Mise en conformité NIS 2 à Lyon
La mise en conformité NIS 2 se prépare dès maintenant, même si la loi française qui doit transposer la directive n'est pas encore adoptée. Depuis Lyon, nous aidons PME, ETI et collectivités à savoir si elles seront concernées, à mesurer leurs écarts et à répondre aux exigences que leurs clients formulent déjà.
Sur NIS 2, les dirigeants entendent tout et son contraire : obligations déjà en vigueur pour les uns, sujet à remettre à plus tard pour les autres. La directive européenne (UE) 2022/2555 fixe bien le cadre. Sa transposition française passe par le projet de loi « Résilience » : voté par le Sénat, il n'a pas encore été examiné en séance par les députés (situation fin octobre 2026). Pour l'instant, personne ne peut donc être contrôlé ni sanctionné à ce titre.
Attendre le vote pour démarrer reste pourtant un mauvais calcul. Les mesures attendues, de la double authentification à la procédure de gestion des incidents, demandent des mois de mise en place. Et les entreprises régulées n'attendent pas les décrets pour interroger leurs fournisseurs : questionnaires de sécurité, clauses contractuelles et demandes d'audit arrivent déjà. Nous vous aidons à faire le tri entre ce qui est acquis, ce qui reste à préciser et ce qui vous protège dès aujourd'hui contre les attaques réelles.
Entité essentielle, entité importante ou fournisseur : où vous situez-vous ?
Trois critères comptent : votre secteur, votre taille et votre place dans la chaîne d'approvisionnement d'autres organisations. Le simulateur « Suis-je concerné ? » de l'ANSSI, sur MonEspaceNIS2, donne une première réponse.
Le secteur
La directive couvre 18 secteurs, dont l'énergie, les transports, la santé, l'eau, les infrastructures numériques, l'infogérance, l'industrie manufacturière, la chimie, l'agroalimentaire, les déchets et la recherche.
La taille
Dans ces secteurs, sont visées les entreprises d'au moins 50 salariés, ou dont le chiffre d'affaires et le bilan dépassent chacun 10 M€. Les plus grandes des secteurs hautement critiques seront en principe essentielles.
Les exceptions
Certains acteurs sont visés quelle que soit leur taille, comme les fournisseurs de services DNS ou de services de confiance. L'autorité peut aussi désigner une entité dont la défaillance aurait un fort impact.
Le fournisseur d'une entité régulée
Une petite entreprise n'entre pas dans NIS 2 du seul fait de ses clients. Mais ceux-ci devront sécuriser leur chaîne d'approvisionnement, et lui demanderont des preuves.
Ce que NIS 2 demandera, traduit en chantiers concrets
L'article 21 de la directive liste dix familles de mesures. L'ANSSI les détaille dans le ReCyF, un référentiel publié comme document de travail : une bonne grille pour mesurer vos écarts dès maintenant.
Gouvernance
La direction devra approuver les mesures, en superviser l'application et se former. Elle pourra être tenue responsable des manquements : le sujet ne se délègue pas entièrement au service informatique.
Maîtrise des risques
Analyse des risques, politique de sécurité, inventaire des actifs, contrôle des accès et authentification multifacteur.
Signalement des incidents
Une procédure écrite et des rôles désignés pour prévenir l'ANSSI d'un incident significatif : alerte précoce sous 24 h, notification sous 72 h, rapport final dans le mois suivant.
Continuité d'activité
Sauvegardes testées, plan de reprise et organisation de crise, pour redémarrer après une attaque ou une panne majeure.
Chaîne d'approvisionnement
Des exigences de sécurité écrites dans les contrats de vos prestataires informatiques, et un suivi de leur respect.
Comment se déroule la prestation
Qualification
Nous déterminons avec vous votre situation probable (essentielle, importante, fournisseur ou hors champ) à partir du secteur, de la taille et de vos clients.
Analyse des écarts
Vos pratiques sont comparées aux mesures attendues, en nous appuyant sur le ReCyF, pour isoler ce qui manque vraiment.
Feuille de route
Les écarts deviennent un plan priorisé et chiffré, avec actions rapides et chantiers de fond, présenté à la direction.
Mise en œuvre et veille
Déploiement des mesures techniques si vous le souhaitez (double authentification, sauvegardes, EDR, supervision), formation des équipes et suivi de l'évolution du texte.
Où intervenons-nous ?
Depuis notre siège de Lyon 6e, nous travaillons avec les entreprises de toute la métropole et d'Auvergne-Rhône-Alpes : sur site quand la mission l'exige, à distance pour le reste, et partout en France pour les prestations qui se font en ligne.
Questions fréquentes
La loi NIS 2 est-elle en vigueur en France ?
Non, pas encore. La date limite de transposition, fixée au 17 octobre 2024, est dépassée et le texte français reste en discussion au Parlement. Après son adoption viendront la promulgation et les décrets d'application ; l'ANSSI a d'ailleurs précisé que les exigences s'appliqueraient après l'entrée en vigueur, avec un décalage. Méfiez-vous des documents qui affirment le contraire sans date ni source.
Comment savoir si mon entreprise est concernée par NIS 2 ?
Commencez par le simulateur « Suis-je concerné ? » de l'ANSSI sur MonEspaceNIS2, qui croise votre secteur et votre taille. Si la réponse reste incertaine, par exemple pour une activité à cheval sur plusieurs secteurs ou un groupe composé de plusieurs sociétés, nous étudions votre cas lors d'un premier échange.
Mon client me demande d'être conforme NIS 2 : que faire ?
Votre client doit sécuriser sa chaîne d'approvisionnement, et vous en faites partie. Il attend moins une conformité au sens strict que des preuves : double authentification, sauvegardes, gestion des correctifs, procédure d'incident, sensibilisation des équipes. Nous vous aidons à répondre honnêtement à son questionnaire, à combler les manques les plus visibles et à documenter ce que vous faites déjà.
Quel budget prévoir pour un accompagnement NIS 2 en PME ?
Il n'existe pas de forfait sérieux, car tout dépend de ce qui est déjà en place. Une entreprise qui sauvegarde, met à jour et protège ses accès aura surtout un travail d'organisation et de documentation ; une autre devra d'abord investir dans la technique. Nous établissons un devis après un premier échange, puis le diagnostic chiffre chaque action du plan pour que vous arbitriez en connaissance de cause.
Quelles sanctions prévoit NIS 2 pour les entreprises et leurs dirigeants ?
La directive fixe des plafonds d'amende : 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante, en retenant le plus élevé des deux. Elle rend aussi la direction responsable de l'approbation et du suivi des mesures. Le régime français ne sera connu qu'avec le texte définitif, et aucune sanction ne peut être prononcée avant son entrée en vigueur.
Prestations associées
Parlons de votre situation
Un premier échange sans engagement pour comprendre votre besoin, puis une proposition claire, chiffrée et sans jargon.