Longtemps réservée aux grandes entreprises et aux opérateurs stratégiques, la cybersécurité devient une obligation légale pour des milliers de PME et TPE françaises. Portée par la directive européenne NIS2, cette réforme doit être transposée en droit français dans les prochaines semaines et concernera directement de nombreuses entreprises dijonnaises, qu’elles soient prestataires de services, sous-traitantes ou simples fournisseurs d’entités déjà réglementées.
Un texte encore en attente de transposition
En France, la directive NIS2 doit être transposée via le projet de loi « Résilience », qui regroupe en un seul texte trois obligations européennes : la directive REC sur la résilience des entités critiques, la directive NIS2 sur la cybersécurité et le règlement DORA applicable au secteur financier. Ce texte, initialement attendu à l’Assemblée nationale en juillet 2026, a finalement été reporté à la rentrée de septembre, décalant d’autant l’entrée en vigueur du nouveau cadre juridique applicable aux entreprises.
Ce retard n’est pas sans conséquence : la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France le 8 juillet 2026 pour non-transposition de la directive, dont l’échéance était initialement fixée au 17 octobre 2024. Paris affiche donc près de deux ans de retard sur ses engagements européens en matière de cybersécurité.
Des milliers de PME et TPE concernées
Le changement d’échelle est considérable. Alors que l’ancien cadre réglementaire ne concernait qu’environ 300 opérateurs jugés « d’importance vitale », NIS2 élargit fortement le périmètre à des entités qualifiées d’« essentielles » ou d’« importantes », réparties dans une vingtaine de secteurs d’activité (énergie, santé, numérique, transport, gestion des déchets, agroalimentaire, services aux entreprises…). De nombreuses PME et TPE seront concernées non pas directement, mais en tant que fournisseurs ou sous-traitants d’une entité soumise au texte, celle-ci devant vérifier la sécurité de l’ensemble de sa chaîne d’approvisionnement.
Les obligations prévues portent notamment sur :
- la mise en place d’une gestion des risques cyber et d’un plan de continuité d’activité ;
- le renforcement de l’authentification, en particulier l’authentification multifactorielle des accès aux systèmes d’information ;
- la sécurisation de la chaîne d’approvisionnement et des prestataires ;
- la notification rapide des incidents significatifs aux autorités compétentes.
L’ANSSI se prépare, les entreprises doivent anticiper
Désignée autorité compétente pour la France, l’ANSSI a ouvert la plateforme MonEspaceNIS2, qui propose un simulateur d’éligibilité fondé sur le secteur d’activité, l’effectif et le chiffre d’affaires de l’entreprise. Le 17 mars 2026, l’agence a également présenté une première version de travail du Référentiel Cyber France (ReCyF), un document qui détaille les mesures recommandées pour atteindre les objectifs fixés par le texte européen.
Sur le plan des sanctions, le régime prévu par NIS2 est nettement plus dissuasif que les dispositifs antérieurs, avec des amendes pouvant atteindre 10 millions d’euros pour les manquements les plus graves. Autre nouveauté marquante : la responsabilité personnelle des dirigeants est engagée, ces derniers pouvant être temporairement interdits d’exercer des fonctions de direction en cas de non-conformité avérée.
Si le calendrier français laisse encore plusieurs années aux entreprises pour se mettre en conformité, les spécialistes recommandent de ne pas attendre la publication définitive de la loi pour engager les premiers travaux : cartographie des systèmes d’information, analyse des risques, formalisation d’un plan de continuité, revue des contrats avec les prestataires. Pour les services aux entreprises dijonnais, souvent en position de sous-traitants de structures plus grandes, anticiper ces exigences peut aussi devenir un argument commercial vis-à-vis de donneurs d’ordre de plus en plus attentifs à la sécurité numérique de leurs partenaires.
Questions fréquentes
Quelles entreprises sont concernées par la directive NIS2 ?
Les entités qualifiées d’« essentielles » ou d’« importantes » dans une vingtaine de secteurs (énergie, santé, numérique, transport, services aux entreprises…) sont directement visées, mais de nombreuses PME et TPE seront aussi concernées indirectement en tant que fournisseurs ou sous-traitants de ces entités.
Quand la loi sera-t-elle applicable en France ?
Le projet de loi « Résilience », qui transpose NIS2 ainsi que les textes REC et DORA, doit être examiné par l’Assemblée nationale en septembre 2026, après un report depuis juillet. La Commission européenne a par ailleurs saisi la Cour de justice de l’UE contre la France pour retard de transposition.
Comment une entreprise peut-elle savoir si elle est concernée ?
L’ANSSI met à disposition la plateforme MonEspaceNIS2, qui permet à chaque entreprise de vérifier son éligibilité en renseignant son secteur d’activité, son effectif et son chiffre d’affaires.
Sources
Legiscope – Deefense – France Cybersécurité
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale
