Dans la grande majorité des cas, non : la directive européenne NIS2 vise d'abord les entreprises d'au moins 50 salariés, ou de plus de 10 millions d'euros de chiffre d'affaires et de bilan, dans 18 secteurs d'activité. Et au 28 octobre 2026, la loi qui doit la transposer en France n'est toujours pas adoptée. Votre TPE peut pourtant en ressentir les effets, par l'intermédiaire de ses clients.
01NIS2 en deux mots
La directive (UE) 2022/2555, dite NIS2, renforce les obligations de cybersécurité des organisations jugées importantes pour l'économie et la société. Les États membres devaient la transposer avant le 17 octobre 2024.
Pour les entités concernées, l'ANSSI (l'agence nationale de la sécurité des systèmes d'information) résume les obligations en trois points sur son espace dédié à NIS2 :
- s'enregistrer auprès de l'ANSSI ;
- mettre en place des mesures de gestion des risques cyber ;
- déclarer les incidents de sécurité importants.
En cas de manquement, les sanctions peuvent atteindre 2 % du chiffre d'affaires mondial pour les entités essentielles et 1,4 % pour les entités importantes.
02Qui est directement concerné ?
Deux conditions se cumulent. La première est le secteur : 18 secteurs sont visés, dont 11 « hautement critiques » (énergie, santé, transports, banque, eau, administrations publiques…) et 7 « autres secteurs critiques » (industrie manufacturière, gestion des déchets, services postaux…). La seconde est la taille. Selon l'ANSSI :
| Catégorie | Seuils |
|---|---|
| Entité essentielle | Au moins 250 salariés, ou chiffre d'affaires supérieur à 50 M€ et bilan supérieur à 43 M€ |
| Entité importante | Au moins 50 salariés, ou chiffre d'affaires et bilan supérieurs à 10 M€ |
Il existe des exceptions, visées quelle que soit leur taille : les prestataires de services de confiance, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les fournisseurs de communications électroniques publiques.
En pratique, une TPE ou une PME qui reste sous ces seuils et ne relève pas de ces exceptions n'est pas directement soumise à NIS2. Pour en avoir le cœur net, l'ANSSI propose un test d'éligibilité en ligne. Gardez en tête que le texte français n'est pas définitif et peut encore évoluer.
03Où en est la loi en France ?
En France, NIS2 doit être transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. D'après le dossier législatif de l'Assemblée nationale :
- le Sénat l'a adopté le 12 mars 2025 ;
- la commission spéciale de l'Assemblée nationale a adopté son texte le 10 septembre 2025 ;
- l'examen en séance publique n'a pas encore eu lieu.
Le 6 octobre 2026, la conférence des présidents de l'Assemblée a retiré le texte de l'ordre du jour des séances des 7 et 9 octobre. Au 28 octobre 2026, aucune nouvelle date n'est fixée.
Une fois la loi votée, il faudra encore attendre ses décrets et arrêtés d'application, comme le rappelle la FAQ de l'ANSSI sur la transposition. L'ANSSI invite tout de même les entités concernées à se préparer dès maintenant, avec un référentiel de travail, le ReCyF.
04L'effet indirect : vos clients peuvent vous demander des garanties
C'est là que NIS2 peut toucher une petite entreprise. L'article 21 de la directive impose aux entités concernées de traiter la sécurité de leur chaîne d'approvisionnement, y compris leurs relations avec leurs fournisseurs et prestataires directs.
Si vous travaillez pour un établissement de santé, un industriel, un transporteur ou une collectivité, vous pouvez recevoir :
- des questionnaires de sécurité ;
- des clauses contractuelles, par exemple sur la double authentification ou les sauvegardes ;
- des engagements à signaler rapidement un incident.
À retenir
Ce n'est pas la loi qui s'impose à votre TPE, c'est le contrat de votre client. Mieux vaut avoir des réponses simples et vraies à lui donner.
05Les bonnes pratiques utiles, NIS2 ou pas
Le baromètre 2025 de Cybermalveillance.gouv.fr, mené par OpinionWay auprès de 588 entreprises de moins de 250 salariés (publié le 6 octobre 2025), montre que le sujet ne concerne pas que les grandes structures :
- 16 % de ces entreprises ont subi au moins un incident en un an ;
- parmi celles qui ont subi un incident, 43 % citent l'hameçonnage ;
- parmi celles équipées d'au moins un dispositif de sécurité, seules 26 % utilisent la double authentification pour se connecter à leur réseau depuis l'extérieur ;
- 80 % ne sont pas préparées à une attaque ou ne savent pas si elles le sont.
Les mesures de base sont simples :
- Activer la double authentification sur la messagerie et les accès à distance (notre article).
- Sauvegarder, avec une copie hors ligne, et tester la restauration (la règle du 3-2-1).
- Installer les mises à jour des postes, des serveurs et des équipements réseau.
- Former l'équipe à repérer l'hameçonnage (nos repères).
- Séparer les comptes administrateurs des comptes du quotidien et tenir la liste des accès.
- Savoir qui appeler en cas d'incident : Cybermalveillance.gouv.fr propose une assistance aux victimes.
Ces mesures sont celles que vos clients soumis à NIS2 risquent de vous demander. Les mettre en place maintenant, c'est être prêt le jour où le questionnaire arrive.
En résumé
- NIS2 vise d'abord les entités d'au moins 50 salariés, ou de plus de 10 M€ de chiffre d'affaires et de bilan, dans 18 secteurs, plus quelques exceptions.
- Au 28 octobre 2026, la loi de transposition française n'est pas adoptée : elle a été retirée de l'ordre du jour de l'Assemblée le 6 octobre, sans nouvelle date.
- Une TPE peut être concernée indirectement, par les exigences contractuelles de ses clients.
- Double authentification, sauvegardes testées, mises à jour et sensibilisation restent utiles dans tous les cas.
Vous voulez savoir où en est votre entreprise sur ces points ? Découvrez nos services de cybersécurité ou contactez-nous pour en parler.