NIS2 n'est plus réservée aux grands groupes : environ 15 000 entités françaises seront concernées, contre environ 500 sous l'ancien régime NIS1 — soit un périmètre multiplié par trente.
Les sanctions sont dimensionnées pour être dissuasives : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle en défaut, avec une responsabilité qui peut remonter jusqu'aux dirigeants eux-mêmes.
Suis-je concerné ? Secteurs, seuils, catégories
Trois critères combinés déterminent l'assujettissement : le secteur d'activité (18 secteurs répartis en deux niveaux de criticité), la taille de l'entité, et le niveau de criticité qui en découle.
Une PME de moins de 50 salariés peut malgré tout être concernée si elle est le seul fournisseur critique identifié d'une entité essentielle.
Ce que NIS2 exige concrètement
Analyse de risque documentée, procédure de notification d'incidents sous 24h puis 72h, plan de continuité testé, évaluation de la sécurité des fournisseurs.
Implication directe des organes de direction dans la gestion des risques cyber, avec approbation formelle des mesures.
Ce qu'il faut retenir
- Vérifier si le secteur figure dans l'une des deux annexes de la directive
- Vérifier si l'effectif ou le CA dépasse les seuils applicables
- Disposer d'une procédure formalisée de détection et notification d'incidents sous 24h
- Avoir testé le plan de continuité d'activité au cours des douze derniers mois
- Avoir formé les dirigeants à leurs responsabilités en gestion des risques cyber
