NIS2 : suis-je concerné ? Ce que la loi sur la cybersécurité signifie pour les petites et moyennes entreprises

Avez-vous reçu ces derniers mois un e-mail où « NIS2 » figurait en gras, avec le mot « amende » jamais très loin ? Respirez un instant.

NIS2 est une directive européenne pour plus de cybersécurité. En Allemagne, elle s'applique depuis le 6 décembre 2025 via le NIS2-Umsetzungsgesetz (la loi allemande de transposition), qui a surtout refondu la loi sur le BSI (BSIG). Il n'y a pas eu de période de transition. Depuis, beaucoup de petites entreprises se demandent : suis-je concerné ? Pour la plupart, la réponse honnête est : probablement pas directement – mais peut-être via leurs clients.

Qui est directement concerné

La loi distingue les « entités essentielles » et les « entités importantes ». Que vous en fassiez partie dépend surtout de deux choses :

• Secteur : Sont concernés certains secteurs, par exemple l'énergie, les transports, la santé, l'eau, les infrastructures numériques, les services informatiques aux entreprises, la poste et les services de messagerie, les déchets, la chimie, l'alimentation, une partie de l'industrie et les fournisseurs numériques.
• Taille : En règle générale, il s'agit d'entreprises moyennes et grandes – en gros à partir de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires annuel et de total de bilan. Le BSI évalue la taille selon la recommandation 2003/361/CE de l'UE. Pour certains services, la loi s'applique quelle que soit la taille.

Le BSI propose en ligne un test d'assujettissement sans engagement. Il ne remplace pas un conseil juridique, mais vous donne une première orientation en quelques minutes.

Ce que doivent faire les entités concernées

• S'enregistrer : au plus tard trois mois après être considéré comme concerné, via le portail commun du BSI et du BBK (l'Office fédéral allemand de protection civile) (§ 33 BSIG).
• Prévenir : mettre en œuvre des mesures appropriées de sécurité de l'information – du plan d'urgence au contrôle d'accès, en passant par les sauvegardes (§ 30 BSIG).
• Signaler : Les incidents de sécurité importants sont signalés au BSI en trois étapes (§ 32 BSIG).
• Impliquer la direction : La direction doit mettre en œuvre les mesures, en surveiller l'application et suivre régulièrement des formations (§ 38 BSIG).

Combien il y en a vraiment

Au 30 septembre 2026, 20.141 entités s'étaient enregistrées selon le BSI : 6.837 entités essentielles et 13.252 entités importantes, plus quelques cas particuliers. Sur la même période, 1.272 premières notifications d'incidents de sécurité ont été reçues. Cela montre que beaucoup d'entreprises sont concernées – mais loin de toutes.

La voie indirecte : quand votre client est concerné

C'est ici que cela devient intéressant pour les petites entreprises. Les entreprises concernées doivent aussi surveiller la sécurité de leur chaîne d'approvisionnement. Si vous fournissez des services informatiques, des logiciels, de la maintenance ou des composants à une entreprise concernée, il est fort possible que votre client pose des questions ou veuille voir des justificatifs. Avez-vous un plan d'urgence ? Comment sécurisez-vous les accès ? Existe-t-il des sauvegardes testées ?

Ce n'est pas de la chicane, c'est la voie par laquelle la loi produit ses effets à grande échelle. Qui peut répondre calmement et honnêtement à ces questions a un avantage – y compris pour décrocher de nouveaux contrats.

Une bonne sécurité de base, qui aide toujours

Concerné ou non : ce qu'exige NIS2, ce sont au fond des devoirs raisonnables. Un plan d'urgence sur une page. La connexion à deux facteurs pour l'e-mail et les comptes importants. Des sauvegardes stockées à part et testées. Des mises à jour qui n'attendent pas des mois. Et une équipe qui sait qui appeler quand quelque chose semble bizarre. Comment s'y prendre avec les sauvegardes, c'est expliqué dans La sauvegarde qui vous sauve vraiment.

Ce que nous entendons le plus souvent lors des échanges

« Nous sommes une entreprise artisanale de douze personnes. Sommes-nous concernés ? » En règle générale, non. L'artisanat ne fait généralement pas partie des secteurs visés, et la taille reste sous les seuils. Il y a des exceptions, par exemple si vous faites partie de l'approvisionnement énergétique.

« Nous sommes une petite société de services informatiques. » Ici, un examen plus attentif s'impose. Les services informatiques gérés pour les entreprises sont un secteur visé. C'est alors surtout la taille qui décide si vous êtes concernés. Et même si ce n'est pas le cas : vos clients poseront des questions.

« Notre client veut une auto-évaluation. Qu'est-ce qu'on y met ? » La vérité, en termes posés. Ce que vous faites déjà, ce que vous prévoyez et pour quand. Personne n'attend d'une entreprise de dix personnes le service de sécurité d'un grand groupe. On attend que vous sachiez où sont vos risques et que vous y travailliez.

Vous voulez savoir où vous en êtes ? Le Monstre Audit vérifie avec vous si NIS2 vous concerne et met clairement par écrit ce qui est pertinent. Pour le plan d'urgence, les circuits de signalement et la formation, le Monstre Cyber est là.

Remarque : Cet article donne un aperçu général (état : 22.10.2026) et ne constitue pas un conseil juridique. Pour votre cas particulier, adressez-vous à un avocat ou à une avocate.