Gouvernance
Responsabilités, arbitrages de direction, politiques et suivi des mesures.
NIS2 · préparation
Ne partez pas du principe que NIS2 s’applique. Vérifiez d’abord votre cas.
Pour une PME, la première étape est de déterminer si elle entre réellement dans le futur périmètre français. La seconde est de préparer les mesures de gouvernance et de résilience qui restent utiles même si l’assujettissement final évolue.
Dernière vérification11 septembre 2026ANSSI · ReCyF
État actuel
La communication officielle française reste encore formulée autour des futurs assujettis.
L’ANSSI parle des futures entités essentielles et importantes et invite ces organisations à anticiper leur sécurisation.
ReCyF est disponible depuis le 17 mars 2026 comme référentiel de cybersécurité recommandé pour préparer les objectifs NIS2.
L’ANSSI le présente encore comme un document de travail correspondant au référentiel prévu par le projet de loi Résilience.
L’assujettissement doit être vérifié avec les outils et textes officiels plutôt que déduit d’un simple seuil générique.
Préparation utile
Les chantiers qui renforcent la résilience même avant la qualification finale.
Risques
Identifier les services critiques, dépendances, scénarios et traitements prioritaires.
Incidents
Préparer détection, escalade, contacts, décision et traçabilité.
Continuité
Prévoir sauvegardes testées, modes dégradés et reprise des activités essentielles.
Prestataires
Clarifier les accès, dépendances et responsabilités avec les fournisseurs critiques.
Preuves
Conserver des éléments vérifiables permettant de démontrer les mesures réellement mises en œuvre.
Méthode
Préparer NIS2 ne doit pas produire une nouvelle couche documentaire sans effet.
Utiliser les ressources officielles et documenter la raison pour laquelle la structure est ou n’est pas concernée.
Distinguer les mesures déjà prouvées, partielles, absentes ou inconnues.
Commencer par les mesures qui réduisent les risques opérationnels les plus significatifs.
Mettre à jour l’analyse lorsque le cadre français, le périmètre ou l’activité évoluent.
Sources officielles
Références vérifiées le 11 septembre 2026.
Repères
Questions sur NIS2 et les PME
Toutes les PME sont-elles concernées par NIS2 ?
Non. L’assujettissement dépend notamment du secteur, de la taille, du type de service et de la qualification retenue. Il faut vérifier le cas de l’organisation avant d’affirmer qu’elle est concernée.
La transposition française est-elle figée ?
Au 11 septembre 2026, l’ANSSI parle encore des futures entités essentielles et importantes et présente ReCyF comme un document de travail lié au projet de loi Résilience. Cette page doit donc être relue lors de toute évolution législative.
Peut-on se préparer avant de savoir si l’on sera assujetti ?
Oui. Clarifier les actifs critiques, les responsabilités, les risques, les procédures d’incident, la continuité et les prestataires améliore la résilience même indépendamment de l’assujettissement final.
RésiSanté peut-il certifier la conformité NIS2 ?
Non. RésiSanté peut aider à structurer une préparation et un plan d’action. Il ne délivre pas de certification NIS2 et ne remplace pas une analyse juridique de l’assujettissement.
Première étape
Commencez par mesurer votre maturité réelle.
Le diagnostic RésiSanté permet de repérer rapidement les pratiques déjà en place, les absences et les zones encore inconnues.