NIS2 et ReCyF : le guide de conformité complet pour les PME françaises

Introduction : pourquoi NIS2 change tout pour les PME

On ne va pas se mentir : jusqu'ici, la majorité des PME françaises considéraient la cybersécurité comme un sujet réservé aux grands groupes et aux OIV. La directive NIS1, avec ses 500 opérateurs de services essentiels, confortait cette idée. Mais NIS2 rebat complètement les cartes.

Adoptée en décembre 2022 par le Parlement européen, la directive NIS2 (Network and Information Security 2) élargit drastiquement le périmètre des entreprises soumises à des obligations de cybersécurité. En France, ce sont désormais plus de 15 000 entités qui devront se conformer à un cadre renforcé, là où NIS1 n'en visait que 500. Et ce n'est pas tout : la transposition en droit français, attendue pour juillet 2026, s'accompagne du référentiel ReCyF de l'ANSSI, publié le 17 mars dernier, qui décline ces exigences en mesures opérationnelles.

Concrètement, si vous êtes dirigeant ou DSI d'une PME de plus de 50 salariés dans un secteur critique, vous avez environ 6 mois pour vous mettre en conformité. Pas de panique : ce guide est là pour ça.

— Le contexte : une menace qui s'industrialise

Début 2026, la France a subi une vague de cyberattaques sans précédent. Plus de 90 millions de comptes compromis en quelques semaines. La fuite Cegedim a exposé les données de santé de 15 millions de Français. Le CNOUS, le ministère de l'Éducation nationale, La Poste : aucun secteur n'a été épargné.

Ce qui a changé ? Les attaquants industrialisent leurs opérations. L'intelligence artificielle permet désormais de générer du phishing personnalisé à grande échelle, d'automatiser la reconnaissance réseau et de contourner les défenses traditionnelles. Face à cette réalité, le législateur européen a décidé d'agir.

La question n'est plus de savoir si votre entreprise sera ciblée, mais quand. Et surtout, est-ce que vous serez prêts à répondre aux régulateurs quand ils viendront vérifier votre niveau de protection ?

— Êtes-vous concerné ? Les 18 secteurs de NIS2

NIS2 distingue deux catégories d'entités : les entités essentielles (EE) et les entités importantes (EI). La différence ? Le niveau d'exigence et les sanctions. Mais dans les deux cas, les obligations sont réelles et les contrôles prévus.

Les 18 secteurs couvrent : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administrations publiques, espace, services postaux, gestion des déchets, fabrication de produits chimiques, denrées alimentaires, fabrication d'équipements, recherche, et fournisseurs numériques.

Le critère de taille est simple : plus de 50 salariés ou plus de 10 millions d'euros de CA dans un de ces secteurs. Si vous êtes sous-traitant d'une entité concernée, attention : la chaîne d'approvisionnement est explicitement visée par la directive.

— Le ReCyF : la feuille de route concrète de l'ANSSI

Le ReCyF, c'est la traduction opérationnelle de NIS2 version française. Publié le 17 mars 2026, ce référentiel décline l'article 21 de la directive en mesures techniques et organisationnelles que toute entité concernée doit mettre en oeuvre. C'est votre checklist.

Le référentiel s'articule autour de quatre piliers :

Chaque pilier se décline en mesures précises. Par exemple, sous "Protection", on retrouve le contrôle d'accès basé sur les rôles (RBAC), le chiffrement des données au repos et en transit, la segmentation réseau, et la sécurisation de la chaîne d'approvisionnement. Ce n'est pas de la théorie : ce sont des mesures techniques que vos équipes (ou vos prestataires) doivent implémenter.

— Les 10 mesures obligatoires de l'article 21

L'article 21 de NIS2 est le coeur du réacteur. Il impose dix catégories de mesures de cybersécurité que toute entité concernée doit mettre en oeuvre. Voici ce qu'il faut retenir :

1. 1
   Analyse des risques et politique de sécurité des SI

   Formaliser une politique de sécurité basée sur une analyse de risques documentée, revue au moins annuellement.

2. 2
   Gestion des incidents

   Mettre en place un processus de détection, d'analyse et de notification des incidents. Obligation de notifier l'ANSSI sous 24 heures.

3. 3
   Continuité d'activité et gestion de crise

   PCA, PRA, sauvegardes testées régulièrement. La résilience n'est plus optionnelle.

4. 4
   Sécurité de la chaîne d'approvisionnement

   Évaluer et encadrer contractuellement la sécurité de vos fournisseurs et sous-traitants.

5. 5
   Sécurité dans l'acquisition et le développement

   Intégrer la sécurité dès la conception (security by design) et lors de la maintenance des systèmes.

6. 6
   Évaluation de l'efficacité des mesures

   Audits réguliers, tests d'intrusion, exercices de crise pour vérifier que vos mesures fonctionnent réellement.

7. 7
   Pratiques de cyber-hygiène et formation

   Sensibilisation obligatoire de l'ensemble des collaborateurs, y compris la direction.

8. 8
   Chiffrement

   Politique de chiffrement des données sensibles, au repos comme en transit.

9. 9
   Sécurité des ressources humaines et contrôle d'accès

   Gestion des identités, MFA, principe du moindre privilège.

10. 10
    Authentification multi-facteurs et communications sécurisées

    MFA systématique pour les accès critiques, communications chiffrées de bout en bout en cas de crise.

— Plan d'action en 6 étapes pour les PME

Chez WebGuard Agency, on accompagne des PME sur ce sujet depuis l'annonce de NIS2. Voici la méthodologie qu'on a affinée sur plus de 120 missions de mise en conformité :

— Sanctions : ce que risquent les entreprises non conformes

Parlons chiffres, parce que c'est souvent ce qui fait bouger les choses en comité de direction :

Mais ce n'est pas tout. NIS2 introduit une nouveauté majeure : la responsabilité personnelle des dirigeants. Les organes de direction doivent approuver les mesures de gestion des risques et peuvent être tenus responsables en cas de manquement. Autrement dit, le DG ne peut plus dire "je ne savais pas".

Conclusion : NIS2, contrainte ou opportunité ?

On peut voir NIS2 comme une contrainte réglementaire de plus. Mais on peut aussi le voir autrement : c'est l'occasion de structurer une démarche de cybersécurité qui protégera réellement votre entreprise. Les PME qui ont investi dans la sécurité avant la vague de cyberattaques de début 2026 s'en sont bien mieux sorties que les autres. Et ça, aucun régulateur n'avait besoin de le leur imposer.

Le ReCyF de l'ANSSI vous donne la feuille de route. Le calendrier est serré mais tenable. Et si vous avez besoin d'un coup de main, c'est exactement ce qu'on fait chez WebGuard Agency depuis 14 ans.