Conformité cybersécurité des PME : RGPD, NIS2 et démarche en 6 étapes

Toute PME française qui traite des données personnelles relève du RGPD : elle doit les sécuriser (article 32) et notifier à la CNIL, dans les 72 heures, une violation qui présente un risque pour les personnes (article 33). La directive NIS2 ne vise que certaines entreprises de 18 secteurs, en général à partir de 50 salariés, et sa loi française de transposition n’est pas adoptée au 12 novembre 2026. Par où commencer : le simulateur de l’ANSSI pour savoir si vous êtes concerné, puis l’inventaire, l’analyse des risques et des mesures de base que vous pourrez prouver.

Ce guide est informatif et ne remplace pas l’avis d’un délégué à la protection des données (DPO) ou d’un avocat.

Quels textes s’appliquent à une PME française ?

L’article 32 du RGPD demande des mesures adaptées au risque : chiffrement, confidentialité, intégrité et disponibilité des systèmes, capacité à restaurer les données après un incident, tests réguliers de ces mesures. L’article 34 impose d’informer les personnes quand le risque est élevé, et l’article 28 étend l’obligation de sécurité aux prestataires qui traitent vos données. Registre et durées de conservation : voir notre guide RGPD pour les PME.

NIS2 et loi « résilience » : où en est la France au 12 novembre 2026 ?

La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France pour ce retard. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, en procédure accélérée, puis examiné en séance publique à l’Assemblée nationale les 9 et 10 novembre 2026. Le vote solennel des députés est annoncé pour le 17 novembre 2026.

Au 12 novembre 2026, le texte n’est donc ni adopté définitivement ni promulgué. Restent une éventuelle commission mixte paritaire, la promulgation et des décrets en Conseil d’État sur les types d’entités visées et les objectifs de sécurité. Suivi officiel : le dossier législatif de l’Assemblée nationale.

Le texte issu de l’examen en séance à l’Assemblée nationale (version provisoire du 10 novembre 2026, avant le vote solennel) prévoit deux catégories :

• entités essentielles : secteurs « hautement critiques » (énergie, transports, banques, santé, eau, infrastructures numériques, espace…), avec au moins 250 personnes, ou plus de 50 millions d’euros de chiffre d’affaires et 43 millions d’euros de bilan ;
• entités importantes : les mêmes secteurs ou des secteurs « critiques » (déchets, chimie, agroalimentaire, fabrication, services postaux, recherche…), avec au moins 50 personnes, ou un chiffre d’affaires et un bilan supérieurs chacun à 10 millions d’euros.

Quelques entités sont visées quelle que soit leur taille : opérateurs de communications électroniques, prestataires de services de confiance, offices d’enregistrement et fournisseurs de services DNS, entités désignées par le Premier ministre. Les éditeurs de logiciels, que la commission avait classés parmi les entités essentielles sans condition de taille, ont été retirés de cette liste par un amendement adopté en séance le 9 novembre 2026. L’ANSSI annonce « plusieurs milliers d’entités ». Elles devront faire approuver leurs mesures de sécurité par la direction, former leurs dirigeants et notifier à l’ANSSI tout incident important : premier signalement sous 24 heures, mise à jour sous 72 heures, rapport final au plus tard un mois après.

Sous-traitant, finance, produits numériques : les obligations par ricochet

Une PME de 20 salariés peut échapper à NIS2 et en subir quand même les exigences : le projet de loi impose aux entités régulées de protéger leurs systèmes « y compris en cas de recours à la sous-traitance ». Leurs mainteneurs, infogérants et éditeurs doivent s’attendre à des questionnaires de sécurité, à des clauses (double authentification, délai d’alerte, droit d’audit) et à des demandes de preuves.

DORA fait de même dans la finance depuis le 17 janvier 2025 : exigences contractuelles envers les prestataires informatiques et registre de ces contrats. Le Cyber Resilience Act concerne les PME qui fabriquent un logiciel ou un objet connecté : signalement des vulnérabilités activement exploitées depuis le 11 septembre 2026, principales obligations à partir du 11 décembre 2027. Enfin, l’article L. 12-10-1 du code des assurances subordonne l’indemnisation d’une cyberattaque à une plainte déposée dans les 72 heures après sa découverte.

Êtes-vous concerné ? Le test de l’ANSSI et cinq questions

Le simulateur NIS2 de l’ANSSI, sur MesServicesCyber (ancien MonEspaceNIS2), indique si votre entité serait régulée et dans quelle catégorie. Le résultat reste indicatif tant que la loi et ses décrets ne sont pas publiés. Pour un premier tri :

1. Traitez-vous des données personnelles ? Si oui, le RGPD s’applique.
2. Votre activité relève-t-elle d’un des 18 secteurs NIS2 ?
3. Avez-vous au moins 50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan ?
4. Vos clients sont-ils régulés (NIS2, DORA) ou exigent-ils des garanties de sécurité ?
5. Vendez-vous un logiciel ou un produit connecté ?

