Un jeudi après-midi, un mail arrive de votre principal donneur d’ordre. Objet : « Évaluation de la sécurité de nos fournisseurs ». Trois pages de questions, une date de retour, et la mention d’une directive européenne dont vous n’aviez jamais entendu parler. Vous n’êtes pas concerné par NIS 2. Elle vient pourtant de vous rattraper.
Le mail que personne n’avait vu venir
Scénario type, et il commence à se rencontrer en vallée de Seine. Une entreprise de dix personnes, sous-traitante d’un site industriel ou d’un opérateur logistique, reçoit un questionnaire de sécurité. Sauvegardes, gestion des accès, procédure en cas d’incident, liste des personnes ayant accès aux données du client. Le dirigeant n’a pas d’informaticien en interne. Il a un prestataire, une bonne relation avec lui, et aucune idée de ce qu’il doit répondre.
La réaction habituelle est de repousser le mail à plus tard. C’est compréhensible et c’est une erreur, pour une raison simple : ce questionnaire n’est pas une formalité commerciale, c’est une obligation légale pour celui qui l’envoie. Il ne disparaîtra pas.
Non, votre TPE n’est probablement pas concernée directement
Commençons par la bonne nouvelle, parce qu’elle est réelle.
La directive européenne NIS 2, publiée au Journal officiel de l’Union européenne en décembre 2022, ne s’applique pas à toutes les entreprises. Son article 2 la réserve aux entités relevant d’un des secteurs listés dans ses annexes I et II, à condition qu’elles atteignent au moins la taille d’une entreprise moyenne au sens de la recommandation européenne 2003/361/CE.
Un point mérite d’être précisé, car il circule beaucoup de chiffres approximatifs. Les seuils de 50 salariés et de 10 millions d’euros ne figurent nulle part dans le texte de la directive. Ils proviennent de la recommandation à laquelle elle renvoie, qui définit une petite entreprise comme employant moins de 50 personnes et réalisant au plus 10 millions d’euros de chiffre d’affaires ou de bilan. En pratique, c’est bien le seuil d’entrée : au-dessous, une entreprise de secteur listé n’est en principe pas assujettie. Il existe toutefois des exceptions de taille, notamment pour les fournisseurs de services DNS et les prestataires de services de confiance qualifiés, concernés quelle que soit leur taille.
Ce que vous pouvez faire tout de suite, gratuitement. L’ANSSI met à disposition un simulateur en ligne, MonEspaceNIS2, qui pose une série de questions sur votre secteur, votre taille et votre activité, et vous indique si vous entrez a priori dans le périmètre. Le test est indicatif et il ne remplace pas une analyse juridique, mais il tranche la question en quelques minutes : monespacenis2.cyber.gouv.fr/simulateur. Faites-le, même si vous êtes convaincu de ne pas être concerné. Une réponse écrite vaut mieux qu’une intuition, notamment si vous exercez dans la santé, l’eau, les déchets, le transport, l’énergie, l’agroalimentaire, la fabrication de dispositifs médicaux ou les services numériques.
Où en est la loi française, précisément
L’article 41 de la directive fixait aux États membres une échéance de transposition au 17 octobre 2024. La France ne l’a pas tenue.
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2 en droit français, a été déposé au Sénat le 15 octobre 2024 et adopté par le Sénat le 12 mars 2025. À l’Assemblée nationale, la commission spéciale a adopté son texte le 10 septembre 2025. À la date de rédaction de cet article, le dossier législatif officiel de l’Assemblée nationale ne fait état d’aucune étape postérieure : le texte n’est pas promulgué, et les décrets d’application qui fixeront le périmètre exact restent à paraître.
Cela ne veut pas dire que rien ne bouge. Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France, le ReCyF, qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2. L’agence précise qu’il est diffusé « en tant que document de travail » et qu’il est « par défaut non-obligatoire », mais que les futurs assujettis qui décident de l’appliquer pourront s’en prévaloir en cas de contrôle.
Traduction pour un dirigeant : le calendrier réglementaire n’est pas figé, alors que les grandes entreprises, elles, ont déjà commencé à structurer leur démarche. Les questionnaires fournisseurs circulent avant la loi.
