NIS2 PME : obligations, impacts et premières priorités

Le premier piège de NIS2 est de croire qu'il s'agit d'un projet documentaire. En réalité, la directive impose surtout une capacité de pilotage, de preuve et de cohérence entre les mesures prises, les responsabilités tenues et les incidents réellement traités.

1. La vraie première question : êtes-vous réellement concerné ?

Le sujet n'est pas seulement juridique. Il faut regarder vos activités, vos dépendances numériques, vos clients, vos prestataires critiques et les attentes de votre direction. Beaucoup d'entreprises se découvrent concernées indirectement bien avant d'être formellement notifiées.

Pour une première qualification en autonomie, vous pouvez vérifier votre exposition en 12 questions avec notre pré-diagnostic.

2. Ce que NIS2 change dans la pratique

• Gouvernance : la direction doit pouvoir démontrer qu'elle arbitre et suit réellement le sujet.
• Mesures : il faut des contrôles cohérents avec votre exposition, pas une liste générique plaquée sur le papier.
• Preuves : actifs critiques, tiers, incidents, plans d'action et écarts doivent être documentés et suivis.

3. Les 90 premiers jours utiles

Commencez par qualifier votre périmètre, cartographier les dépendances critiques, clarifier les rôles, puis prioriser les écarts qui fragilisent à la fois la sécurité et la capacité de démonstration.

Si vous voulez objectiver vos écarts sur un référentiel reconnu, un audit ISO 27001 fournit une base de preuve directement réutilisable dans une trajectoire NIS2.

Pour passer en revue vos propres mesures, notre checklist conformité NIS2 en 20 points reprend les obligations de la directive, thème par thème, dans un format imprimable.