« NIS2, on est concernés ou pas ? » Depuis la rentrée, c'est la question qui revient dans toutes nos conversations avec les dirigeants du bassin. La réponse honnête : plus souvent qu'on ne le croit — et même quand la réponse est « non », votre donneur d'ordres, lui, l'est probablement. Voici le guide sans jargon (promis, ou presque) pour savoir où vous en êtes.
NIS2 en deux mots
NIS2 est la directive européenne sur la sécurité des réseaux et des systèmes d'information, transposée en droit français sous le pilotage de l'ANSSI. Là où NIS1 ne visait que quelques centaines d'opérateurs critiques, NIS2 étend les obligations de cybersécurité à des milliers d'entreprises, classées en deux catégories : les entités essentielles (énergie, transport, santé, eau…) et les entités importantes (industrie manufacturière, agroalimentaire, gestion des déchets, services numériques…).
Les seuils de principe : une entreprise d'un secteur listé est concernée à partir de 50 salariés ou 10 M€ de chiffre d'affaires (entité importante), et à partir de 250 salariés ou 50 M€ pour le régime le plus exigeant. Mais attention : le critère qui touche le plus de PME nazairiennes n'est pas le seuil — c'est la cascade.
L'effet cascade : le vrai sujet à Saint-Nazaire
NIS2 impose aux entités régulées de sécuriser leur chaîne d'approvisionnement. Concrètement : les Chantiers de l'Atlantique, Airbus Atlantic, les énergéticiens du port et leurs rangs 1 doivent démontrer que leurs fournisseurs ne sont pas leur maillon faible. Résultat, même une PME de 15 personnes qui usine des pièces ou intervient sur site reçoit désormais des questionnaires de sécurité contractuels, avec une échéance et une conséquence simple : pas de réponse crédible, pas de renouvellement.
C'est exactement ce que nous décrivions dans notre article sur la mise à niveau cyber des sous-traitants industriels — NIS2 lui donne maintenant un cadre légal et un calendrier.
Êtes-vous concerné ? Les trois cas de figure
| Votre situation | Ce que ça implique | Urgence |
|---|---|---|
| Secteur listé + ≥ 50 salariés ou ≥ 10 M€ CA | Vous êtes une entité NIS2 : enregistrement auprès de l'ANSSI, mesures obligatoires, notification d'incidents | Immédiate |
| Sous-traitant d'un donneur d'ordres régulé | Pas d'obligation légale directe, mais des exigences contractuelles équivalentes (questionnaires, audits, clauses cyber) | Forte |
| Ni l'un ni l'autre | Pas d'obligation — mais les mesures NIS2 sont exactement celles qui bloquent les rançongiciels. Les assureurs les exigent déjà. | Recommandée |
Ce que NIS2 exige concrètement
Derrière le texte, les mesures sont étonnamment terre à terre — et pour la plupart, ce sont celles que nous déployons déjà chez nos clients :
- Gouvernance : la direction est responsable (et formée) — la cybersécurité n'est plus « un truc de l'informaticien ».
- Authentification multifacteur partout où c'est critique — messagerie, VPN, comptes administrateurs.
- Sauvegardes testées et plan de continuité — notre étude de cas PRA aéronautique montre à quoi ça ressemble en vrai.
- Gestion des incidents : détection, et notification à l'ANSSI sous 24 h (alerte précoce) puis 72 h (déclaration) pour les entités régulées.
- Sécurité de la chaîne fournisseurs : vous devez évaluer vos propres prestataires — y compris votre prestataire informatique.
- Hygiène de base : mises à jour, cloisonnement réseau, chiffrement, sensibilisation des équipes.
Sanctions : dissuasives, mais pas l'essentiel
Les amendes prévues montent jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles (7 M€ ou 1,4 % pour les importantes). En pratique, pour une PME du bassin, le risque immédiat n'est pas l'amende : c'est le contrat perdu face au concurrent qui a répondu au questionnaire en trois jours avec des preuves, et le rançongiciel qui ne vous aurait pas atteint si les mesures étaient en place. Relisez notre bilan des rançongiciels en Loire-Atlantique : zéro chiffrement réussi chez les clients équipés.
Par où commencer : 4 étapes raisonnables
- Situez-vous. Secteur, effectif, chiffre d'affaires, et surtout : qui sont vos donneurs d'ordres et que vont-ils exiger ? Dix minutes avec les trois cas de figure ci-dessus suffisent souvent.
- Faites l'état des lieux. Un pré-audit cybersécurité sur les domaines clés (identités, sauvegardes, postes, réseau, procédures) révèle les écarts avant que le questionnaire du client ne le fasse.
- Traitez les fondamentaux. MFA, EDR managé, sauvegarde immuable testée, sensibilisation : 80 % du chemin NIS2, et l'essentiel de votre protection réelle.
- Documentez. Politique de sécurité, registre des incidents, procédure de crise : un auditeur — ou un donneur d'ordres — ne valide que ce qui est écrit.
Où en êtes-vous face à NIS2 ? Astorya propose un pré-audit gratuit d'1 heure sur site, à Saint-Nazaire et dans tout le bassin : nous passons vos fondamentaux en revue et vous repartez avec une feuille de route claire. Appelez le 02 40 00 80 00 ou demandez à être rappelé.
En résumé
NIS2 n'est ni un monstre bureaucratique ni un sujet qu'on peut ignorer : c'est la formalisation de ce que les donneurs d'ordres du bassin exigent déjà de leur sous-traitance. Directement régulé ou touché par la cascade, le chemin est le même — fondamentaux techniques, preuves écrites, accompagnement sérieux. Notre équipe cybersécurité déploie les mesures, et notre offre audit & conseil IT structure la mise en conformité dans la durée. Autant transformer l'obligation en avantage commercial.