Oui, si votre entreprise compte plus de 50 salariés ou réalise plus de 10 M€ de chiffre d’affaires dans un secteur listé par la directive (énergie, santé, numérique, industrie, transport…), vous serez probablement soumis à NIS2. Cette directive européenne impose une gestion des risques cyber renforcée, la notification des incidents sous 24 à 72 heures, et la sécurisation de toute votre chaîne de sous-traitance — y compris les applications métier développées pour vous.
La loi française de transposition (“loi Résilience”) n’est pas encore promulguée, mais cela ne veut pas dire que le sujet peut attendre. Voici ce qu’il faut savoir pour évaluer votre exposition et sécuriser vos développements dès maintenant.
Qu’est-ce que NIS2 et pourquoi le sujet devient urgent
NIS2 est entrée en vigueur au niveau européen le 16 janvier 2023, avec une obligation de transposition nationale au 18 octobre 2024. La France a pris du retard : le projet de loi a été adopté par le Sénat le 12 mars 2025, mais son examen à l’Assemblée nationale n’est attendu au plus tôt qu’en septembre 2026.
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France (ainsi que l’Irlande, l’Espagne et les Pays-Bas) pour défaut de transposition, avec demande de sanctions financières. Le texte va donc s’imposer, la seule question est le calendrier exact.
Concrètement, la loi française ne se limite pas à NIS2 : elle transpose en même temps la directive REC (résilience des infrastructures critiques) et DORA (résilience numérique du secteur financier). Trois textes, un seul mouvement réglementaire à anticiper.
Votre entreprise est-elle concernée ?
Le périmètre de NIS2 est nettement plus large que celui de NIS1, qui ne couvrait qu’environ 500 entités françaises. NIS2 en vise environ 15 000.
| Critère | NIS1 (ancien régime) | NIS2 (nouveau régime) |
|---|---|---|
| Entités couvertes en France | ~500 | ~15 000 |
| Taille minimale | Grandes entreprises seulement | ≥ 50 salariés ou > 10 M€ de CA |
| Secteurs | Une dizaine (énergie, transport…) | 18 secteurs (annexes I et II) |
| Sanctions max. | Limitées | 10 M€ ou 2 % du CA mondial |
| Sous-traitants | Non concernés directement | Sécurité de la chaîne d’approvisionnement exigée |
Sont notamment concernés :
- Les entreprises moyennes et grandes des secteurs “hautement critiques” (annexe I) : énergie, transport, santé, eau, infrastructures numériques, administration publique.
- Les entreprises des secteurs “critiques” (annexe II) : industrie, production alimentaire, services numériques, gestion des déchets, fabrication de dispositifs médicaux.
- Les collectivités territoriales : régions, départements, communes de plus de 30 000 habitants.
- Les prestataires de services numériques (DNS, cloud, data centers) et les fournisseurs de services de confiance qualifiés.
Même si votre entreprise n’entre pas directement dans le périmètre, vous pouvez être concerné indirectement : NIS2 impose aux entités régulées d’auditer la sécurité de leurs prestataires et sous-traitants informatiques. Si vous développez ou hébergez des applications pour un client soumis à NIS2, ses exigences de sécurité vont se répercuter sur votre cahier des charges.
Ce que ça change concrètement pour vos applications métier
NIS2 ne se limite pas à un audit de conformité ponctuel. Elle impose des obligations opérationnelles qui touchent directement la manière dont une application sur mesure doit être conçue et exploitée :
- Gestion des risques dès la conception : analyse de risques documentée, chiffrement des données sensibles, gestion des accès (authentification forte, principe du moindre privilège).
- Notification d’incident rapide : une alerte précoce sous 24h, un rapport intermédiaire sous 72h, puis un rapport final sous un mois auprès de l’ANSSI.
- Sécurité de la chaîne d’approvisionnement : audit de sécurité des prestataires, des dépendances logicielles et des API tierces intégrées à votre application.
- Gouvernance et responsabilité des dirigeants : les organes de direction doivent approuver les mesures de gestion des risques et suivre une formation — leur responsabilité personnelle peut être engagée.
- Continuité d’activité : plans de sauvegarde, de reprise après sinistre et de gestion de crise testés régulièrement.
Le coût de l’inaction, en chiffres
L’urgence n’est pas seulement réglementaire. Le panorama 2025 de la cybermenace publié par l’ANSSI (CERT-FR, mars 2026) est sans appel :
- Le nombre d’attaques a doublé entre 2020 et 2025.
- L’ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents avérés.
- Les TPE, PME et ETI représentent désormais 48 % des victimes de rançongiciels, contre 37 % en 2024 — elles sont devenues la première cible.
- Selon l’enquête ANSSI-CLUSIF citée dans le rapport du Sénat de mars 2025, le coût moyen d’une cyberattaque réussie pour une TPE/PME atteint 466 000 €, incluant perte d’exploitation, remédiation technique et impact réputationnel.
Ces chiffres montrent que l’attaquant ne cible plus prioritairement les grands comptes. Les PME sont perçues comme des cibles moins protégées et tout aussi rentables, en particulier lorsqu’elles sont sous-traitantes d’entités plus grandes et disposent d’un accès à leurs systèmes.
Sanctions : ce que vous risquez en cas de non-conformité
Pour les entités dites “essentielles” (grands opérateurs, infrastructures critiques), l’amende peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Pour les entités “importantes”, le plafond est de 7 millions d’euros ou 1,4 % du CA mondial. Ces montants sont comparables à ceux du RGPD, avec en plus un risque de mise en cause personnelle des dirigeants.
Comment sécuriser vos développements dès maintenant
Pas besoin d’attendre la promulgation de la loi française pour agir. Voici les priorités concrètes pour une application métier ou un ERP sur mesure :
- Cartographier vos actifs et vos risques : quelles applications traitent des données sensibles, quelles dépendances externes (API, librairies open source, hébergeur) sont critiques ?
- Intégrer la sécurité dès la conception (“security by design”) : chiffrement au repos et en transit, gestion fine des rôles et des permissions, journalisation des accès.
- Auditer le code et les dépendances régulièrement : analyse de vulnérabilités (SAST/DAST), mise à jour des librairies, tests d’intrusion périodiques.
- Documenter un plan de réponse aux incidents : qui alerte qui, sous quel délai, avec quelle procédure de communication.
- Exiger les mêmes standards de vos prestataires : si vous développez en interne ou faites appel à un prestataire externe, la sécurité de la chaîne de sous-traitance doit être contractualisée.
Un audit de sécurité applicative coûte généralement entre 5 000 et 20 000 € selon la taille de l’application. Un incident de sécurité non anticipé coûte en moyenne 466 000 €. Le calcul du retour sur investissement est vite fait.
Conclusion
Le calendrier législatif français prend du retard, mais le cadre réglementaire européen, lui, avance et les cyberattaques contre les PME françaises n’attendent pas la promulgation d’une loi pour se multiplier. Que votre entreprise entre directement dans le périmètre de NIS2 ou qu’elle soit sous-traitante d’une entité régulée, sécuriser vos applications métier dès la phase de conception est désormais un prérequis, pas une option.
Vous souhaitez évaluer votre exposition à NIS2 ou sécuriser une application existante ? Contactez notre équipe pour un audit de sécurité de vos développements.