L’article qui vous concerne sans jamais vous nommer
Tout tient dans l’article 21 de la directive, qui énumère les mesures de gestion des risques que doivent prendre les entités assujetties. Son paragraphe 2, point d, vise :
« la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs »
Le paragraphe 3 va plus loin. Il impose aux entités, pour déterminer les mesures appropriées, de tenir compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services ».
Lisez cette phrase du point de vue de votre client. On lui demande d’évaluer vos pratiques de cybersécurité. Il n’a qu’un seul moyen d’y arriver : vous poser la question, et conserver votre réponse par écrit. C’est le mécanisme de cascade, et il est parfaitement logique. Une usine peut être irréprochable sur son propre réseau et se retrouver compromise par le prestataire de maintenance qui dispose d’un accès distant à ses automates.
Vous n’êtes pas soumis à NIS 2. Vous êtes soumis à un client qui l’est. Contractuellement, c’est presque équivalent.
Les huit points sur lesquels on vous interrogera
Les questionnaires varient, mais leur ossature est stable. Voici ce qui revient, et ce que vous pouvez vérifier vous-même, sans budget et sans compétence technique particulière.
| Ce qu’on vous demande | Ce que vous pouvez vérifier seul cette semaine |
|---|---|
| Vos sauvegardes | Où sont-elles ? Depuis quand n’ont-elles pas été testées ? Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une intention. |
| L’authentification de vos accès | La messagerie, la comptabilité et les accès distants sont-ils protégés par une authentification multifacteur ? Sinon, lesquels ? |
| La gestion des comptes | Les comptes des personnes parties depuis un an sont-ils encore actifs ? Ouvrez la liste des utilisateurs et comptez. |
| Les mises à jour | Vos postes et vos serveurs sont-ils à jour ? Reste-t-il une machine sous un système qui ne reçoit plus de correctifs ? |
| Vos accès distants | Qui peut se connecter à votre système depuis l’extérieur ? Un ancien prestataire figure-t-il encore dans la liste ? |
| Votre procédure d’incident | Si demain tout est bloqué, qui appelez-vous, dans quel ordre, avec quel numéro noté ailleurs que dans le système bloqué ? |
| Vos propres sous-traitants | Qui a accès à vos données ? Votre expert-comptable, votre éditeur de logiciel métier, votre prestataire informatique. |
| La sensibilisation | Vos équipes ont-elles reçu une information sur les faux mails et les demandes de virement ? Quand ? |
Aucune de ces huit vérifications ne suppose d’acheter quoi que ce soit. Elles se mènent avec un carnet et une matinée. Et elles produisent exactement la matière dont vous avez besoin pour répondre.
Trois réponses qui font mauvaise impression
« Nous avons un antivirus. » C’est vrai et insuffisant. La question porte sur une organisation, pas sur un logiciel. Répondre par un nom de produit signale qu’on n’a pas compris ce qui était demandé.
« C’est notre prestataire qui gère. » Réponse fréquente et légitime dans son principe, sauf qu’elle ne dit rien. Ce qu’attend votre client, c’est de savoir ce qui est géré, à quelle fréquence, et ce qui ne l’est pas. Une phrase de votre prestataire précisant le périmètre exact de son contrat vaut dix affirmations rassurantes.
Cocher toutes les cases par prudence. Le risque est asymétrique. Une case honnêtement décochée avec une échéance de mise en conformité passe bien mieux qu’une case cochée à tort, découverte après un incident. Vous engagez votre responsabilité contractuelle en signant ce document.
Ce qui se joue en Seine-Maritime
La vallée de la Seine concentre des activités qui figurent en toutes lettres dans les annexes de la directive : énergie, transport, logistique portuaire, eau potable et eaux usées, gestion des déchets, santé, fabrication de produits chimiques, administrations publiques. Les entités assujetties sont ces grandes structures. Leurs fournisseurs directs, eux, sont très souvent des entreprises de cinq à trente personnes installées à Bolbec, au Havre, à Lillebonne, à Fécamp ou à Yvetot.
Ce sont ces entreprises qui recevront les questionnaires. Beaucoup ne l’ont pas encore anticipé. Celles qui sauront répondre proprement y gagneront un argument commercial, ce qui est une façon inhabituelle et plutôt saine d’aborder la cybersécurité.
