NIS 2 : votre PME n’est peut-être pas concernée directement, mais vos clients peuvent l’être

La première étape reste évidemment de vérifier si l’entreprise est directement concernée par la réglementation. Cette analyse dépend notamment du secteur d’activité, de la taille de l’organisation et de la nature des services fournis.

Mais pour une PME, il faut aussi poser une deuxième question : certains de nos clients, partenaires ou donneurs d’ordre sont-ils eux-mêmes concernés par NIS 2 ou par des exigences cyber renforcées ?

Une entreprise régulée ne regardera pas uniquement sa propre cybersécurité. Elle devra aussi mieux maîtriser ses dépendances, ses prestataires, ses fournisseurs, ses applications, ses hébergements et ses flux de données.

Dans la pratique, beaucoup de PME ne recevront pas une notification officielle leur disant qu’elles entrent dans le périmètre NIS 2. En revanche, elles peuvent recevoir des demandes beaucoup plus concrètes de leurs clients.

Ces demandes peuvent arriver lors d’un appel d’offres, d’un renouvellement de contrat, d’un audit fournisseur, d’un questionnaire de sécurité ou après un incident cyber dans la chaîne de sous-traitance.

Le dirigeant peut alors découvrir que la cybersécurité n’est plus seulement un sujet technique interne, mais un critère de confiance, de référencement et parfois de maintien de la relation commerciale.

Face à une demande client, la tentation peut être de produire rapidement une politique de sécurité, une charte ou une réponse déclarative. Ces documents peuvent être utiles, mais ils ne suffisent pas si le système d’information n’est pas réellement maîtrisé.

Un client mature cherchera de plus en plus à obtenir des preuves : captures de configuration, procédure de sauvegarde, rapport de test, liste des accès sensibles, preuve de MFA, description du dispositif de supervision, processus de gestion des incidents.

Pour une PME, l’enjeu n’est pas de copier les pratiques d’un grand groupe. L’enjeu est de construire un socle crédible, proportionné et démontrable.

La bonne réponse n’est pas de lancer un programme lourd, coûteux et déconnecté du terrain. Une PME a souvent besoin d’un plan court, priorisé, adapté à son activité et à ses clients.

Le point de départ consiste à identifier les exigences probables : clients sensibles, contrats importants, données manipulées, services critiques, accès fournis aux clients, rôle de sous-traitant ou de prestataire technique.

Ensuite, il faut relier ces exigences à des actions concrètes : sécuriser les accès, vérifier les sauvegardes, clarifier les responsabilités, documenter les dépendances, tester la reprise et formaliser les procédures essentielles.

Une PME peut être elle-même sous-traitante, mais elle dépend aussi souvent d’autres prestataires : infogérant, hébergeur, éditeur logiciel, intégrateur, support métier, téléphonie, messagerie, sauvegarde ou cybersécurité.

Si un client vous demande des garanties, vous devrez parfois vérifier vos propres dépendances. Où sont hébergées les données ? Qui administre le serveur ? Qui peut accéder aux sauvegardes ? Qui intervient en cas d’incident ?

La cybersécurité devient alors une chaîne de confiance. Il ne suffit pas de dire que le prestataire s’en occupe. Il faut savoir ce qui est réellement couvert, ce qui ne l’est pas, et comment réagir en cas de problème.

NIS 2 ne doit pas être vu uniquement comme une contrainte réglementaire réservée aux organisations directement concernées. Pour de nombreuses PME, son effet sera plus indirect : des clients plus exigeants, des contrats plus précis, des audits fournisseurs plus fréquents et des preuves à fournir.

Attendre la première demande client pour s’organiser expose à répondre dans l’urgence, avec des informations incomplètes et une vision floue du système d’information.

À l’inverse, une PME qui connaît ses actifs critiques, ses accès, ses sauvegardes, ses prestataires et ses procédures d’incident dispose déjà d’un avantage : elle peut rassurer ses clients sans promettre plus que ce qu’elle maîtrise réellement.

La cybersécurité devient progressivement un sujet de confiance commerciale. Pour une PME, s’y préparer de manière pragmatique peut protéger l’activité, mais aussi renforcer la crédibilité auprès des clients importants.