise entre dans le champ de la directive dépend de votre secteur et de votre taille : appuyez-vous sur les textes et votre conseil.
Qu’est-ce que le Référentiel Cyber France (ReCyF) ?
Selon les mêmes sources, l’ANSSI a publié en mars 2026 un référentiel qui décline les attentes en objectifs de sécurité : une vingtaine pour les entités essentielles, une quinzaine pour les entités importantes. Même sans loi promulguée, c’est une feuille de route utilisable pour structurer sa démarche et répondre à un questionnaire client.
Une question sur votre situation ?
Faites l’auto-audit — 93 questions, sans inscription — ou demandez directement un audit gratuit : on regarde votre cas précis.