La directive européenne NIS2 marque un tournant pour la cybersécurité des entreprises. Bien plus large que la précédente directive NIS, elle étend les obligations de sécurité à des milliers d’organisations supplémentaires — y compris de nombreuses PME, directement ou via leur rôle de sous-traitant. Pour les entreprises lyonnaises, mieux vaut anticiper que subir.
Qu’est-ce que la directive NIS2 ?
NIS2 (Network and Information Security 2) vise à renforcer le niveau de cybersécurité au sein de l’Union européenne. Elle distingue deux catégories d’acteurs : les entités essentielles et les entités importantes, dans des secteurs variés (santé, énergie, transport, services numériques, agroalimentaire, industrie…).
Votre PME est-elle concernée ?
Beaucoup de dirigeants pensent que la réglementation ne vise que les grands groupes. C’est faux : une PME peut être concernée directement (selon son secteur et sa taille) ou indirectement, parce qu’elle fournit un client soumis à NIS2 et doit alors démontrer un niveau de sécurité suffisant. La cybersécurité devient un critère contractuel.
Les principales obligations
NIS2 impose notamment :
- une gestion des risques cyber documentée (analyse, mesures techniques et organisationnelles) ;
- la notification des incidents significatifs dans des délais courts ;
- une responsabilisation de la direction (la gouvernance cyber n’est plus déléguée à la seule DSI) ;
- la sécurisation de la chaîne d’approvisionnement (fournisseurs et prestataires).
En cas de manquement, les sanctions peuvent être lourdes.
À partir de quand la directive NIS2 s’applique-t-elle ?
La directive NIS2 a été adoptée fin 2022 et devait être transposée dans le droit national de chaque État membre de l’Union européenne au plus tard le 17 octobre 2024. En France, la transposition est portée par une loi dédiée à la résilience et à la cybersécurité, en cours de mise en application : les obligations concrètes se précisent, mais le calendrier est lancé. Le message pour une PME est simple : ne pas attendre le décret final pour se préparer, car la mise en conformité prend plusieurs mois.
Quelles sanctions en cas de non-conformité à NIS2 ?
Les sanctions prévues par NIS2 sont volontairement dissuasives, dans une logique proche de celle du RGPD :
- Entités essentielles : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu).
- Entités importantes : jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial.
Au-delà de l’amende, la responsabilité des dirigeants peut être engagée. Une entreprise non conforme s’expose aussi à des exigences renforcées de la part de ses clients et donneurs d’ordre.
Comment se mettre en conformité NIS2 ? La feuille de route en 5 étapes
- Déterminer si vous êtes concerné — directement (secteur et taille) ou indirectement, comme sous-traitant d’une entité assujettie.
- Réaliser un audit de votre niveau de sécurité actuel : accès, sauvegardes, mises à jour, gestion des incidents.
- Mettre en place les mesures de base : double authentification, sauvegardes testées, supervision, gestion des correctifs, plan de réponse aux incidents.
- Formaliser une politique de sécurité et sensibiliser les équipes — le facteur humain reste la première faille.
- Documenter et maintenir : la conformité n’est pas un projet ponctuel mais un suivi continu, avec des preuves à jour.
Comment se mettre en conformité avec APE Conseil
Partenaire certifié Stormshield et ESN lyonnaise depuis 1986, APE Conseil accompagne les PME pas à pas :
- Audit de sécurité — état des lieux des risques, des sauvegardes et des accès.
- Plan d’action priorisé — pare-feu, antivirus managé, MFA, sauvegardes externalisées, plan de reprise d’activité.
- Mise en œuvre et supervision — déploiement des mesures et surveillance continue.
- Documentation — procédures et preuves de conformité.
Anticipez dès maintenant
La conformité NIS2 ne se construit pas en un jour. Profitez d’un audit de sécurité gratuit : nous évaluons votre exposition et vous remettons une feuille de route claire pour protéger votre entreprise et rassurer vos clients.
Questions fréquentes
NIS2 s’applique-t-elle vraiment aux petites entreprises ?
Oui, dans certains secteurs et tailles, ou indirectement lorsque vous travaillez pour un client soumis à NIS2. La sécurité devient un prérequis commercial.
Par où commencer pour se mettre en conformité ?
Par un audit de sécurité : il identifie vos écarts et priorise les mesures (sauvegardes, pare-feu, gestion des accès, plan de reprise). APE Conseil vous accompagne ensuite sur la mise en œuvre.
À Lyon : qui peut vous accompagner ?
Comment une PME lyonnaise peut-elle se préparer à NIS2, et qui peut l’accompagner ?
Une PME de la région lyonnaise commence par vérifier si elle est concernée, directement ou comme sous-traitante d’une entité régulée, puis fait un état des lieux de sa sécurité : comptes et droits, double authentification, sauvegardes, mises à jour, journalisation et procédure d’incident. APE Conseil, prestataire informatique installé à Rillieux-la-Pape depuis 1986, accompagne les TPE et PME de Lyon et de la métropole sur ce chemin : audit de départ, plan d’actions priorisé, mise en œuvre des mesures techniques et documentation à présenter à vos clients ou à votre assureur.
La mise en conformité NIS2 repose sur des briques que nous déployons au quotidien chez les PME lyonnaises : sécurité informatique managée, sauvegarde externalisée immuable et supervision continue du parc en infogérance.
