Directive NIS2 : votre PME de Bordeaux ou de Gironde est-elle concernée en 2026 ?

Vous en avez peut-être entendu parler lors d’un salon professionnel, dans la presse économique régionale ou par un client qui vous a posé la question sans prévenir : « Êtes-vous conforme NIS2 ? » Si vous n’avez pas encore de réponse claire, vous n’êtes pas seul. Une large partie des dirigeants de PME en Gironde découvrent tout juste l’ampleur de cette nouvelle réglementation européenne.

NIS2 n’est plus réservée aux opérateurs stratégiques comme les hôpitaux, l’énergie ou les transports. Elle redessine les exigences de cybersécurité pour des dizaines de milliers d’entreprises françaises, PME comprises, et la loi de transposition française avance rapidement en 2026. Faisons le point sur ce que cela signifie concrètement pour votre activité.

Qu’est-ce que la directive NIS2 ?

NIS2 (Network and Information Security 2) est une directive européenne adoptée fin 2022, qui vient remplacer et considérablement élargir une première directive de 2016. Son objectif : imposer un socle commun d’exigences de cybersécurité aux entreprises jugées importantes pour le fonctionnement de l’économie, afin de réduire le nombre et la gravité des cyberattaques en Europe.

Alors que la première version du texte ne touchait qu’un nombre restreint de grands opérateurs, NIS2 étend son périmètre à une quinzaine de secteurs d’activité supplémentaires, avec un objectif clairement affiché : faire de la cybersécurité un sujet de direction, et non plus seulement un sujet technique délégué au service informatique.

En France, cette directive est transposée par un projet de loi consacré à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le texte a suivi son parcours parlementaire au cours de l’année 2026, avec une promulgation attendue dans les prochains mois.

Ma PME est-elle concernée ?

C’est la question que tout dirigeant girondin devrait se poser dès maintenant, pour deux raisons.

La réglementation directe. Le texte vise principalement les entreprises d’au moins 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires, opérant dans l’un des secteurs désormais couverts : énergie, santé, transport, numérique, industrie, gestion des déchets, agroalimentaire, et bien d’autres. Si votre entreprise dépasse ces seuils dans un secteur concerné, vous entrez directement dans le champ d’application.

L’effet cascade, le vrai sujet pour la majorité des PME. Même une entreprise de moins de 50 salariés, en apparence hors du périmètre direct, peut être concernée si elle travaille comme sous-traitant ou fournisseur d’une entité elle-même soumise à NIS2. Ces grandes entreprises sont tenues d’évaluer la sécurité de toute leur chaîne d’approvisionnement, et elles vont progressivement exiger de leurs prestataires des garanties documentées : politiques de sécurité, authentification renforcée, gestion des sauvegardes, capacité à notifier un incident rapidement.

Concrètement, ne pas anticiper ce sujet, c’est risquer de perdre un appel d’offres ou un contrat de sous-traitance au moment de son renouvellement, simplement parce qu’un client donneur d’ordre ne pourra plus attester de la sécurité de sa propre chaîne.

Ce que NIS2 impose concrètement

Sans entrer dans le détail juridique, voici les grandes familles d’obligations que le texte introduit pour les entités concernées :

• Gouvernance et responsabilité des dirigeants. La cybersécurité devient une responsabilité de direction. Les dirigeants doivent approuver la politique de sécurité de l’entreprise, en superviser l’application et suivre une sensibilisation minimale sur le sujet.
• Gestion des risques. Mise en place d’une analyse de risques, de politiques de sécurité formalisées et de mesures techniques proportionnées (authentification multifacteur, chiffrement, cloisonnement des accès).
• Continuité d’activité. Un plan de reprise et de continuité d’activité (PRA/PCA), avec des sauvegardes testées régulièrement, devient un prérequis attendu.
• Notification des incidents. En cas d’incident de sécurité significatif, un signalement initial est attendu sous 24 heures auprès de l’autorité compétente, suivi d’une notification complète sous 72 heures.
• Sécurité de la chaîne d’approvisionnement. Les entités régulées doivent s’assurer que leurs fournisseurs et sous-traitants respectent eux aussi un niveau de sécurité minimal.

Les sanctions prévues sont significatives, avec des amendes pouvant atteindre plusieurs millions d’euros pour les manquements les plus graves, et une responsabilité qui peut remonter jusqu’aux dirigeants.

Pourquoi anticiper dès maintenant, même sans obligation directe

Le contexte de la menace rend ce sujet urgent indépendamment du calendrier législatif. Les PME et TPE françaises représentent aujourd’hui une part très importante des victimes de rançongiciels recensées chaque année, précisément parce qu’elles restent, en moyenne, moins bien protégées que les grandes structures. NIS2 accélère un mouvement qui, de toute façon, s’imposait déjà : les cyberattaques ciblant les petites structures se multiplient, souvent comme porte d’entrée vers des clients ou partenaires plus grands.

Pour une PME ou une TPE de Gironde, se préparer à NIS2 n’est donc pas qu’une contrainte réglementaire à venir : c’est une occasion concrète de solidifier son infrastructure informatique, de rassurer ses clients et partenaires, et d’éviter les conséquences bien réelles d’un incident de sécurité (arrêt d’activité, perte de données, atteinte à la réputation).

Cinq actions concrètes pour commencer

Pas besoin d’attendre la promulgation définitive de la loi pour avancer. Voici les priorités à traiter en premier :

1. Faire un état des lieux. Un audit de votre infrastructure et de vos pratiques actuelles permet d’identifier rapidement les failles les plus critiques : mots de passe faibles, absence de MFA, sauvegardes non testées, postes obsolètes.
2. Généraliser l’authentification multifacteur (MFA) sur les accès sensibles : messagerie, VPN, outils métier, espaces cloud.
3. Sécuriser vos sauvegardes selon une logique de type 3-2-1 (trois copies, deux supports différents, une copie externalisée), avec des tests de restauration réguliers plutôt qu’une simple sauvegarde « silencieuse ».
4. Formaliser une politique de sécurité minimale et sensibiliser les équipes, en particulier sur le phishing, qui reste le point d’entrée numéro un des attaques.
5. Documenter votre niveau de sécurité, afin de pouvoir répondre sereinement le jour où un client ou un donneur d’ordre vous demandera des garanties dans le cadre de sa propre mise en conformité.

QCS vous accompagne dans cette mise en conformité

Depuis 2002, QCS accompagne les TPE et PME de Bordeaux et de Gironde sur l’ensemble de leur infrastructure informatique. Face à NIS2, nous proposons un accompagnement pragmatique et adapté à la taille de votre structure : audit de votre système d’information, mise en place de solutions de cybersécurité proportionnées à vos enjeux, et stratégie de sauvegarde et de sécurité fiable et testée.

Plutôt que de subir cette réglementation dans l’urgence, autant transformer cette échéance en amélioration durable de votre sécurité. Contactez notre équipe pour faire le point sur votre niveau de préparation.

Demander un audit de cybersécurité avec QCS →

Thibault FOURNIER

Thibault FOURNIER, directeur associé chez Q.C.S depuis plus de 22 ans, est spécialisé dans l’accompagnement des TPE et PME pour optimiser et sécuriser leurs systèmes d’information. Thibault se positionne comme un partenaire de confiance pour le conseil, la maintenance et l’optimisation des infrastructures informatiques et réseaux.

Consulter le profil LinkedIn