Grégory Humé
La directive NIS 2 entre en application effective en France à l’automne 2026, avec une date butoir de conformité fixée au 17 octobre 2026. Le projet de loi Résilience, qui la transpose en droit français, est en cours d’adoption parlementaire. 15 000 à 18 000 entreprises françaises sont directement concernées, contre 500 sous NIS 1. Mais le vrai impact pour les start-ups et scale-ups ne vient pas de l’obligation directe : il vient de l’effet de cascade sur toute la chaîne d’approvisionnement. Et ça, la plupart des fondateurs ne l’ont pas encore vu venir.
Ce que vous allez apprendre : qui est directement concerné par NIS 2 et qui ne l’est pas, comment l’effet de cascade peut vous obliger à vous conformer même si vous n’êtes pas dans le périmètre direct, les 10 obligations concrètes que la directive impose, les sanctions en jeu (dont la responsabilité personnelle des dirigeants), et le coût réel de mise en conformité selon la taille de votre structure.
La directive européenne NIS 2 (Network and Information Security 2, directive 2022/2555) est entrée en vigueur en Europe en janvier 2023. Elle remplace NIS 1 de 2016 et élargit massivement le périmètre des entreprises soumises à des obligations de cybersécurité, passant de 500 entités concernées en France à 10 000 à 18 000.
En France, sa transposition passe par le projet de loi Résilience, qui transpose simultanément trois textes européens : NIS 2, la directive REC (entités critiques) et le règlement DORA (résilience numérique du secteur financier). Adopté en première lecture au Sénat en mars 2025 et voté en commission spéciale à l’Assemblée nationale en septembre 2025, le texte est attendu pour le vote final en juillet 2026. La date butoir de conformité reste fixée au 17 octobre 2026. L’ANSSI a d’ores et déjà ouvert le pré-enregistrement des entités concernées sur MonEspaceNIS2 depuis novembre 2025.
Pour être directement soumis à NIS 2, deux conditions doivent être réunies simultanément.
Critère 1 : appartenir à l’un des 18 secteurs listés. La directive distingue deux catégories. Les entités essentielles (Annexe I) opèrent dans les secteurs hautement critiques : énergie, transports, banque, infrastructure des marchés financiers, santé, eau potable et eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace. Les entités importantes (Annexe II) opèrent dans des secteurs critiques élargis : services postaux et d’expédition, gestion des déchets, fabrication et distribution de produits chimiques, production agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.
Pour les start-ups, les secteurs les plus fréquemment concernés en direct sont la santé (healthtech, medtech), les infrastructures numériques (hébergement, cloud, SaaS critique), la fabrication de dispositifs médicaux ou électroniques, et les fournisseurs de services numériques. Une start-up SaaS B2B de gestion de projets n’est a priori pas concernée directement. Une start-up d’hébergement cloud ou de cybersécurité l’est probablement.
Critère 2 : dépasser au moins un seuil de taille. Les entités essentielles sont celles qui emploient au moins 250 personnes ou réalisent un CA annuel supérieur à 50 M€ et un bilan annuel supérieur à 43 M€. Les entités importantes sont celles qui emploient entre 50 et 249 personnes ou réalisent un CA et un bilan annuel supérieurs à 10 M€. Une start-up de moins de 50 salariés n’est a priori pas dans le périmètre direct, sauf si elle opère dans un secteur critique en tant que fournisseur unique ou en tant que prestataire essentiel d’une infrastructure critique.
Si ces deux critères ne sont pas réunis, vous n’êtes pas directement soumis à NIS 2. Mais ce n’est pas la fin de l’histoire.
C’est le point que 77 % des PME françaises n’ont pas encore intégré selon l’ANSSI.
NIS 2 impose aux entités essentielles et importantes de sécuriser leur chaîne d’approvisionnement. Concrètement, cela signifie que vos clients qui sont soumis à NIS 2 doivent évaluer la sécurité de leurs fournisseurs et prestataires, et peuvent vous imposer contractuellement des exigences de conformité, même si votre start-up ne dépasse pas les seuils de taille.
En pratique, voici ce que cela produit : un grand groupe énergétique soumis à NIS 2 envoie à ses prestataires SaaS un questionnaire de sécurité avec des questions sur leur politique de sécurité documentée, leurs sauvegardes, leurs procédures de notification d’incident et leurs tests de continuité. Si vous ne pouvez pas répondre sérieusement à ce questionnaire, vous risquez de perdre le contrat ou de ne pas être référencé.
Pour une start-up B2B qui vise les grands comptes dans la santé, l’énergie, les transports ou les services numériques, NIS 2 est donc une réalité commerciale avant même d’être une obligation réglementaire directe. Les entreprises conformes seront privilégiées dans les appels d’offres. Celles qui ne le sont pas risquent une exclusion progressive de certains marchés, indépendamment de la qualité de leur produit.
Pour les entités directement dans le périmètre, les obligations couvrent 10 domaines définis à l’article 21 de la directive.
Les dirigeants sont personnellement responsables de la mise en place d’une politique de sécurité des systèmes d’information (PSSI) documentée et approuvée au niveau de la direction. C’est la révolution de NIS 2 : contrairement à NIS 1 où la responsabilité était organisationnelle, NIS 2 engage directement les dirigeants. En cas de manquement grave aux obligations de gouvernance, les membres des organes de direction peuvent faire l’objet d’une interdiction temporaire d’exercer.
Une cartographie des risques cyber doit être établie, documentée et révisée régulièrement. Elle doit couvrir les risques liés aux tiers (fournisseurs, sous-traitants, hébergeurs).
