NIS2 : par où commencer quand on est une PME ?

NIS2 n'est plus réservée aux grands groupes ou aux opérateurs d'infrastructures critiques. La directive élargit son périmètre à un nombre bien plus large d'entités, y compris de nombreuses PME et ETI qui découvrent, souvent tardivement, qu'elles entrent dans son champ d'application — directement, ou indirectement via leurs relations avec des donneurs d'ordre soumis à la réglementation.

La première erreur consiste à traiter NIS2 comme un projet informatique isolé. NIS2 impose avant tout des obligations de gouvernance : la direction doit être formée, informée et responsable des décisions de sécurité. Sans portage par la direction, aucune démarche de mise en conformité ne tiendra dans la durée.

La deuxième étape consiste à clarifier précisément votre statut : êtes-vous une entité essentielle, une entité importante, ou concernée indirectement en tant que fournisseur d'une entité régulée ? Cette qualification détermine le niveau d'exigence attendu et évite de sur-investir ou de sous-estimer l'effort nécessaire.

Une fois le périmètre clarifié, un diagnostic d'écart structuré permet de comparer vos pratiques actuelles — gestion des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement — aux exigences de la directive. C'est ce diagnostic qui transforme une obligation abstraite en plan d'action concret.

Pour une PME, la clé n'est pas de tout traiter en même temps, mais de prioriser : les mesures qui réduisent le plus de risque réel, avec le moins de complexité de mise en œuvre, doivent passer en premier. Une feuille de route réaliste sur 12 à 18 mois vaut mieux qu'un plan ambitieux qui ne sera jamais exécuté.

Enfin, NIS2 ne doit pas être vécue comme une contrainte isolée. Bien menée, la démarche renforce la résilience réelle de l'entreprise face aux incidents cyber — un bénéfice qui dépasse largement la simple conformité réglementaire.