75% des PME ignorent encore les nouvelles obligations NIS2 en 2026
La directive NIS2 est entrée en vigueur en janvier 2025. Dix-huit mois plus tard, la majorité des PME françaises concernées n’ont toujours pas bougé. Les chiffres le confirment : 75% des PME françaises n’ont pas actualisé leur plan de continuité numérique, selon les données disponibles à mi-2026. Tout dirigeant d’une structure de plus de 50 salariés ou dépassant 10 millions d’euros de chiffre d’affaires devrait s’inquiéter.
NIS2 impose des standards de sécurité précis : gestion des risques, notification d’incidents sous 72 heures, audit de conformité, chaîne d’approvisionnement sécurisée. Ce ne sont pas des recommandations. Ce sont des obligations légales, transposées en droit français, avec des sanctions réelles : jusqu’à 5% du chiffre d’affaires annuel mondial ou 10 millions d’euros, selon le montant le plus élevé.
La méconnaissance reste le premier problème. Beaucoup de dirigeants pensent que NIS2 ne concerne que les grandes entreprises ou les secteurs régaliens. C’est faux. Une PME de transport régional, une clinique privée de taille modeste, un éditeur logiciel B2B de 60 personnes : tous sont potentiellement dans le périmètre. Le portail officiel du ministère de l’Économie sur la cybersécurité des entreprises détaille les critères d’inclusion, mais peu de dirigeants l’ont consulté.
Le délai théorique du 14 octobre 2024 est derrière nous. Les PME qui n’ont pas agi sont techniquement en infraction depuis plusieurs mois. La période de tolérance informelle que l’ANSSI a accordée en 2025 s’efface en 2026 avec les premiers contrôles ciblés.
Les trois niveaux réglementaires qui fracturent le secteur PME
NIS2 ne traite pas toutes les PME de la même façon. La réglementation crée trois catégories d’entités, chacune avec des obligations et des rythmes d’audit distincts.
| Catégorie | Secteurs concernés | Fréquence d’audit | Budget cybersécurité estimé (annuel) |
|---|---|---|---|
| Essentielles / critiques | Énergie, eau, santé, transports | Tous les 24 mois | 50000€ à 80000€ |
| Importantes | Télécoms, finance, distribution numérique | Tous les 36 mois | 25000€ à 50000€ |
| Hors périmètre direct | Commerce, services B2B généraux | Tous les 48 mois | 15000€ à 25000€ |
À NIS2 s’ajoute le RGPD, qui exige un délégué à la protection des données (DPO) pour environ 40% des PME traitant des données personnelles à grande échelle. Beaucoup de structures cumulent donc deux cadres réglementaires simultanément. Les référentiels se recoupent partiellement mais ne s’imbriquent pas parfaitement.
Une PME en secteur non-critique doit budgéter entre 15000€ et 25000€ par an minimum. Une entité classée critique approche les 50000€ à 80000€. Mais la réalité du terrain est encore plus complexe : ces budgets supposent une infrastructure de départ correcte. Beaucoup de PME repartent de zéro, ce qui alourdit considérablement l’investissement initial.
Pour aller plus loin : Loi sécurité données PME 2026 : impact budgétaire et conformité.
Pourquoi 62% des PME restent sous-équipées en solutions de conformité
Le coût initial est le premier obstacle qu’énoncent les dirigeants. Implémenter une infrastructure de cybersécurité sérieuse coûte entre 40000€ et 150000€ la première année, selon la taille et le niveau de maturité de la structure. Or 62% des PME déclarent n’avoir aucun budget dédié à la cybersécurité, ou un budget inférieur à 5000€ annuels. L’écart est massif.
Le manque de compétences aggrave la situation. Seules 23% des PME emploient un responsable sécurité informatique à temps plein. Les autres s’appuient sur un DSI polyvalent, un prestataire externe généraliste ou, pire, personne de dédié.
Les subventions existent. Les dispositifs régionaux et ceux de la Banque de France financent 30% à 50% des projets éligibles. France 2030 rembourse jusqu’à 50% pour les PME innovantes. Mais obtenir ces aides suppose du temps, des dossiers administratifs et souvent un accompagnement que les petites structures n’ont pas en interne.
Résultat : beaucoup de PME reportent, attendent, espèrent que le contrôle ne tombera pas sur elles. C’est exactement la posture qui a précédé les premières vagues de sanctions RGPD en 2018-2019. Nous revoyons le même schéma.
Les trois erreurs fatales que commettent 48% des PME en 2026
Après avoir suivi plusieurs dossiers de PME en difficulté réglementaire, trois erreurs reviennent systématiquement.
- Ignorer l’hygiène de base. 48% des PME victimes de ransomware en 2025 ne disposaient pas de plan de sauvegarde sécurisé. Mises à jour des systèmes d’exploitation, mots de passe robustes, sauvegardes déconnectées du réseau principal – ces trois mesures élémentaires auraient évité la majorité des incidents. C’est le socle. Sans lui, tout le reste n’a aucun impact.
- Négliger la formation humaine. 86% des violations de données impliquent un facteur humain. Un seul mail de phishing bien ciblé coûte en moyenne entre 4000€ et 15000€ en forensics, récupération de données et perte d’exploitation pour une PME. Former les équipes une fois par an sur les bons réflexes coûte quelques centaines d’euros par personne. Le calcul est simple.
- Attendre la dernière minute. Les cabinets d’audit qualifiés NIS2 affichent des délais en hausse de plus de 120% depuis l’entrée en vigueur de la directive. Une PME qui cherche un auditeur en septembre 2026 pour une conformité avant octobre ne l’obtiendra pas. Les créneaux sont saturés depuis le début de l’année.