Des procédures de détection, de gestion et de notification des incidents doivent être en place. Les délais de notification à l’ANSSI sont stricts : signalement initial sous 24 heures, notification complète avec évaluation préliminaire sous 72 heures, rapport final détaillé sous 1 mois. Un incident non notifié dans les délais expose à des sanctions distinctes de la non-conformité technique.
Un Plan de Reprise d’Activité (PRA) documenté et testé doit permettre de garantir la continuité des services essentiels en cas d’incident. Les sauvegardes doivent être régulières, externalisées et testées.
Évaluation et contractualisation des exigences de sécurité avec les fournisseurs et sous-traitants. C’est le fondement de l’effet de cascade décrit plus haut.
Mesures techniques concrètes : authentification multi-facteurs (MFA) obligatoire, chiffrement des données sensibles, gestion des accès privilégiés, segmentation des réseaux.
Gestion des identités et des droits d’accès, révocations systématiques lors des départs, principe du moindre privilège.
Chiffrement des données au repos et en transit, gestion des certificats.
Formation obligatoire des équipes à la cybersécurité, y compris et surtout des dirigeants. NIS 2 exige que la gouvernance de la cybersécurité soit pilotée au niveau de la direction, pas délégué uniquement à la DSI.
Audits réguliers, tests de pénétration, révision annuelle de la politique de sécurité.
NIS 2 introduit un régime de sanctions significativement renforcé par rapport à NIS 1.
Pour les entités essentielles : amende maximale de 10 millions d’euros ou 2 % du CA annuel mondial (le montant le plus élevé étant retenu). Pour les entités importantes : 7 millions d’euros ou 1,4 % du CA annuel mondial. Au-delà des amendes financières : avertissements publics par l’ANSSI (impact réputationnel direct), injonctions de mise en conformité, suspension temporaire de certifications ou d’autorisations, et possibilité d’interdiction temporaire d’exercer pour les dirigeants des entités essentielles en cas de violation grave.
L’ANSSI a indiqué qu’elle adoptera une approche progressive à partir d’octobre 2026 : information, mise en demeure, contrôles, puis sanctions en cas de non-réponse. Mais cette tolérance disparaîtra rapidement, et tout incident significatif chez une entité non conforme exposera à des sanctions immédiates. Le risque réputationnel auprès des clients et partenaires NIS 2 est aussi pénalisant que le risque réglementaire lui-même.
C’est la question pratique que tout dirigeant se pose. Les ordres de grandeur disponibles donnent une fourchette large selon la taille et le niveau de maturité cyber de départ.
Pour une start-up de 50 postes partant de zéro : entre 15 000 et 40 000 euros la première année (audit de maturité, gap analysis, mise en œuvre des mesures prioritaires, formation des équipes), puis entre 5 000 et 15 000 euros par an pour le maintien. Pour une entité importante de 100 à 249 salariés : entre 100 000 et 200 000 euros pour la mise en conformité complète. Pour une entité essentielle de plus de 250 salariés : entre 450 000 et 880 000 euros selon la complexité du SI.
Ces montants, bien qu’importants, doivent être mis en perspective avec le coût moyen d’un incident de cybersécurité pour une PME, estimé à 150 000 euros, et avec les sanctions NIS 2 qui peuvent atteindre jusqu’à 2 % du CA mondial.
✓ Le diagnostic gratuit MonEspaceNIS2 : commencez par là
L’ANSSI met à disposition un outil de diagnostic gratuit sur MonEspaceNIS2 (accessible sur messervices.cyber.gouv.fr). En 10 minutes, vous pouvez évaluer si votre entreprise entre dans le périmètre direct de NIS 2 et obtenir une première estimation de vos obligations. Les entités concernées peuvent également se pré-enregistrer sur cette plateforme, ce qui ouvre l’accès aux ressources d’accompagnement de l’ANSSI.
NIS 2 a une dimension financière souvent sous-estimée. Les investissements de mise en conformité (audit, outils, formation, prestataires) génèrent des questions comptables et fiscales concrètes : capitalisation ou charges des coûts de mise en conformité, traitement fiscal des solutions de cybersécurité SaaS, impact sur la valorisation des actifs numériques lors d’une due diligence, et articulation avec les assurances cyber (dont les primes augmentent significativement pour les entreprises non conformes).
Par ailleurs, pour les start-ups qui vendent des solutions de cybersécurité ou des infrastructures numériques directement concernées par NIS 2, le label de conformité devient un argument commercial de premier plan. Une start-up qui peut démontrer sa propre conformité NIS 2 à ses prospects ETI ou grandes entreprises dispose d’un avantage compétitif réel dans les appels d’offres qui intègrent désormais la sécurité comme critère d’évaluation.
Une start-up qui ignore NIS 2 par méconnaissance ou par manque de temps prend un risque qui n’est pas seulement réglementaire : elle risque de perdre des marchés auprès de clients grands comptes, de voir sa valorisation impactée lors d’une due diligence, et d’exposer son dirigeant à une responsabilité personnelle en cas d’incident.
Chez wilhow, nous accompagnons les start-ups et scale-ups dans l’évaluation de leur exposition à NIS 2, l’intégration des coûts de conformité dans leur prévisionnel financier, et la préparation de leur dossier lors des due diligences investisseurs sur ces sujets. La cybersécurité est devenue un sujet de gouvernance financière autant que technique.
Mehdi Azaiez
Vivien Asselie
