Mis à jour : septembre 2026. La loi Résilience transpose NIS2 en France, l’enregistrement se fait sur MonEspaceNIS2 et l’ANSSI privilégie l’accompagnement avant la sanction pour les entités qui s’enregistrent tôt.
La France a regroupé la transposition de NIS2, de la directive REC et de DORA dans la loi Résilience. Le changement d’échelle est majeur : environ 15 000 entités entrent dans le champ, contre 500 sous NIS1, y compris des collectivités territoriales et des milliers de PME. L’année 2026 a montré pourquoi : fuite ANTS France Titres touchant 11,7 millions de comptes, Cegedim Santé avec 15 millions de patients, ÉduConnect, FICOBA. Les données françaises sont activement ciblées.
Votre PME est-elle concernée ?
- Taille : à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires dans l’un des 18 secteurs (énergie, transport, santé, eau, déchets, industrie manufacturière, agroalimentaire, chimie, infrastructure numérique, services TIC gérés, poste, recherche et autres).
- Rôle : les prestataires de services gérés (MSP, MSSP) sont expressément inclus.
- Chaîne d’approvisionnement : fournisseur d’une entité régulée, vous devrez présenter des garanties de sécurité contractuelles même sans être régulé directement.
Le calendrier : 3 ans, mais le chrono tourne
| Étape | Ce qui se passe |
|---|---|
| Adoption de la loi Résilience | NIS2, REC et DORA transposées dans un seul texte, ANSSI autorité unique (hors finance) |
| Enregistrement | Déclaration de votre entité sur MonEspaceNIS2 (monespacenis2.cyber.gouv.fr) |
| Publication des référentiels ANSSI | Ouverture d’une fenêtre de mise en conformité d’environ 3 ans, avec accompagnement avant sanction |
| Ensuite | Contrôles et sanctions : jusqu’à 10 millions d’euros ou 2 pour cent du chiffre d’affaires mondial (7 millions ou 1,4 pour cent pour les entités importantes) |
La logique française récompense les entités qui bougent tôt : s’enregistrer maintenant, c’est bénéficier de l’accompagnement ANSSI plutôt que de découvrir les exigences sous la contrainte.
Le plan d’action PME sur 12 mois
- Vérifiez votre éligibilité et enregistrez votre entité sur MonEspaceNIS2.
- Réalisez un état des lieux : analyse de risque (méthode EBIOS RM), gestion des incidents, sauvegardes, MFA, chaîne d’approvisionnement.
- Mobilisez les aides : le diag cybersécurité Bpifrance et les chèques cyber régionaux financent une partie de l’audit.
- Mettez en place la détection : sans surveillance 24/7, les obligations de notification resteront théoriques.
- Formalisez la gouvernance : la direction porte la responsabilité, pas seulement l’informatique.
Pourquoi ITSECOPS : nous sommes partenaires de tous les éditeurs standards du marché, donc EDR, MDR, sauvegarde externalisée et licences Microsoft 365 coûtent généralement moins cher via notre intermédiaire qu’en achat direct, avec des prix affichés publiquement. Comparez vous-même avec nos outils (en anglais) : comparateur de prix cybersécurité, recommandation de stack de sécurité et sélecteur de licences Microsoft 365 et Google Workspace. Nous opérons un SOC 24/7, du MDR et du SIEM, y compris un SIEM open source (Wazuh, Elastic) qui réduit fortement les coûts annuels au-delà de 50 Go de logs par jour.
Réserver une consultation NIS2 gratuite
Questions fréquentes
Ma PME de 60 salariés est-elle concernée par NIS2 ?
Si elle opère dans l’un des 18 secteurs visés, oui : le seuil est de 50 salariés ou 10 millions d’euros de chiffre d’affaires. En dessous du seuil, les exigences arrivent par les contrats de vos clients régulés.
Comment s’enregistrer sur MonEspaceNIS2 ?
Rendez-vous sur monespacenis2.cyber.gouv.fr, créez le compte de votre entité, renseignez secteur, taille et contacts. L’enregistrement précoce ouvre droit à l’accompagnement ANSSI avant toute sanction.
Combien coûte la mise en conformité pour une PME ?
Beaucoup moins si elle s’appuie sur des services mutualisés : un SOC externalisé 24/7 coûte une fraction d’une équipe interne, et le diag cybersécurité Bpifrance finance une partie de l’état des lieux. Nous fournissons un chiffrage précis sous 24 heures.
Quelles sanctions prévoit la loi Résilience ?
Jusqu’à 10 millions d’euros ou 2 pour cent du chiffre d’affaires mondial pour les entités essentielles, 7 millions ou 1,4 pour cent pour les entités importantes, après la période d’accompagnement.