NIS2 expliqué aux PME : il s’applique à ma société et à ce que je dois faire dès maintenant

8 min de lecture · DataRoad

La NIS2 expliquée aux PME Il s’agit d’une question et d’une tâche. La question : est-mon entreprise concernée ? La tâche : si oui, prouver que des mesures de cybersécurité sont en place — et savoir notifier un incident en 24 heures. Ce guide répond à ces deux questions, en langage de gestion, avec les chiffres confirmés dans le texte de la loi et dans le règlement du Centre national de cybersécurité (CNCS).

Un avant-propos avant de commencer : DataRoad ne fournit pas de conseil juridique. Nous mettons en œuvre les mesures techniques. La qualification de votre entreprise doit être validée par votre juriste.

Qu’est-ce que la NIS2 et que s’est-il passé en Portugal ?

La NIS2 est une directive européenne qui oblige les entreprises et les entités des secteurs importants pour la société à gérer le risque de cyber-sécurité de manière structurée. Au Portugal, elle a été transposée par le décret-loi n.º 125/2025, publié le 4 décembre 2025, qui a créé le nouveau Régime juridique de la Cybersécurité. Le texte est entré en vigueur 120 jours après sa publication, en avril 2026.

Le CNCS a ensuite publié le règlement n.º 756/2026 du 22 juin, qui a mis le régime en vigueur et ouvert la plateforme MyCiber le 23 juin 2026. Selon le CNCS, cité par l’agence Lusa, le nouveau régime devrait concerner environ six mille entités – contre environ 450 dans le précédent régime.

S'applique-t-il à ma société ? 6 questions

Si vous répondez “ oui ” à l’une des trois premières questions, il est probable que vous soyez concerné — et la décision doit être formalisée avec le soutien d’un avocat.

1. Votre secteur est-il couvert par la loi ? Ces domaines comprennent, entre autres, l'énergie, les transports, la banque, la santé, l'eau, les infrastructures numériques, la gestion des services TIC, l'administration publique, les services postaux, les déchets, les produits chimiques, l'alimentation, l'industrie transformatrice et la recherche.
2. Votre entreprise est-elle moyenne ou importante ? Selon la définition européenne, une entreprise devient une entreprise de petite taille lorsque celle-ci emploie 50 ou plus de travailleurs, ou lorsque son chiffre d'affaires et son bilan annuels dépassent tous deux 10 millions d'euros.
3. Offrez-vous un service complet indépendamment de la taille de l'entreprise ? Par exemple, les communications électroniques, les services de confiance, les services DNS, ou être le seul prestataire d’un service essentiel.
4. Appartient-il à un groupe ? Selon la définition européenne d’entreprise PME, une entreprise liée à un groupe peut devoir prendre en compte les salariés et les valeurs du groupe. Une entreprise “ petite ” peut donc être prise en compte comme moyenne.
5. Êtes-vous un fournisseur d'une entité concernée ? Même s'il n'est pas concerné, ses clients sont tenus de gérer le risque des fournisseurs. Il recevra des questionnaires, des clauses contractuelles et des demandes d'éléments de preuve.
6. Vous avez déjà effectué l’auto-évaluation sur MyCiber ? La responsabilité de s'identifier incombe à l'entreprise, et non au CNCS. Si vous êtes concerné et n'avez pas encore fait de déclaration, veuillez le faire immédiatement avec votre avocat.

Les délais qui comptent

Les mesures minimales sont organisées en trois niveaux, attribués en fonction du risque de l’entité : basique (39 mesures), substantielles (75) et élevées (91).

Incidents : l’horloge des 24 heures

C’est l’obligation qui exige le plus de préparation technique. En cas d’incident ayant un impact significatif, la loi (articles 42 à 44) définit :

• Jusqu'à 24 heures après la vérification : notification initiale.
• Jusqu'à 72 heures, Lorsqu'il y a lieu : mise à jour avec l'évaluation initiale de la gravité et de l'impact.
• Jusqu'à 24 heures après la fin de l’impact significatif : notification de fin de l’impact.
• 30 jours ouvrables après cette notification : rapport final.

Une notification dans les 24 heures n’est possible que si quelqu’un détecte l’incident suffisamment tôt. Cela nécessite une surveillance, des registres (logs) et une procédure écrite décrivant qui décide et qui communique. Un incident détecté lundi matin, après un week-end sans surveillance, commence déjà en retard. C’est pourquoi, dans les entreprises concernées, nous recommandons IT Unlimited Premium 365, Le seul plan qui couvre les nuits, les week-ends et les jours fériés.

