Votre entreprise compte moins de cinquante salariés et vous pensez que NIS2 ne vous concerne pas. C’est probablement vrai au sens juridique. Et c’est probablement faux au sens commercial : vos clients qui, eux, sont assujettis doivent désormais vérifier la sécurité de leur chaîne de fournisseurs. Le questionnaire arrivera par eux, pas par le régulateur.
Cet article décrit ce que la directive demande, qui elle vise réellement, où en est la France, et ce que cela change concrètement pour un site web et son hébergement. Aucune obligation n’y est inventée : ce qui n’est pas encore promulgué est signalé comme tel.
Ce que NIS2 est, en une phrase
La directive européenne 2022/2555, dite NIS2, remplace la directive NIS de 2016 et étend fortement le périmètre des entités soumises à des obligations de cybersécurité. Là où la première visait environ trois cents opérateurs en France, la seconde en concerne entre quinze mille et dix-huit mille, répartis sur dix-huit secteurs jugés critiques ou importants.
Le changement de nature compte autant que le changement d’échelle : NIS2 ne demande pas une liste de cases à cocher techniques, elle demande une gestion du risque documentée — savoir ce qu’on expose, savoir qui y accède, savoir en combien de temps on détecte et on signale un incident, et pouvoir le montrer.
Où en est la France, précisément
La date limite de transposition était fixée au 17 octobre 2024. La France ne l’a pas tenue. Le texte qui doit la transposer — la loi dite Résilience — poursuit son parcours parlementaire, avec un examen prévu en 2026 et une promulgation attendue dans la foulée.
Conséquence pratique : au moment où vous lisez ces lignes, aucune sanction française n’est applicable. Ce qui est déjà applicable, en revanche, c’est la pression contractuelle. Les grands comptes et les opérateurs publics n’attendent pas le décret pour faire signer des annexes de sécurité à leurs prestataires.
Qui est visé, qui ne l’est pas, et qui l’est quand même
Le principe est double : appartenir à l’un des dix-huit secteurs concernés, et dépasser cinquante salariés ou dix millions d’euros de chiffre d’affaires. Deux catégories en découlent, avec des régimes distincts.
- Entités essentielles — supervision proactive, amendes pouvant atteindre dix millions d’euros ou 2 % du chiffre d’affaires mondial.
- Entités importantes — supervision réactive, amendes pouvant atteindre sept millions d’euros ou 1,4 %.
L’innovation la plus commentée n’est pas financière : NIS2 introduit la responsabilité personnelle des dirigeants, qui peuvent se voir temporairement interdire l’exercice de fonctions de direction en cas de manquement grave.
Et voici le mécanisme qui concerne tout le monde, y compris les structures hors périmètre : une entité assujettie doit sécuriser sa chaîne d’approvisionnement. Si vous lui fournissez un site, une application, un hébergement ou une prestation de maintenance, vous devenez un maillon de sa conformité. Elle vous posera donc les questions qu’on lui pose.
Ce que ça change pour un site web, concrètement
Un site vitrine n’est pas une infrastructure critique. Mais il est presque toujours le point d’entrée le plus exposé d’une organisation, et c’est à ce titre qu’il apparaît dans les questionnaires. Cinq sujets reviennent.
Savoir ce que vous exposez
Un inventaire des composants — socle, extensions, thèmes, bibliothèques, services tiers appelés par les pages — avec leur version et leur origine. La plupart des entreprises ne l’ont pas, et c’est la première question posée. Nous avons détaillé ailleurs les dix failles qui touchent réellement les sites français : elles viennent presque toutes d’un composant dont personne ne savait qu’il était encore là.
Prouver que les mises à jour sont appliquées
Pas « nous mettons à jour », mais : à quelle fréquence, par qui, avec quelle procédure de retour arrière, et où c’est consigné. Un contrat de maintenance qui produit un rapport daté répond à la question ; une intervention au coup par coup ne répond à rien.
Séparer les accès
Comptes nominatifs, droits minimaux, retrait des accès au départ d’un prestataire ou d’un salarié, authentification à deux facteurs sur l’administration. Le compte partagé « admin » utilisé par cinq personnes est le point de friction le plus fréquent.
Savoir restaurer
Une sauvegarde qu’on n’a jamais restaurée n’est pas une sauvegarde. La question posée est le délai de remise en service, pas l’existence du fichier. Cela se teste, et la date du dernier test se consigne.
Savoir signaler
NIS2 impose des délais de notification d’incident aux entités assujetties. Si vous êtes leur fournisseur, votre engagement de prévenance devient une clause contractuelle : sous quel délai les avertissez-vous d’une compromission constatée chez vous, et par quel canal.
Le cas de l’hébergement
La localisation des données n’est pas une exigence NIS2 — c’est une exigence RGPD, et les deux se confondent souvent dans les discussions. Ce que NIS2 regarde côté hébergement, c’est la capacité à démontrer : journalisation conservée, supervision effective, plan de continuité, gestion des correctifs sur les couches système.
Un hébergement mutualisé sans accès aux journaux et sans engagement de supervision répond mal à ces questions, quelle que soit sa localisation. Un hébergement infogéré y répond parce que quelqu’un en assume la responsabilité et produit les traces.
Ce qu’il est raisonnable de faire maintenant
Nous ne recommandons pas de lancer un chantier de conformité pour un texte non promulgué. Nous recommandons de faire les quatre choses qui sont utiles de toute façon, et qui se trouvent être exactement celles que les questionnaires demandent.
- L’inventaire. Composants, versions, services tiers, accès existants. Une demi-journée, et il sert pour dix ans.
- Le contrat de maintenance avec rapport. Ce qui est appliqué, quand, par qui, et ce qui a été écarté et pourquoi.
- Le test de restauration. Une fois, sur un environnement de préparation, chronomètre en main.
- La clause de notification. Ajoutée aux contrats de prestation, dans les deux sens.
Aucune de ces quatre lignes n’exige d’attendre un décret. Toutes réduisent un risque qui existe déjà, et toutes se documentent une fois pour servir à chaque questionnaire suivant.
En résumé
NIS2 n’est pas encore transposée en France, et la plupart des PME n’entrent pas dans son périmètre direct. Elle les atteindra par leurs clients, sous forme de questions auxquelles il faut pouvoir répondre par des documents plutôt que par des intentions. Un site à jour, dont on connaît les composants, dont on sait restaurer les données et dont la surveillance est assurée par quelqu’un de nommé : c’est la réponse, et elle a de la valeur indépendamment du calendrier législatif.
Références
- Directive (UE) 2022/2555 du 14 décembre 2022 — texte fondateur de NIS2.
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — véhicule de transposition en droit français.
- Recommandations de l’ANSSI sur l’hygiène informatique et la journalisation.
