Plan d'action NIS 2 pour une PME : exemple sur 90 jours

Publié le 19 octobre 2026 · Lecture : 7 min

Un plan d'action NIS 2 réaliste pour une PME tient en 90 jours, si l'objectif est le bon : au bout du trimestre, l'entreprise sait si elle est concernée, a nommé un responsable, a mesuré ses écarts sur les dix mesures de l'article 21 de la directive (UE) 2022/2555 du 14 décembre 2022, a chiffré ses priorités et obtenu une décision de sa direction. Elle n'est pas « conforme » au jour 90 : elle a un plan daté, arbitré et suivi. Voici le calendrier, illustré par un exemple fictif.

Pourquoi 90 jours suffisent pour cadrer, pas pour tout faire

La directive n'impose pas une liste unique de contrôles : son article 21 demande des mesures « appropriées et proportionnées », selon l'exposition aux risques, la taille de l'entité, la probabilité et la gravité des incidents (article 21, paragraphe 1, texte consulté sur EUR-Lex le 19 octobre 2026). Il faut donc d'abord savoir où l'on en est.

La directive devait être transposée au plus tard le 17 octobre 2024 (article 41). Au 19 octobre 2026, l'ANSSI indique sur MesServicesCyber que « la transposition de la directive NIS 2 en France est en cours » et invite les futures entités concernées « à s'engager dès à présent ». Exemple fictif : un fabricant de machines industrielles de 120 salariés, avec un infogérant et sans responsable sécurité ; son directeur financier, désigné responsable NIS 2, y consacre une journée par semaine.

Semaines 1 à 2 : qualifier et nommer un responsable

Deux critères se combinent : le secteur (annexes I et II) et la taille, la directive visant les entreprises au moins moyennes au sens de la recommandation 2003/361/CE du 6 mai 2003 (article 2, paragraphe 1). L'ANSSI résume ces seuils (page NIS 2, consultée le 19 octobre 2026) : entité importante dès 50 personnes, ou plus de 10 M€ de chiffre d'affaires et de bilan ; entité essentielle dès 250 personnes, ou plus de 50 M€ de chiffre d'affaires et 43 M€ de bilan, ce statut visant d'abord les secteurs « hautement critiques » de l'annexe I (article 3, paragraphe 1). Le simulateur de MesServicesCyber donne un premier résultat ; les cas particuliers sont dans NIS 2 : comment savoir si votre entreprise est concernée. Notre PME fictive relève de l'annexe II (point 5 d, fabrication de machines et équipements) et dépasse 50 personnes : entité importante probable.

Le responsable NIS 2, pas forcément informaticien, est désigné par une note signée. Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables de la violation de l'article 21 par l'entité ; leurs membres doivent suivre une formation (article 20, paragraphes 1 et 2). La première réunion de direction acte ces points et fixe les deux suivantes.

Semaines 3 à 6 : auto-évaluation sur les dix mesures

L'article 21, paragraphe 2, impose « au moins » dix familles de mesures :

1. analyse des risques et sécurité des systèmes d'information ;
2. gestion des incidents ;
3. continuité des activités, sauvegardes, gestion des crises ;
4. sécurité de la chaîne d'approvisionnement ;
5. acquisition, développement, maintenance, traitement des vulnérabilités ;
6. évaluation de l'efficacité des mesures ;
7. cyberhygiène de base et formation ;
8. cryptographie et chiffrement ;
9. ressources humaines, contrôle d'accès, gestion des actifs ;
10. authentification à plusieurs facteurs ou continue, communications sécurisées.

Pour chaque mesure, trois questions suffisent : existe-t-elle ? est-elle écrite ? peut-on en montrer une preuve datée ? La notation est détaillée dans Auto-évaluation NIS 2 sur Excel : les questions à se poser et comment noter ; l'autodiagnostic gratuit en 20 questions donne un premier état des lieux.

