NIS2 et PME : ce que la directive exige vraiment de l'accès distant
Ou : la directive vise les entreprises moyennes, mais ses exigences descendent toute la chaîne des fournisseurs.
La réponse courte : la directive NIS2 ne s’applique directement qu’aux entreprises moyennes et grandes, c’est-à-dire 50 personnes ou plus, ou plus de 10 millions d’euros à la fois de chiffre d’affaires et de bilan, actives dans l’un des 18 secteurs de ses annexes, plus quelques entités couvertes quelle que soit leur taille, comme les fournisseurs DNS ou les prestataires de services de confiance. Pour elles, l’article 21 de la directive impose au moins dix familles de mesures, dont trois touchent directement l’accès distant : des politiques de contrôle d’accès, l’usage de la cryptographie et, « selon les besoins », l’authentification à plusieurs facteurs. Une PME plus petite n’est pas soumise au texte, mais elle le reçoit souvent par contrat, parce que ses clients doivent surveiller la sécurité de leurs fournisseurs. C’est le cadre le plus lourd parmi les obligations réglementaires d’une PME.
Le calcul de la taille réserve deux surprises. L’effectif se compte en équivalents temps plein, pas en personnes, et les entreprises liées d’un même groupe s’additionnent. Et le secteur fixe le statut : une grande entreprise de l’annexe I, comme la santé ou l’énergie, est une entité essentielle, alors qu’une grande entreprise de l’annexe II, comme la fabrication ou l’alimentation, reste une entité importante.
NIS2 : les obligations d’une PME sur l’accès distant
| Mesure de l’article 21 | Ce qu’elle signifie pour l’accès distant | Ce qu’on montre en pratique |
|---|---|---|
| i) Contrôle d’accès et gestion des actifs | Qui se connecte, à quoi, depuis quel appareil | Politique écrite, liste des comptes, revue des droits |
| h) Cryptographie et chiffrement | Tunnel chiffré, disques des postes nomades chiffrés | Configuration du VPN, inventaire des postes |
| j) Authentification à plusieurs facteurs, selon les besoins | Double facteur sur le VPN et la messagerie | Réglages du fournisseur d’identité, exceptions justifiées |
| d) Chaîne d’approvisionnement | Accès des prestataires limités et encadrés | Contrats, accès ouverts pour une durée déterminée |
| b) Gestion des incidents | Repérer une connexion anormale | Journaux, procédure de notification |
La directive fixe des objectifs, pas des produits : aucun article ne cite le VPN. Le détail n’existe que dans le règlement d’exécution 2024/2690, qui ne vise que les fournisseurs numériques (cloud, DNS, centres de données, services gérés). Sa section 11.7 exige l’authentification à plusieurs facteurs « le cas échéant, conformément à la classification de l’actif », et sa section 6.7 impose des contrôles sur l’accès à distance, y compris celui des prestataires. L’ENISA, dans son guide de mise en œuvre de juin 2025, résume l’attente sans détour : imposer le double facteur sur les systèmes exposés à Internet, comme la messagerie, le bureau à distance et les VPN.
En cas d’incident important, le calendrier est le même partout : une alerte précoce dans les 24 heures, une notification dans les 72 heures, un rapport final dans le mois.
La Belgique a transposé la directive par la loi du 26 avril 2024, en vigueur depuis le 18 octobre 2024, et le Centre pour la Cybersécurité Belgique (CCB) en est l’autorité. Les entités concernées devaient s’enregistrer sur Safeonweb@Work au plus tard le 18 mars 2025 ; un an après l’entrée en vigueur, le CCB en comptait 1 500 essentielles et 2 500 importantes. Son référentiel, les CyberFundamentals, est plus précis que la directive. Dès le niveau Basic, la mesure PR.AA-03.2 de la version 2025 énonce : « Une authentification multifactorielle (MFA) doit être requise pour accéder à distance aux réseaux de l’organisation. » Les entités essentielles devaient franchir une première étape au 18 avril 2026, par une vérification CyFun ou un dossier ISO transmis au CCB, et doivent obtenir la certification Essential, ou ISO 27001, au 18 avril 2027. Les amendes belges vont jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, doublées en cas de récidive dans les trois ans.
La France n’a toujours pas adopté sa loi. Le projet sur la résilience des infrastructures critiques a été voté par le Sénat le 12 mars 2025, puis par une commission spéciale de l’Assemblée le 10 septembre 2025, sans séance publique depuis. La Commission européenne a saisi la Cour de justice le 7 juillet 2026 contre la France, l’Irlande, l’Espagne et les Pays-Bas. L’étude d’impact du gouvernement estime que le nombre d’entités régulées passera d’environ 500 à 15 000. En attendant, l’ANSSI publie depuis le 17 mars 2026 un référentiel de travail, le ReCyF, qui réserve l’obligation de double facteur pour l’accès distant aux entités essentielles.
Le Luxembourg a adopté sa loi le 5 mai 2026, sous le contrôle de l’ILR. La Suisse, hors Union, n’applique pas NIS2 mais impose depuis le 1er avril 2025 aux exploitants d’infrastructures critiques de signaler une cyberattaque à l’Office fédéral de la cybersécurité dans les 24 heures.
La chaîne des fournisseurs est la voie par laquelle NIS2 atteint les petites structures. Le considérant 85 encourage les entités soumises à intégrer des mesures de sécurité dans leurs contrats avec leurs fournisseurs directs. Le CCB écrit sur sa page consacrée à NIS2 qu’une entité concernée « pourrait théoriquement imposer le respect d’un certain niveau CyFun® à ses fournisseurs directs », et conseille à toute organisation de cette chaîne d’appliquer au moins le niveau Basic, double facteur compris.
Un allègement est en discussion : la proposition de la Commission du 20 janvier 2026 crée une catégorie de « petites entreprises à moyenne capitalisation » et doit faciliter la mise en conformité de 28 700 entreprises. Elle n’est pas adoptée.
La norme que la Belgique accepte
Une certification ISO 27001 vaut présomption de conformité en Belgique, à certaines conditions, mais pas en France. Les mesures d’accès de la norme sont détaillées dans ISO 27001 et le contrôle d’accès réseau.
Garder la trace des connexions
Détecter un incident et le notifier en 24 heures suppose des journaux exploitables. Ce qu’il faut conserver est détaillé dans la journalisation des accès.
Le questionnaire de l’assureur
Les assureurs posent souvent les mêmes questions que NIS2, avec des conséquences plus immédiates. Leurs exigences sont réunies dans l’assurance cyber et le double facteur.