La directive européenne NIS 2 étend les obligations de cybersécurité à beaucoup plus d’entreprises que la première version — y compris des PME, directement concernées ou entraînées par leurs donneurs d’ordre. Faut-il paniquer ? Non. Faut-il s’y mettre ? Oui, méthodiquement.
Qui est concerné, en pratique
Au-delà des secteurs formellement visés, la réalité du terrain est plus large : même une PME hors périmètre se verra demander des garanties par ses clients grands comptes et ses assureurs. La question n’est donc pas seulement « suis-je dans la liste ? » mais « que devrai-je prouver, et à qui ? ».
Ce que NIS 2 demande, ramené à l’essentiel
Derrière le texte, des fondamentaux de sécurité :
- savoir ce que vous avez (inventaire des systèmes et des données) ;
- savoir qui accède à quoi (gestion des identités et des droits) ;
- pouvoir détecter et réagir (supervision, procédure d’incident) ;
- pouvoir repartir (sauvegardes testées, plan de reprise) ;
- impliquer la direction — la responsabilité ne se délègue pas entièrement au prestataire informatique.
Par où commencer : l’état des lieux
Impossible de prioriser sans constat. Une auto-évaluation structurée — par exemple sur la base du référentiel de l’ANSSI — révèle en quelques jours où vous êtes solide et où vous êtes exposé. C’est un diagnostic technique et organisationnel ; pour l’interprétation juridique de vos obligations, rapprochez-vous d’un conseil spécialisé.
Ce qui peut attendre
Tout ne se fait pas en trois mois, et c’est normal. Un plan d’action priorisé distingue ce qui réduit vraiment le risque dès maintenant (accès, sauvegardes, mises à jour) de ce qui relève de la consolidation progressive (documentation, exercices de crise, indicateurs).
MBEDSYS accompagne les TPE/PME avec un audit & état des lieux : le point de départ que demandera votre donneur d’ordre ou votre assureur.