La PME fait seule l'inventaire des actifs et des fournisseurs critiques, la relecture des contrats et la collecte des preuves ; pour les gestes techniques, le guide d'hygiène informatique de l'ANSSI (42 mesures, publié le 23 janvier 2017) décrit le « socle minimum à respecter ». Test d'intrusion, revue d'architecture ou supervision relèvent d'un prestataire, après l'auto-évaluation. Dans l'exemple fictif, trois écarts majeurs ressortent : aucune sauvegarde hors ligne, aucune procédure de notification d'incident, un contrat d'infogérance sans clause de notification ni d'audit.

Semaines 7 à 10 : prioriser et chiffrer

Un écart est P1 si la mesure manque et protège directement l'activité (sauvegardes restaurables, authentification à plusieurs facteurs des accès distants, procédure d'incident, correctifs) ; P2 si elle existe partiellement ou reste à formaliser (politique, revue des droits, clauses fournisseurs) ; P3 pour l'amélioration continue (indicateurs, exercices, audits).

La procédure d'incident se prépare dès cette étape, car l'article 23, paragraphe 4, fixe trois délais pour un incident important : alerte précoce dans les 24 heures après en avoir eu connaissance, notification dans les 72 heures, rapport final au plus tard un mois après la notification (détail dans Notification d'incident sous NIS 2 : les délais de 24 heures, 72 heures et un mois).

Le chiffrage tient en quatre postes, chacun avec une fourchette et une date :

• Temps interne : jours du responsable et des contributeurs ;
• Prestations externes : test d'intrusion, accompagnement, supervision (deux devis au moins) ;
• Outils : sauvegarde isolée, authentification à plusieurs facteurs, gestion des correctifs ;
• Formation : obligatoire pour la direction (article 20, paragraphe 2), encouragée pour le personnel.

Semaines 11 à 13 : présenter à la direction et lancer

La troisième réunion approuve les mesures retenues (article 20, paragraphe 1), signe la politique de sécurité, valide le budget et le calendrier, et inscrit la formation des dirigeants. Le dossier tient sur une page : score par domaine, dix actions prioritaires, budget par poste et trois dates. Dans la PME fictive, la direction lance cinq actions immédiates avant la fin du trimestre, dont la sauvegarde hors ligne et la fiche réflexe d'incident, et planifie les P2 sur six mois.

Le tableau de bord de suivi

Après le jour 90, un point trimestriel de quinze minutes suffit, sur une page A4 :

• taux de conformité par domaine et son évolution ;
• actions P1 en retard et nouvelle échéance ;
• incidents du trimestre et respect des trois délais ;
• dates du dernier test de restauration, du dernier exercice de crise et de la dernière formation des dirigeants ;
• état de la transposition, vérifié sur cyber.gouv.fr et Légifrance.

Le questionnaire, rejoué à six mois, donne à la direction un indicateur simple : l'écart entre les deux scores.

Questions fréquentes

Faut-il attendre la loi française pour lancer le plan ?

Non. Les dix mesures, les obligations de la direction et les délais de notification figurent déjà dans la directive ; ils ne seront exigibles en France qu'avec la loi de transposition et ses textes d'application, mais l'ANSSI invite à s'engager dès à présent.

Une PME peut-elle mener ces 90 jours sans prestataire ?

Le cadrage, l'auto-évaluation, les politiques et la procédure d'incident se font en interne, avec l'infogérant pour la technique ; les prestations externes viennent ensuite, ciblées sur les écarts constatés.

Que se passe-t-il après le jour 90 ?

Un point trimestriel, les actions P1 puis P2, un nouveau questionnaire à six mois et la mise à jour des documents quand les textes évoluent.

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022, articles 2, 3, 20, 21, 23 et 41, annexes I et II, EUR-Lex, consultée le 19 octobre 2026.
• Recommandation 2003/361/CE de la Commission du 6 mai 2003, EUR-Lex.
• ANSSI, MesServicesCyber, page NIS 2 et simulateur NIS 2, consultés le 19 octobre 2026.
• ANSSI, Guide d'hygiène informatique, publié le 23 janvier 2017, consulté le 19 octobre 2026.