La loi française qui transpose la directive NIS2 n'est toujours pas promulguée à la fin août 2026. Beaucoup de dirigeants de PME en concluent qu'ils ont le temps, voire qu'ils ne sont pas concernés. C'est une lecture risquée. L'ANSSI a déjà publié son référentiel, ouvert le pré-enregistrement des entités, et surtout, le mécanisme central du texte ne dépend pas de votre taille : il dépend de celle de vos clients.
Qui la loi vise, qui elle épargne en apparence
NIS2 élargit massivement le périmètre de son prédécesseur. Là où le premier texte encadrait environ 500 opérateurs de services essentiels, la directive vise désormais autour de 15 000 entités en France, réparties sur 18 secteurs d'activité 1. La loi distingue deux statuts : les entités essentielles (EE) et les entités importantes (EI), déterminés par le secteur et par la taille. Le seuil d'entrée correspond en pratique à la catégorie des moyennes entreprises, soit au moins 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan.
Une PME de 30 personnes hors des 18 secteurs peut donc légitimement se penser en dehors du champ direct. Sur le papier, elle l'est. Le problème, c'est que le champ direct n'est plus le seul qui compte.
L'effet cascade change le calcul
NIS2 impose aux entités régulées de sécuriser leur chaîne d'approvisionnement. Concrètement, une entité essentielle ou importante doit évaluer et surveiller le niveau de sécurité de ses sous-traitants et de ses fournisseurs de services numériques. Cette obligation ne s'arrête pas à la porte de l'entreprise soumise : elle se propage par contrat à ses prestataires, quelle que soit leur taille.
Si vous éditez un module Odoo pour un industriel, si vous hébergez son instance, si vous gérez son intégration ou sa maintenance, vous faites partie de sa surface d'attaque. Son responsable de la sécurité devra pouvoir répondre de vous. Dans les faits, cela se traduit par des clauses de sécurité dans les appels d'offres, des questionnaires d'audit, des exigences de journalisation et de notification que votre client vous transmettra parce qu'il y est lui-même tenu. Vous n'aurez pas reçu de courrier de l'ANSSI, mais vous aurez reçu un cahier des charges. Le résultat est le même.
C'est le point que beaucoup de prestataires techniques sous-estiment. La conformité NIS2 se diffuse de haut en bas, du donneur d'ordre vers ses fournisseurs, bien avant que les contrôles officiels ne commencent.
Ce que cela touche dans une instance Odoo
Un ERP concentre exactement ce que NIS2 cherche à protéger : données clients, flux financiers, accès fournisseurs, historique de production. Pour un prestataire Odoo, quelques chantiers deviennent des sujets contractuels et non plus seulement techniques.
| Domaine | Attente concrète côté client régulé |
|---|---|
| Gestion des accès | Comptes nominatifs, double authentification, revue des droits |
| Journalisation | Traces d'accès et de modification exploitables, conservées |
| Sauvegardes | Restauration testée, séparation des environnements |
| Sous-traitance | Chaîne des prestataires documentée et évaluée |
| Incidents | Procédure d'alerte et point de contact identifiés |
L'arrivée de l'IA dans les processus internes ajoute une couche à surveiller. Un agent qui lit vos écritures comptables, une intégration qui pousse des données vers un service tiers, un collaborateur qui colle un extrait de base dans un outil gratuit : chacun agrandit la surface exposée. Nous avons déjà décrit ce phénomène dans notre article sur le Shadow AI. NIS2 ne parle pas d'IA en tant que telle, mais sa logique de maîtrise du risque et de la chaîne de sous-traitance s'y applique directement.
Le calendrier réel, sans dramatiser
L'ANSSI a publié le 17 mars 2026 son Référentiel Cyber France (ReCyF), qui traduit les obligations en 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes 2. Ce document existe et sert de feuille de route, même en l'absence de loi promulguée. La plateforme MonEspaceNIS2 est ouverte au pré-enregistrement, avec un simulateur d'éligibilité.
Le volet législatif, lui, avance lentement. Le projet de loi relatif à la résilience des infrastructures critiques, présenté en conseil des ministres en octobre 2024 et adopté par le Sénat en mars 2025, attend son examen à l'Assemblée nationale, désormais projeté en septembre 2026 après plusieurs reports. La France a dépassé l'échéance européenne d'octobre 2024, et la Commission a engagé une procédure devant la Cour de justice de l'Union pour ce retard 3.
Une fois le texte voté, les échéances s'enchaînent : décrets techniques, période transitoire d'enregistrement et d'auto-évaluation, puis premiers contrôles ciblés sur les entités essentielles à partir de 2027, avant une montée en charge des sanctions. Ces sanctions ne sont pas symboliques : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, avec engagement possible de la responsabilité personnelle du dirigeant 4. Côté incidents, le rythme attendu est connu : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois 5.
Notre lecture
Le retard de la loi crée une illusion de délai. Pour une PME prestataire, le vrai déclencheur n'est pas la date de promulgation, c'est le premier appel d'offres d'un client régulé qui arrive avec une annexe sécurité. Ce moment est déjà là dans plusieurs secteurs.
Notre conseil de praticien tient en trois gestes qui ne coûtent presque rien et qui se demandent de toute façon en audit. Documentez qui accède à quoi dans les instances que vous gérez. Vérifiez que vos sauvegardes se restaurent vraiment, pas seulement qu'elles tournent. Tenez à jour la liste de vos propres sous-traitants numériques, hébergeur et briques IA comprises. Le ReCyF donne le cadre, et rien n'oblige à attendre la loi pour s'y aligner.
La question utile n'est pas de savoir si NIS2 vous vise directement. Elle est de savoir combien de vos clients, eux, sont visés. Ce chiffre, vous pouvez le calculer aujourd'hui.
Sources
- ANSSI, La directive NIS 2 : https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/
- ANSSI, MesServicesCyber, Directive NIS 2 : https://messervices.cyber.gouv.fr/nis2
- ReCyF, le Référentiel Cyber France de l'ANSSI décrypté : https://directive-nis2.fr/recyf/
- Transposition NIS2 en France : loi, calendrier 2026 et obligations ANSSI : https://www.legiscope.com/blog/transposition-nis2-france.html
- NIS2 : ce que la directive change pour les PME en 2026 : https://blog.zetruc.fr/cybersecurite/nis2-directive-pme-obligations/
Footnotes
-
Périmètre d'environ 15 000 entités en France sur 18 secteurs, contre près de 500 opérateurs sous NIS1, avec deux statuts, entités essentielles et importantes, selon l'ANSSI. ↩
-
Référentiel Cyber France (ReCyF) publié par l'ANSSI le 17 mars 2026 : 20 objectifs de sécurité pour les entités essentielles, 15 pour les entités importantes. ↩
-
Projet de loi relatif à la résilience des infrastructures critiques, adopté au Sénat en mars 2025, examen à l'Assemblée nationale projeté en septembre 2026 ; retard de la France sur l'échéance européenne d'octobre 2024 et procédure engagée par la Commission devant la Cour de justice de l'Union. ↩
-
Sanctions prévues par la directive : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, avec responsabilité personnelle possible du dirigeant. ↩
-
Notification d'incident important : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. ↩