Par où commencer
Faites les huit vérifications ci-dessus. Consignez les réponses dans un document de deux pages que vous garderez à jour : contact référent, inventaire des accès, sauvegardes et date du dernier test, procédure d’incident, liste de vos propres prestataires. Ce document répondra à l’essentiel des questionnaires que vous recevrez, et il vous servira le jour où quelque chose ira mal.
Si vous préférez faire ce travail avec quelqu’un, GAÏA INFORMATIQUE propose un diagnostic cybersécurité de 30 minutes, sans engagement, adossé aux recommandations de l’ANSSI. Nous passons en revue vos accès, votre messagerie, vos sauvegardes et vos postes, et nous vous remettons un état des lieux lisible. Nous accompagnons depuis plus de vingt ans des TPE, PME, collectivités et associations en Seine-Maritime.
Pour aller plus loin, découvrez notre approche de la cybersécurité pour les TPE et PME et notre Offre 360.
Questions fréquentes
Mon entreprise de 8 salariés est-elle soumise à NIS 2 ?
Très probablement pas au titre de sa taille : la directive vise les entités des secteurs listés qui atteignent au moins la taille d’une entreprise moyenne. Il existe cependant des exceptions indépendantes de la taille, notamment pour certains services numériques. Le simulateur de l’ANSSI donne une réponse indicative en quelques minutes.
Je ne suis pas concerné, puis-je ignorer le questionnaire de mon client ?
Non. L’obligation pèse sur lui, mais elle se traduit pour vous par une exigence contractuelle. Ne pas répondre, ou répondre tardivement, revient à se placer en défaut vis-à-vis d’un donneur d’ordre qui doit documenter la sécurité de sa chaîne d’approvisionnement.
La loi française est-elle applicable aujourd’hui ?
À la date de rédaction de cet article, le projet de loi Résilience qui transpose NIS 2 n’est pas promulgué et ses décrets d’application ne sont pas parus. Les obligations formelles d’enregistrement et de notification ne sont donc pas encore exigibles. Cela ne suspend ni les démarches déjà engagées par les grandes entités, ni les exigences qu’elles répercutent sur leurs fournisseurs.
Qu’est-ce que le ReCyF et dois-je l’appliquer ?
C’est le Référentiel Cyber France, publié par l’ANSSI le 17 mars 2026. Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. L’agence le présente comme un document de travail, non obligatoire par défaut. Si vous n’êtes pas assujetti, il ne s’impose pas à vous, mais il constitue une grille de lecture utile pour comprendre ce que votre client cherche à vérifier.
Quelle est la mesure la plus rentable si je ne peux en faire qu’une ?
L’authentification multifacteur sur la messagerie et les accès distants. Elle est souvent incluse dans les licences déjà payées, elle se déploie en quelques heures, et elle figure dans la quasi-totalité des questionnaires fournisseurs.
Mon prestataire informatique peut-il remplir le questionnaire à ma place ?
Il peut, et il devrait, renseigner la partie technique et préciser le périmètre exact de son contrat. La signature du document reste la vôtre : c’est votre entreprise qui s’engage. Relisez chaque affirmation avant de valider.
Et si mon client me demande d’appliquer des mesures que je ne peux pas financer ?
Dites-le, avec un calendrier. Un plan de mise en conformité échelonné, écrit et daté, est presque toujours accepté. Un refus silencieux ou une promesse non tenue le sont beaucoup moins.
Sources
- Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022, dite NIS 2, articles 2, 3, 21 et 41 (JOUE L 333, 27 décembre 2022).
- Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, annexe, article 2.
- ANSSI, page « La directive NIS 2 », cyber.gouv.fr, consultée le 10 août 2026 (publication du ReCyF le 17 mars 2026).
- ANSSI, simulateur MonEspaceNIS2, monespacenis2.cyber.gouv.fr/simulateur.
- Sénat, dossier législatif pjl24-033 (dépôt le 15 octobre 2024, texte adopté le 12 mars 2025).
- Assemblée nationale, dossier législatif DLR5L17N50731, texte de la commission spéciale n° 1779 du 10 septembre 2025, consulté le 10 août 2026.
