NIS2 : vous n'êtes pas concerné en direct, mais vos clients peuvent vous le demander quand même

C'est le genre de sigle qui semble ne concerner que les grandes entreprises, jusqu'au jour où un client vous envoie un questionnaire de sécurité à remplir avant de signer. La directive européenne NIS2, en cours de transposition en droit français sous le nom de « loi Résilience », fait exactement ça : elle multiplie par trente le nombre d'entreprises concernées, et une partie de cet effet passe par les sous-traitants, y compris les plus petits.

Un périmètre qui explose, mais qui ne vous vise pas directement

Selon l'ANSSI, le périmètre français passe d'environ 500 entités sous l'ancienne directive NIS1 à près de 15 000 entités sous NIS2. Les critères d'assujettissement direct restent toutefois réservés aux structures d'une certaine taille : schématiquement, plus de 50 salariés (ou 10 millions d'euros de chiffre d'affaires) et une activité relevant de l'un des 18 secteurs régulés par la directive (énergie, santé, numérique, administration, transport, etc.). Une TPE d'une ou deux personnes qui crée des sites web, par exemple, n'entre dans aucune de ces cases.

Source : calendrier de transposition NIS2 en France

Où ça vous rattrape : l'effet de cascade contractuel

L'article 21 de la directive impose explicitement aux entités assujetties de sécuriser leurs relations avec leurs fournisseurs et prestataires. Concrètement, une entreprise soumise à NIS2 a l'obligation de vérifier la sécurité de sa chaîne de sous-traitance, ce qui se traduit dans les contrats : exigences alignées sur un référentiel de sécurité, droit d'audit, obligation de notifier un incident sous 24 heures.

Si vous travaillez, même occasionnellement, pour une entreprise qui entre dans le périmètre NIS2, il n'est donc pas à exclure qu'elle vous demande, à un moment ou un autre : comment est hébergé le site que vous lui avez livré, qui a accès aux identifiants, comment sont gérées les mises à jour de sécurité, ou quelle est votre procédure en cas d'incident.

Source : NIS2 et clause cyber dans les contrats de sous-traitance

Un référentiel de référence, même hors obligation légale

Depuis mars 2026, l'ANSSI diffuse le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Il n'a rien d'obligatoire pour une TPE non assujettie, mais il donne une base concrète et gratuite pour structurer ses propres pratiques : séparation des accès, sauvegardes testées, mises à jour appliquées, procédure écrite en cas d'incident. Autant de points qu'un client peut légitimement demander, NIS2 ou pas.

Ce qu'il est raisonnable de faire maintenant

• Savoir répondre simplement à « comment est sécurisé le site que vous nous livrez ? » : hébergeur, mises à jour, sauvegardes, HTTPS.
• Ne pas attendre qu'un client pose la question pour documenter ces points.
• Garder à l'esprit que la loi de transposition française n'est, à ce stade, pas encore promulguée : le calendrier précis peut encore évoluer, mais l'effet de cascade sur les sous-traitants, lui, est déjà écrit dans la directive européenne.