NIS 2 : votre TPE est-elle vraiment concernée ?
Depuis quelques mois, trois lettres et un chiffre reviennent dans toutes les conversations : NIS 2. Et avec eux, une idée reçue tenace — « c’est pour les grandes entreprises, pas pour nous ». Sur le papier, cette phrase est exacte. Dans la réalité de votre activité, elle est trompeuse.
Alors qui est réellement visé par cette directive européenne ? Et surtout : que change-t-elle concrètement pour une structure de dix personnes ?
Qui est directement concerné ?
NIS 2 distingue deux catégories, les entités essentielles et les entités importantes. Le classement dépend de deux critères combinés : le secteur d’activité et la taille de l’organisation. Les seuils tournent autour de cinquante salariés ou dix millions d’euros de chiffre d’affaires.
Si vous êtes une TPE de huit personnes dans le conseil, vous n’entrez donc pas dans le périmètre direct. C’est la lecture littérale du texte, et elle est juste.
Mais s’arrêter là revient à ne lire que la moitié de la directive.
Pourquoi la directive vous rattrape quand même
NIS 2 impose aux entités concernées de sécuriser leur chaîne d’approvisionnement. Autrement dit : leurs fournisseurs, leurs prestataires, leurs sous-traitants. Vous.
Trois mécanismes vous ramènent dans le champ, sans que vous soyez jamais nommés :
- Les questionnaires fournisseurs. Votre client hôpital, collectivité ou industriel doit documenter la sécurité de ses prestataires. Il vous enverra un questionnaire. Sans réponse convaincante, le contrat devient fragile.
- Les clauses contractuelles. Les nouveaux contrats intègrent des obligations de sécurité, de notification d’incident et parfois d’audit. Elles vous engagent juridiquement.
- L’effet de sélection. À prestation égale, un donneur d’ordre soumis à NIS 2 préférera le fournisseur qui sait prouver qu’il est protégé.
La contrainte ne vient donc pas du régulateur. Elle vient de vos clients.
Que faut-il mettre en place, concrètement ?
1. Savoir ce que vous avez
Un inventaire à jour de vos postes, de vos logiciels et de leurs versions. Sans cette base, aucune des mesures suivantes n’est vérifiable.
2. Maintenir les systèmes à jour
La majorité des intrusions exploitent une faille déjà corrigée par l’éditeur. Un correctif appliqué en quelques jours plutôt qu’en quelques mois change radicalement votre exposition.
3. Sauvegarder de manière restaurable
Une sauvegarde que personne n’a jamais testée n’est pas une sauvegarde. Elle doit être isolée du reste du système, et sa restauration doit avoir été vérifiée au moins une fois.
4. Pouvoir raconter ce qui s’est passé
En cas d’incident, vous devrez décrire les faits, les dates et les actions menées. Cela suppose une journalisation conservée et consultable.
Ce qu’il faut retenir
- NIS 2 ne vise pas directement les TPE : les seuils sont à cinquante salariés ou dix millions d’euros.
- Elle vous atteint par la chaîne d’approvisionnement, via vos clients soumis à la directive.
- Quatre fondamentaux suffisent à répondre à la plupart des questionnaires : inventaire, mises à jour, sauvegarde isolée, journalisation.
- Ces mesures sont de toute façon celles qui vous protègent réellement — la conformité n’en est que la conséquence.
C’est précisément ce que Symplissime automatise sur vos postes : inventaire permanent, correctifs appliqués sans intervention, sauvegardes immuables et historique consultable. Vous n’avez pas à devenir expert en conformité pour être en règle.