Revenus dus et responsabilité de la gestion

Plus important que la valeur maximale : la loi met la responsabilité sur les organes de gestion. C’est eux qui approuvent et supervisent les mesures de cybersécurité et organisent des formations régulières — et cette responsabilité ne peut pas être déléguée librement. La formation concerne les titulaires des organes de gestion et les employés. NIS2 a cessé d’être un sujet “ réservé aux informaticiens ”.

Que faire demain : les mesures techniques

C’est là que DataRoad intervient. Indépendamment du niveau attribué, il existe des mesures qui apparaissent toujours — et que toute entreprise avec plus de 10 postes devrait avoir, qu’elle soit ou non concernée par cette réglementation :

1. Inventaire des actifs : Serveurs, ordinateurs, réseau, services cloud et accès. Commencez par nous liste de contrôle d'audit du parc informatique.
2. Contrôle d'accès avec MFA par courriel, en nuage et en accès à distance. Découvrez comment en authentification multifacteur dans l'entreprise.
3. Ressources de sauvegarde hors site et testées, Avec des délais de récupération définis — voir solutions de sauvegarde.
4. Firewall géré et segmentation du réseau.
5. Protection des endpoints et gestion des mises à jour.
6. Politiques écrites et formation avec enregistrement des présentes — nous avons un point de départ dans 7 politiques internes de cybersécurité.
7. Procédures de réponse aux incidents, Avec des responsables définis et des simulations.

Chaque mesure doit être documentée. Dans NIS2, il ne suffit pas d’être sûr : il faut pouvoir le démontrer. Le détail de notre service se trouve sur la page NIS2 — mise en œuvre technique.

Un cas réel : sécurité gérée dans un parc de 350 postes

Ventask est client de DataRoad depuis 2016 et compte plus de 350 postes de travail chez IT Unlimited. DataRoad gère toute la zone de réseautage, administre et maintient les pare-feu corporatifs, implante et gère la protection des endpoints, les solutions de travail à distance sécurisé et le réseau sans fil — avec surveillance et alerte proactive dans le plan Premium 365.

Ce sont les couches techniques que NIS2 exige — périmètre, endpoints, accès à distance et surveillance continue — dans un seul contrat. Lisez l'affaire Ventask.

Foire aux questions

La NIS2 s'applique-t-elle aux entreprises comptant moins de 50 salariés ?

En règle générale, non, sauf si le chiffre d'affaires et le bilan dépassent tous deux 10 millions d'euros, si l'entreprise appartient à un groupe qui la fait compter comme moyenne, ou si elle fournit un service couvert indépendamment de la taille. Même en dehors de cette limite, elle peut être affectée en tant que fournisseur aux entreprises concernées.

Quels sont les délais pour signaler un incident ?

Notification initiale dans les 24 heures suivant la constatation d’un incident significatif, mise à jour dans les 72 heures si nécessaire, notification de fin de l’impact dans les 24 heures après son expiration et rapport final dans les 30 jours ouvrables.

Quel est le montant maximal des amendes ?

Pour les entités essentielles, jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial ; pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4%, en appliquant la valeur la plus élevée.

DataRoad enregistre-t-il ma société sur MyCiber ?

Non. L’auto-identification et l’enregistrement sont des actes de l’entité elle-même, et la qualification doit être légalement validée. DataRoad prépare les informations techniques nécessaires et met en œuvre les mesures de sécurité requises.

Diagnostic technique NIS2 en 10 jours ouvrables

Nous évaluons votre infrastructure en fonction des mesures techniques de NIS2 et fournissons un document écrit détaillant les lacunes, l’urgence de chacune et le coût de leur résolution. Pour les entreprises disposant de plus de 10 postes · contrat d’assistance · support local et téléphonique. Explorez également nos services cybersécurité pour les entreprises.

Sources

• Décret-loi n° 125/2025, du 4 décembre — Journal du Parlement : diariodarepublica.pt (texte intégral également disponible en EUR-Lex)
• Règlement n° 756/2026 du 22 juin (CNCS) — Journal du Parlement : diariodarepublica.pt
• Plate-forme MyCiber (CNCS) : myciber.gov.pt
• Commission européenne — Définition de PME : ec.europa.eu
• ECO/Lusa — Les entités disposent de 60 jours ouvrables pour s'enregistrer sur MyCiber (24 juin 2026) : eco.sapo.pt