Mais ces erreurs ne sont pas définitives. Elles sont corrigeables si l’on agit maintenant plutôt que d’attendre un déclencheur externe – souvent un incident ou une mise en demeure.
Combien investir exactement pour être conforme sans se ruiner ?
Voici deux budgets concrets basés sur les données disponibles mi-2026, pour des PME aux profils distincts.
PME critique, 100 salariés : infrastructure technique 35000€, audit initial 8000€, formation des équipes 3000€, maintenance annuelle 18000€. Total année 1 : environ 64000€. Dès la deuxième année, les coûts baissent de 40% à 50% puisque l’infrastructure est en place.
Dans la même rubrique : Fiscalité des entreprises 2026 : obligations et opportunités.
PME non-critique, 60 salariés : infrastructure 15000€, audit 4000€, formation 2000€, maintenance 8000€. Total année 1 : environ 29000€.
Sur le volet assurance : les contrats cyber couvrent entre 30% et 70% des frais d’incident, à condition que la PME ait documenté ses mesures préventives. Sans cette documentation, les assureurs refusent de plus en plus fréquemment de prendre en charge les sinistres. En 2026, certains refusent même de souscrire des PME non-auditées.
Est-ce que France 2030 finance la cybersécurité des PME ?
Oui. France 2030 rembourse jusqu’à 50% des investissements en cybersécurité pour les PME innovantes éligibles. L’éligibilité dépend du secteur, de la taille et du type de projet. Un dossier bien monté avec un accompagnateur (conseiller BPI, expert-comptable spécialisé) augmente significativement les chances d’obtenir ce financement.
Une PME hors périmètre NIS2 doit-elle quand même agir ?
Oui, pour deux raisons. D’abord, le RGPD s’applique indépendamment de NIS2 dès lors que la PME traite des données personnelles. Ensuite, les grandes entreprises clientes exigent de plus en plus une conformité cybersécurité de leurs fournisseurs et sous-traitants – c’est une obligation de la chaîne d’approvisionnement prévue par NIS2 elle-même.
Quel est le délai réaliste pour atteindre la conformité NIS2 ?
Un audit de gap-analysis (analyse d’écart entre l’état actuel et la conformité requise) prend 6 à 8 semaines. Le plan de remédiation qui suit prend généralement 4 à 6 mois supplémentaires pour une PME partant de loin. En démarrant en Q3 2026, une conformité formelle avant fin 2026 est encore atteignable – mais tout report rend l’objectif impossible avant 2027.
Les secteurs PME les plus vulnérables face aux amendes de 2026-2027
Tous les secteurs ne sont pas logés à la même enseigne. Quatre d’entre eux concentrent les risques les plus élevés à court terme.
La santé est en tête. 89% des PME du secteur – cliniques privées, pharmacies, laboratoires – n’étaient pas conformes à NIS2 fin 2025. Les amendes applicables représentent entre 2% et 8% du chiffre d’affaires. Pour une clinique de 5 millions d’euros de CA, c’est entre 100000€ et 400000€ d’exposition potentielle.
Voir également : Normes de sécurité des données PME 2026 : ce qui change.
La finance suit de près. 76% des petits courtiers et services de paiement restent sous-équipés, malgré des plafonds d’amende atteignant 5 à 10 millions d’euros. Le régulateur ACPR surveille activement ces structures depuis mi-2026.
Le commerce B2B – logistique, distribution – a été reclassé en entités « importantes » depuis 2025. L’obligation d’audit tous les 24 mois s’applique et 71% de ces PME n’ont pas encore commencé les démarches.
Enfin, le secteur public local mérite mention : 81% des collectivités de moins de 250 agents ne comprenaient pas les implications de NIS2 en janvier 2026. Les mairies et établissements scolaires traitent pourtant des données sensibles à grande échelle. Les amendes, même si leur rythme reste modéré jusqu’au Q2 2026, vont s’accélérer sur la fin d’année.
Mon avis : la survie PME en 2026 dépend d’une décision prise maintenant
Je serai direct. Attendre septembre 2026 pour chercher un auditeur NIS2, c’est une garantie d’amende ou de mise en demeure. Les délais d’audit ont augmenté de 120%. Les experts qualifiés sont saturés. Les licences logicielles de conformité sont en tension. Le marché ne peut pas absorber un afflux massif de PME cherchant à se mettre en règle en quelques semaines.
Ce que j’observe : les PME qui ont lancé leur audit de gap-analysis au Q1 ou Q2 2026 sont dans une position gérable. Celles qui attendent le Q4 jouent à la roulette réglementaire.
Et la question du budget est souvent un écran de fumée. Le coût d’une amende unique – entre 50000€ et 500000€ selon la gravité et le secteur – dépasse dix fois l’investissement préventif. Sans compter l’impact réputationnel sur des marchés B2B où la confiance est un actif central. Les assureurs ont compris ce calcul avant les dirigeants : ils commencent à refuser les PME non-auditées, ou à multiplier les primes par deux.
C’est moins un enjeu technique qu’un choix managérial. La cybersécurité n’est plus une option IT à déléguer au bas de l’agenda. C’est un coût stratégique, au même titre que l’assurance professionnelle ou la conformité sociale. Les PME qui l’intègrent ainsi survivront à 2026. Les autres découvriront que la réglementation, quand elle finit par s’appliquer, ne fait pas de distinction entre bonne foi et négligence.