La directive NIS2 a changé la manière d’aborder la cybersécurité en Europe. Entrée en vigueur le 17 octobre 2024, elle impose aux organisations concernées de mieux protéger leurs systèmes, mais aussi leur chaîne de sous-traitance. Pour les TPE et PME, le sujet n’est donc pas réservé aux grands groupes, car les exigences peuvent descendre très vite dans toute la chaîne de valeur.
En quelques lignes :
NIS2 oblige vos clients régulés à exiger des preuves de sécurité jusque chez leurs fournisseurs ; je vous aide à transformer cette contrainte en avantage commercial.
- Je vous conseille de démarrer par un audit de conformité NIS2 pour identifier les écarts et prioriser les actions avant la date butoir du 17 octobre 2026.
- Instaurer une gestion des tiers et ajouter des clauses de cybersécurité dans vos contrats permet de clarifier les attentes et de limiter les risques contractuels.
- Documentez et testez vos sauvegardes, et formalisez une procédure de réponse aux incidents (alerte sous 24 heures, rapport sous 72 heures) pour rassurer rapidement un donneur d’ordre.
- Préparez un dossier de sécurité simple à partager, mettez en avant votre roadmap d’amélioration et formez votre équipe pour gagner des parts de marché plutôt que de les perdre.
NIS2 : rappel, périmètre et acteurs concernés
NIS2 est la directive européenne qui renforce la sécurité des réseaux et des systèmes d’information. Elle vise à réduire les vulnérabilités des secteurs les plus exposés et à harmoniser les exigences de cybersécurité dans l’Union européenne. En France, plus de 15 000 organisations sont estimées concernées directement.
La logique de NIS2 est claire, une entité régulée doit sécuriser l’ensemble de sa chaîne d’approvisionnement. Cela signifie qu’un fournisseur, un prestataire ou un sous-traitant peut être sollicité pour démontrer un niveau de sécurité cohérent avec les attentes du client soumis à la directive.
Les secteurs visés par la directive
NIS2 distingue deux grandes familles, les entités essentielles et les entités importantes. Les premières regroupent des secteurs comme l’énergie, les transports, la banque, la santé, l’eau, les infrastructures numériques, l’administration et l’espace. Les secondes couvrent notamment les services postaux, la gestion des déchets, la chimie, l’agroalimentaire, l’industrie manufacturière, les fournisseurs numériques et la recherche.
Le champ d’application direct dépend aussi de la taille et de l’activité. Selon les secteurs, les seuils cités tournent autour de 50 salariés ou de 10 M€ de chiffre d’affaires. Cela ne veut pas dire qu’une petite structure est invisible, car l’effet contractuel peut la toucher même en dehors du périmètre réglementaire direct.
Le tableau ci-dessous résume la logique d’ensemble pour mieux distinguer les catégories concernées.
| Catégorie | Exemples de secteurs | Logique de traitement |
|---|---|---|
| Entités essentielles | Énergie, transports, banque, santé, eau, infrastructures numériques, administration, espace | Exigences élevées de sécurité et de continuité |
| Entités importantes | Poste, déchets, chimie, alimentaire, industrie, fournisseurs numériques, recherche | Obligations structurées avec contrôle renforcé |
| Sous-traitants et prestataires | TPE, PME, MSP, ESN, logistique, services informatiques | Pression contractuelle et demandes de preuve de sécurité |
Qu’est-ce que l’effet cascade NIS2 et pourquoi les TPE sont concernées ?
L’effet cascade NIS2 désigne le mécanisme par lequel une entreprise soumise à la directive transfère une partie de ses exigences à ses fournisseurs. En pratique, le client doit s’assurer que ses sous-traitants, ses prestataires et parfois les sous-traitants de rang 2 respectent eux aussi un certain niveau de sécurité.
Concrètement, cela se traduit par des questionnaires, des clauses contractuelles, des demandes de preuves ou des audits. Une TPE peut donc être sollicitée pour documenter ses sauvegardes, ses accès, sa gestion des incidents ou ses procédures de continuité, même si elle n’est pas directement régulée par NIS2.
Une obligation directe pour certains, une pression contractuelle pour d’autres
Il faut bien distinguer deux réalités. La soumission réglementaire directe dépend des critères prévus par NIS2, notamment l’activité et la taille de l’organisation. En revanche, la pression contractuelle descendante concerne toutes les entreprises qui travaillent pour un acteur régulé et qui doivent répondre à ses exigences de sécurité.
Autrement dit, travailler pour une entité soumise à NIS2 ne rend pas automatiquement une entreprise redevable au sens réglementaire. En revanche, cela crée des obligations commerciales bien réelles, avec un impact sur la relation client, les appels d’offres et la fidélisation des contrats.
Cette logique peut aller très loin. Un sous-traitant de rang 1 peut devoir imposer certaines mesures à son propre fournisseur, ce qui diffuse les attentes de sécurité sur plusieurs niveaux de chaîne. Pour les petites structures, la question n’est donc pas seulement juridique, elle est aussi opérationnelle et commerciale.
