NIS2 : cybersécurité PME en 2026, qui est concerné ?

NIS2 élargit fortement le périmètre européen de la cybersécurité. Pour les PME et ETI, le sujet n'est pas seulement informatique : une cyberattaque bloque la facturation, la paie, les paiements, les commandes, les données clients et parfois la continuité d'exploitation. Même lorsqu'une PME n'est pas directement dans le champ, elle peut subir des exigences de ses clients, assureurs, banques ou donneurs d'ordre.

Ce guide complète nos articles sur audit de conformité, cabinet d'audit organisationnel, DPO obligatoire, facturation électronique 2026 et pilotage financier PME.

L'ANSSI présente NIS2 comme une extension sans précédent du périmètre de la réglementation cyber. Depuis le 17 mars 2026, elle met à disposition le Référentiel Cyber France, ReCyF, comme document de travail listant des mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2. Le référentiel est indiqué comme non obligatoire par défaut à ce stade, mais utile pour les futurs assujettis.

Note de fraîcheur : à jour au 3 mai 2026. L'analyse doit être confirmée au regard de la transposition française définitive et des informations ANSSI disponibles.

NIS2 vise des secteurs jugés critiques ou importants pour l'économie et la société. L'ANSSI distingue les futures entités essentielles et importantes. La FAQ MonEspaceNIS2 indique, à titre général et sauf cas particuliers, que les entités essentielles correspondent aux activités des secteurs hautement critiques et à des seuils de taille comme plus de 250 salariés ou un chiffre d'affaires supérieur à 50 M€.

Le dirigeant doit donc procéder par étapes :

1. Identifier le secteur d'activité exact.
2. Vérifier la taille de l'entité et du groupe.
3. Rechercher les cas particuliers d'inclusion.
4. Examiner les obligations contractuelles clients.
5. Documenter la conclusion, même si l'entreprise estime ne pas être dans le champ.

Une PME peut survivre quelques heures sans site marketing. Elle survit beaucoup moins bien sans paie, banque, facturation, ERP, caisse, fichiers clients ou accès aux justificatifs comptables. La cybersécurité devient donc un sujet de direction financière.

Notre analyse d'expert-comptable : une cartographie cyber utile doit partir des processus qui génèrent du cash et des obligations légales. La question n'est pas seulement "où sont les serveurs ?", mais "combien de jours l'entreprise tient-elle sans facturer, payer et déclarer ?".

• cartographier les systèmes critiques ;
• lister prestataires, accès administrateurs et contrats cloud ;
• activer MFA sur banque, messagerie, paie, comptabilité et ERP ;
• séparer les droits selon les fonctions ;
• tester les sauvegardes, pas seulement les programmer ;
• formaliser une procédure d'incident ;
• intégrer le risque cyber dans le plan de trésorerie ;
• vérifier les clauses d'assurance cyber et exclusions.

Les PME peuvent relier ce chantier à la transformation digitale finance PME, au DAF externalisé et à l'expertise comptable Paris 8. Les startups et éditeurs SaaS trouveront une lecture sectorielle sur startups tech. Côté pilotage, un tableau de bord Power BI peut suivre les accès critiques, incidents et plans d'action.

Le dirigeant doit trancher le niveau de maturité cible. Une PME qui travaille avec grands comptes, administrations, santé, énergie, transport, industrie ou finance ne peut plus traiter la cybersécurité comme une dépense optionnelle.

• La transposition française et les précisions ANSSI doivent être suivies régulièrement.
• Les donneurs d'ordre peuvent imposer des exigences NIS2 même à des sous-traitants non directement assujettis.
• Les sauvegardes non testées donnent une fausse sécurité.
• La fraude au président et au virement reste un risque financier majeur.
• Les incidents cyber doivent être intégrés aux scénarios de trésorerie et continuité d'exploitation.