Un « non » aux questions 2 à 5 ne change rien à l’obligation de sécurité du RGPD.

La démarche de mise en conformité en six étapes

1. Inventorier. Matériels, logiciels, données, comptes, accès et prestataires : c’est la base du registre RGPD et de l’analyse de risques.
2. Analyser les risques. La méthode de l’ANSSI s’appelle EBIOS Risk Manager. Plus simple pour démarrer : lister cinq à dix scénarios (rançongiciel, messagerie piratée, fraude au virement, vol d’un portable, panne du serveur), estimer leur probabilité et leur impact, traiter d’abord les plus graves.
3. Mettre en place les mesures techniques. Double authentification, mises à jour, sauvegarde 3-2-1 avec une copie hors ligne testée, EDR sur les postes, journalisation, droits d’accès limités. La CNIL a justement reproché à France Travail, en janvier 2026, une authentification trop faible, une journalisation insuffisante et des habilitations trop larges.
4. Organiser. Politique de sécurité validée par la direction, charte informatique, sensibilisation au phishing, procédure d’incident (qui alerte qui, dans quels délais), clauses de sécurité dans les contrats de vos prestataires.
5. Documenter et prouver. Registre, inventaire, analyse de risques, procédures, tests de restauration, formations : ce dossier montre ce que vous avez fait, en cas de contrôle comme après un incident.
6. Améliorer en continu. Revoir l’ensemble chaque année et après chaque incident, et organiser un exercice de crise.

Trois repères utiles : le guide d’hygiène informatique de l’ANSSI (42 mesures, édition 2017), le référentiel cyber France (ReCyF) publié par l’ANSSI pour NIS2 (version 2.5 de mars 2026, encore une version de travail) et la norme ISO/IEC 27001 si un client exige une certification. Le détail technique est dans notre guide Sécuriser le système d’information d’une PME.

Sanctions et risques réels

Le RGPD prévoit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour un manquement à la sécurité ou à la notification des violations, et 20 millions d’euros ou 4 % pour les grands principes, le montant le plus élevé étant retenu (article 83). Les décisions récentes de la CNIL :

• en 2025, 83 sanctions, dont 67 en procédure simplifiée ; dans ce cadre, 14 organismes ont été sanctionnés pour une sécurité insuffisante, comme des mots de passe trop faibles ou des comptes partagés (bilan publié le 9 février 2026) ;
• par délibérations du 8 janvier 2026, 27 millions d’euros pour Free Mobile et 15 millions pour Free après une fuite de données (connexion VPN pas assez robuste, détection des activités anormales inefficace) ;
• par délibération du 22 janvier 2026, 5 millions d’euros pour France Travail, pour défaut de sécurité.

Pour NIS2, le texte en discussion prévoit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et 7 millions d’euros ou 1,4 % pour une entité importante. S’y ajoutent des risques concrets : arrêt d’activité après une attaque, assurance qui ne paie pas sans plainte sous 72 heures, client perdu faute de pouvoir répondre à son questionnaire de sécurité.

Aides et dispositifs publics

• MonAideCyber (ANSSI) : un premier diagnostic gratuit par un aidant formé par l’ANSSI, conclu par six recommandations prioritaires ;
• MesServicesCyber (ANSSI) : le simulateur NIS2, des guides et un recensement des financements ;
• Cybermalveillance.gouv.fr : le 17Cyber pour l’assistance aux victimes, et le label ExpertCyber pour trouver un prestataire évalué ;
• SecNumacadémie (ANSSI, gratuit) et SensCyber pour former les équipes ;
• en Île-de-France : le chèque diagnostic cyber de la Région n’est plus proposé (dépôt fermé depuis le 21 février 2025) ; le moteur d’aides de France Num recense les dispositifs en cours.

Réseaux VITALIS aide les PME à mettre en place ces mesures depuis sa seule agence, à Chennevières-sur-Marne (94) : audit cybersécurité gratuit, puis double authentification, sauvegardes et protection des postes avec ses marques partenaires, dont ESET. Interlocuteur unique, réponse sous 1 h ouvrée, intervention dès J+1. L’analyse juridique reste l’affaire de votre DPO ou de votre avocat. Voir notre offre de cybersécurité pour les entreprises.

Questions fréquentes