Les nouvelles obligations imposées, directes et indirectes
NIS2 impose aux entités concernées une série de mesures de cybersécurité qui structurent toute leur gouvernance du risque. Le texte prévoit notamment la gestion des risques, la détection et le traitement des incidents, la continuité d’activité, la gestion de crise, la formation du personnel et l’encadrement de la cryptographie et du chiffrement.
La directive renforce aussi les obligations de notification. En cas d’incident significatif, une alerte précoce doit être transmise sous 24 heures, puis un rapport plus complet sous 72 heures. La date butoir de mise en conformité des mesures obligatoires est fixée au 17 octobre 2026.
Ce que les sous-traitants doivent souvent prouver
Dans la pratique, les fournisseurs et prestataires reçoivent des questionnaires de sécurité de plus en plus détaillés. Les clients veulent savoir comment sont gérées les sauvegardes, les habilitations, les journaux de connexion, la confidentialité des données, les mises à jour ou encore la segmentation réseau.
Pour les prestataires qui ont un accès direct ou indirect au système d’information du client, les exigences peuvent devenir proches de celles imposées au donneur d’ordre. L’objectif est simple, éviter qu’un maillon faible ne devienne une porte d’entrée pour un attaquant.
Voici quelques exigences souvent demandées par les clients régulés dans les contrats de sous-traitance.
- Preuve des sauvegardes et de leur test régulier.
- Contrôle des accès et gestion des droits utilisateurs.
- Engagement de confidentialité sur les données et les environnements.
- Capacité de réponse aux incidents avec procédure claire.
- Traçabilité documentaire des actions de sécurité.
Une absence de preuve sur un point sensible peut suffire à fragiliser un contrat. Dans certains cas, cela peut même conduire à l’exclusion d’un appel d’offres ou à la rupture d’une relation commerciale déjà installée.
Impacts opérationnels, erreurs fréquentes et recommandations
Pour une TPE ou une PME, l’effet cascade NIS2 n’a rien d’abstrait. Il se traduit par une pression commerciale, des demandes de justification plus fréquentes et parfois par une mise en concurrence défavorable face à des prestataires capables de démontrer leur maturité cyber.
L’erreur la plus courante consiste à penser que la petite taille protège de toute exigence. En réalité, ce n’est pas la taille seule qui compte, mais le positionnement dans la chaîne de sous-traitance et la capacité à rassurer le client sur le niveau de sécurité.
Les risques à ne pas sous-estimer
L’ANSSI alerte depuis longtemps sur la sous-traitance en cascade non supervisée. Avec NIS2, cette vigilance devient encore plus lisible, car un incident chez un fournisseur peut engager la crédibilité du donneur d’ordre. Si ce dernier n’a pas prouvé qu’il avait évalué ses tiers en amont, sa responsabilité peut être questionnée.
Dans certains contextes, la responsabilité personnelle du dirigeant de l’entité régulée peut aussi être évoquée si l’évaluation des fournisseurs n’a pas été démontrée. Cela explique pourquoi les grandes organisations demandent désormais davantage de preuves, de procédures et de clauses écrites à leurs partenaires.
Pour se mettre en ordre de marche, la première étape consiste souvent à réaliser un audit ou diagnostic de conformité NIS2. Cela permet d’identifier les écarts, de prioriser les actions et de structurer un plan de remédiation réaliste. Même une petite structure peut avancer avec une démarche progressive et documentée.
Les recommandations les plus utiles sont simples à formuler, mais elles demandent de la rigueur dans l’exécution.
- Mettre en place une gestion des tiers avec un suivi des fournisseurs.
- Ajouter des clauses de cybersécurité dans tous les contrats de sous-traitance.
- Conserver des preuves de sécurité, notamment sur les sauvegardes et les accès.
- Former et sensibiliser le personnel aux bons réflexes cyber.
- S’appuyer sur les guides et recommandations publiés par l’ANSSI.
Il est aussi pertinent de s’inspirer des cadres déjà connus comme le RGPD, PCI-DSS ou ISO 27001. Ces référentiels ont déjà habitué de nombreuses entreprises à la logique de documentation, de contrôle et d’amélioration continue. NIS2 prolonge cette dynamique en l’étendant à la chaîne d’approvisionnement.
Enfin, le dialogue avec le client reste déterminant. Une entreprise qui explique clairement sa politique de sécurité, ses limites et son plan de progrès inspire davantage confiance qu’une structure silencieuse ou improvisée. Dans l’univers NIS2, la transparence et la traçabilité pèsent souvent autant que la technique elle-même.
En résumé, NIS2 ne concerne pas seulement les grandes organisations régulées, elle redéfinit aussi les attentes de toute leur chaîne de fournisseurs. Pour les TPE et PME, le sujet est désormais autant commercial que réglementaire, et il mérite d’être traité sans attendre.
