Opérationnel · 5 min · mis à jour le 4 novembre 2026
PME et sous-traitants : NIS 2 vous concerne, même indirectement
Beaucoup de PME pensent être hors du champ de NIS 2. C'est parfois vrai juridiquement, mais rarement vrai commercialement : vos clients soumis à la directive vont exiger des garanties.
Directement concernée dès 50 salariés
Une entreprise de 50 salariés, ou de plus de 10 M€ de chiffre d'affaires et de bilan, est concernée si elle exerce dans l'un des 18 secteurs. C'est le cas de nombreuses ESN, infogéreurs, industriels et transporteurs.
Indirectement concernée par vos clients
L'objectif 3 du ReCyF impose aux entités de s'assurer, par contrat, que leurs prestataires informatiques respectent leurs obligations, et de le vérifier régulièrement. Concrètement, attendez-vous à recevoir :
- Des questionnaires de sécurité fournisseurs.
- Des clauses de notification d'incident sous des délais courts.
- Des plans d'assurance sécurité et des droits d'audit.
- Des exigences de MFA, de sauvegardes hors ligne et de correctifs.
Les 8 actions qui rassurent le plus vos clients
- MFA sur la messagerie, les accès distants et les comptes d'administration.
- Sauvegardes hors ligne testées chaque année.
- Correctifs appliqués rapidement sur ce qui est exposé à Internet.
- Comptes nominatifs et désactivés au départ des salariés.
- Antivirus ou EDR sur tous les postes et serveurs.
- Une PSSI courte signée par le dirigeant.
- Une procédure d'incident avec les contacts de vos clients.
- Une sensibilisation annuelle des équipes.
Un atout commercial
Pouvoir présenter un rapport d'auto-évaluation fondé sur le référentiel de l'ANSSI accélère les réponses aux appels d'offres et aux questionnaires fournisseurs.