La directive NIS2 me concerne-t-elle si je suis une PME ?

Qui est concerné, en résumé

Certains acteurs sont concernés indépendamment de leur taille (fournisseurs de DNS, registres de noms de domaine, certains opérateurs de communications électroniques), selon le texte de la directive.

Pourquoi "PME" ne veut pas dire "hors champ" à coup sûr

Le seuil d'entrée dans le champ d'"entité importante" est celui d'une moyenne entreprise : 50 salariés ou plus suffisent, sans qu'il soit nécessaire d'atteindre la taille d'un grand groupe. Une PME de taille moyenne dans un secteur listé (par exemple un prestataire de services numériques ou un acteur de la santé) peut donc être directement concernée, alors qu'une entreprise bien plus grande mais hors des secteurs listés ne l'est pas.

L'état réel de la transposition en France, au 30 octobre 2026

La directive NIS2 devait être transposée en droit français au plus tard le 17 octobre 2024. Cette échéance est dépassée depuis plus de deux ans : à la date de notre vérification, aucune loi de transposition n'a été promulguée.

Le texte porteur de cette transposition — le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose à la fois NIS2, la directive REC (résilience des entités critiques) et le volet DORA pour le secteur financier — a été adopté par le Sénat en première lecture le 12 mars 2025, puis adopté par la commission spéciale de l'Assemblée nationale le 10 septembre 2025 (source : dossier législatif de l'Assemblée nationale). Son examen en séance publique, prévu le 7 octobre 2026, a été retiré de l'ordre du jour sans nouvelle date fixée à ce moment-là.

Conséquence directe de ce retard : la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, ainsi que l'Irlande, l'Espagne et les Pays-Bas, le 8 juillet 2026, pour défaut de notification d'une transposition complète de NIS2 (source : communiqué officiel de la Commission européenne). La Commission demande à la Cour d'imposer des sanctions financières — une somme forfaitaire et une astreinte journalière — jusqu'à la notification d'une transposition complète.

Aucun décret d'application n'a été publié à ce jour : selon l'espace d'aide officiel de l'ANSSI dédié à NIS2, dernière mise à jour connue au 19 septembre 2025, les décrets et arrêtés suivront "à l'issue des consultations", après la promulgation de la loi, pas avant.

Se préparer sans attendre la loi

1. Vérifiez si votre secteur d'activité figure dans l'annexe I ou II de la directive, et si votre taille dépasse les seuils d'entité importante.
2. Si c'est le cas, consultez le Référentiel Cyber France (ReCyF), publié par l'ANSSI en version de travail le 17 mars 2026, pour anticiper les exigences attendues — ce document reste susceptible d'ajustements liés aux débats parlementaires en cours.
3. Dans tous les cas, des bases techniques (certificat TLS valide, pas de secrets exposés, pas de composants obsolètes) restent recommandées indépendamment de NIS2 — c'est ce que notre scan peut vérifier dès aujourd'hui, en lecture seule.

Ce que cette page n'est pas

Ce contenu est informatif et ne constitue pas un conseil juridique. Déterminer si votre organisation entre dans le champ de NIS2, et ce que la future loi française exigera précisément, nécessite une analyse au cas par cas : en cas de doute, consultez un professionnel du droit, l'ANSSI, ou la documentation officielle citée en sources. Cette page sera mise à jour dès qu'une loi de transposition sera promulguée.

Questions fréquentes