NIS2 pour Network and Information Security, directive européenne de deuxième génération, est le nouveau cadre réglementaire qui redéfinit les obligations de cybersécurité des entreprises en France et dans toute l’Union européenne. Ce n’est pas un sujet réservé aux grandes administrations ou aux opérateurs d’importance vitale. C’est un texte qui va toucher des milliers d’entreprises de taille intermédiaire qui ne savent pas encore qu’elles en font partie.
Trente fois plus d’entités, et plus personne pour vous le dire.
Sous NIS1, environ cinq cents entités étaient désignées individuellement par l’État en France. Elles le savaient : on les avait nommées, elles avaient un interlocuteur, un budget, souvent un RSSI.
Avec NIS2, l’ANSSI estime le périmètre à près de quinze mille entités. Trente fois plus. Et le mécanisme a fondamentalement changé : il n’y a plus de désignation individuelle. C’est à vous de déterminer si vous entrez dans le champ, de vous enregistrer, et de vous mettre en conformité sous votre propre responsabilité.
La réalité du terrain est simple et un peu brutale : beaucoup d’entreprises de taille intermédiaire ne découvriront pas leurs obligations par courrier officiel. Elles les découvriront par un donneur d’ordre ou un grand client qui leur demandera où elles en sont avant de renouveler un contrat.
Chez NEOEDGE, nous sommes directement concernés. Nos quarante-huit collaborateurs et nos dix millions d’euros de chiffre d’affaires nous placent précisément à la frontière des seuils. Nous avons fait le choix pragmatique de traiter le sujet comme si nous y étions pleinement soumis, parce que l’inverse serait parier sur un décret qui n’est pas encore publié.
Ce que le texte dit, et pourquoi attendre est une erreur.
La loi Résilience, qui transpose NIS2 en droit français, suit un parcours législatif qui illustre parfaitement notre propos. Adopté par le Sénat en mars 2025, le texte était programmé à l’Assemblée nationale le 7 octobre 2026. Il a été retiré de l’ordre du jour la veille, sans nouvelle date arrêtée. La France accuse désormais deux ans de retard sur l’échéance européenne de transposition, au point que la Commission européenne a saisi la Cour de justice de l’Union contre la France pour défaut de transposition. L’ANSSI, de son côté, n’a pas attendu : elle a publié dès mars 2026 son cadre cyber structuré en quatre piliers : gouvernance, protection, défense, résilience. C’est la grille sur laquelle les mesures seront lues et évaluées, quelle que soit la date du vote.
Ce que cela signifie concrètement : le calendrier réglementaire n’est pas figé, mais les mesures attendues, elles, sont connues et stables. Authentification multifacteur, sauvegardes éprouvées, détection, continuité et reprise d’activité, formation des dirigeants, exercices de crise. Aucune de ces mesures ne se déploie en trois semaines. Attendre le décret pour commencer, c’est perdre l’année où on aurait pu travailler sans pression.
Un point que beaucoup sous-estiment : le régulateur intègre pleinement la chaîne d’approvisionnement dans la surface d’attaque des entités régulées. Votre prestataire d’infogérance fait partie de votre périmètre de conformité, et son niveau de sécurité conditionne directement le vôtre.
La bonne question à poser à tout prestataire, y compris à nous, n’est donc pas « êtes-vous conforme ». C’est : dans quel secteur de l’annexe entrez-vous, et que couvrez-vous exactement sur mon périmètre ? Par écrit.
Trois choses que nous voyons, et qui coûtent cher.
L’inventaire n’existe pas. La question qui bloque les audits n’est pas technique, c’est : qu’est-ce qui est branché sur votre réseau ? La réponse honnête est rarement complète. Caméras, automates, imprimantes, matériel d’un prestataire oublié. On ne protège pas ce qu’on ne sait pas avoir.
Les sauvegardes ne sont pas testées. Presque tout le monde sauvegarde. Très peu redémarrent. NIS2 ne demande pas une solution de sauvegarde, elle demande une capacité de reprise : une restauration réellement effectuée, datée, tracée. C’est une preuve, pas un produit.
L’obsolescence devient opposable. Un serveur hors support n’était jusqu’ici qu’un risque technique qu’on assumait. Dans un dossier de conformité, il devient une non-conformité écrite. Ceux qui ont encore du Windows Server 2016 en production ont un sujet supplémentaire le 12 janvier 2027.
Sur ce dernier point, notre dossier Talk IT sur la préparation estivale des SI posait déjà la question de l’obsolescence et des sauvegardes non testées. NIS2 ne fait que les rendre opposables : ce qui était un risque assumé devient une non-conformité documentée.
Ce que nous refusons de faire, et par quoi commencer.
Nous ne vendons pas de conformité NIS2 en boîte. Ça n’existe pas, et les offres qui le prétendent facturent un audit générique que vous auriez pu produire en interne. Nous ne faisons pas non plus de l’inventaire un projet de six mois. Une campagne de découverte réseau donne un premier état en quelques jours, suffisant pour décider et bien assez pour découvrir ce qu’on ne savait pas avoir. Et si notre lecture du périmètre conclut que vous n’êtes pas concerné, nous le disons. C’est arrivé.
Si vous découvrez le sujet, l’ordre compte plus que la vitesse.
D’abord savoir si vous êtes concerné : dix-huit secteurs, des seuils de taille, des cas de rattachement par la chaîne d’approvisionnement.
Ensuite l’inventaire, qui conditionne tout le reste.
Puis la preuve de reprise : une restauration testée, datée, tracée. C’est la mesure qui rassure le plus un comité de direction, et la moins coûteuse à produire quand la sauvegarde existe déjà.
Enfin les mesures de fond : authentification multifacteur, segmentation, détection, exercices. C’est là que se trouvent les budgets, et c’est là qu’il faut arbitrer.
Le chiffre qui compte.
Pas le coût de la conformité. Le coût d’une journée d’arrêt. C’est lui qui décide du niveau d’investissement raisonnable, et c’est le seul que les sanctions, jusqu’à dix millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, rendent comparable.
Si le sujet cloud et gouvernance vous intéresse, nos dossiers Talk IT sur les dérives FinOps et sur la dette IA abordent la même logique : on ne pilote pas ce qu’on ne voit pas, et le coût réel d’une absence de cadre se découvre toujours trop tard.
Nos équipes à Marseille, Lyon, Amiens et Paris sont disponibles pour produire ces deux chiffres avec vous : ce qui est réellement branché sur votre réseau, et ce que coûterait une journée d’arrêt. Quelques jours de travail, un livrable que vous gardez, et un plan priorisé, y compris quand il conclut que vous n’êtes pas dans le champ.
NIS2 ne vous préviendra pas.
Votre prochain client, lui, le fera peut-être.
NEOEDGE. Human Geek for Advanced IT.