La majorité des gestionnaires de PME ont entendu parler de NIS2 comme de “ cette loi européenne de cybersécurité pour les grandes entreprises ”. La moitié de cette phrase est fausse. NIS2 est en effet une directive européenne, mais au Portugal, c'est déjà une loi nationale — le décret-loi n° 125/2025, en vigueur depuis le 4 mai 2026 — et elle englobe de nombreuses moyennes entreprises et un nombre important de petites, directement ou par l'intermédiaire des clients auxquels elles fournissent. Cet article explique, sans jargon juridique, qui est concerné, ce qui doit être fait et pour quand, et par où une PME doit commencer. Pour les détails complets et actualisés, nous avons la page NIS2 au Portugal : votre entreprise est-elle concernée ?.
La NIS2 est une directive européenne visant à renforcer la cybersécurité globale des organisations essentielles dans toute l'Union. Elle élargit considérablement le champ d'application par rapport à la version précédente en incluant un plus grand nombre de secteurs et d'entreprises. Enfin, elle impose des exigences de conformité strictes et de lourdes sanctions en cas de manquement aux obligations de signalement des incidents.
Il s'agit du régime européen qui oblige les organisations des secteurs considérés comme critiques à gérer le risque de cybersécurité de manière démontrable : savoir ce qu'elles ont, le protéger avec des mesures minimales, communiquer les incidents et répondre de la conformité. Au Portugal, il s'appelle le Régime Juridique de la Cybersécurité et il est contrôlé par le Centre National de Cybersécurité (CNCS). La grande différence par rapport à la version précédente est la portée — beaucoup plus de secteurs et de dimensions d'entreprise — et la responsabilisation directe des organes de gestion.
Qui est couvert
Deux catégories : entités essentielles (énergie, transports, banque, santé, eau, infrastructure numérique, administration publique, entre autres, surtout de moyenne et grande dimension) et entités importantes (services postaux, gestion des déchets, produits chimiques, alimentation, fabrication de divers types, services numériques, recherche et les entreprises de plus petite taille des secteurs essentiels). La règle générale de taille est de 50 travailleurs ou plus ou 10 millions d'euros de chiffre d'affaires, mais il y a des exceptions où la taille ne compte pas. Et il y a un effet indirect qui attrape de nombreuses PME : fournisseurs d'entités couvertes ils doivent désormais démontrer leurs propres mesures de sécurité, car la sécurité de la chaîne d'approvisionnement est l'une des obligations du client.
Le point le plus important : personne ne vient le qualifier
Le CNCS ne va pas envoyer de lettre disant “ votre entreprise est concernée ”. La charge de l'auto-évaluation incombe à l'organisation : chaque entité doit vérifier si elle entre dans le champ d'application, s'identifier et s'inscrire sur la plateforme MyCiber. Ne pas s'inscrire alors qu'on le devrait constitue, en soi, une infraction. C'est cela qui rend la directive NIS2 différente de presque toutes les obligations auxquelles une PME est habituée — on n'attend pas la notification.
Les délais qui courent déjà
- Mi-septembre 2026auto-identification et inscription sur MyCiber, pour les entités déjà en activité (60 jours ouvrables à compter du 23 juin, date d'ouverture de la plateforme). Ceux qui ont débuté leur activité après disposent de 30 jours ouvrables.
- 20 jours après la qualificationinformer le responsable de la cybersécurité et le point de contact permanent.
- 31 janvier 2027 (ou six mois après la qualification finale) : inventaire des actifs — serveurs, postes de travail, équipements réseau, services cloud et accès.
- Juin 2028mesures minimales du niveau attribué mises en œuvre et premier rapport annuel remis.
Les mesures minimales, traduites
Le régime définit des niveaux de mesures selon la classification de l'entité, mais le noyau est le même que toute entreprise bien gérée devrait avoir : inventaire de ce qui existe ; politiques écrites de sécurité ; contrôle des accès et authentification multifacteur ; chiffrement des données ; segmentation du réseau ; copies de sauvegarde et plan de continuité ; gestion des vulnérabilités et mises à jour ; surveillance et journalisation des événements ; procédure de réponse et notification des incidents ; sécurité de la chaîne d'approvisionnement ; et formation — y compris des organes de gestion. Si vous avez lu nos articles sur AMF, Zero Trust pour PME et comme sept politiques internes, vous en connaissez déjà la majeure partie.
Les amendes et la responsabilité de la gestion
Jusqu’à 10 millions d’euros ou 21 % du chiffre d’affaires mondial pour les entités essentielles, et jusqu’à 7 millions d’euros ou 1,41 % pour les entités importantes. Pour une PME, le principe est plus important que le montant maximal : le régime rend les organes de direction directement responsables du respect des obligations. La cybersécurité n’est plus une question relevant du “ service informatique ”, mais devient une responsabilité de la direction — avec l’adoption de mesures, une formation obligatoire et une supervision.
Par où commencer cette semaine
- Vérifier le cadrage: secteur, dimension et clients. S'il y a un doute, le doute se résout maintenant, pas en octobre.
- S'inscrire sur MyCiber si couvert. C'est un acte de l'entité elle-même — nous ne le faisons pas pour vous, mais nous aidons à rassembler l'information.
- Faire l'inventaire: c'est le document exigé jusqu'en janvier 2027 et que presque aucune PME ne possède. La nôtre liste de contrôle d'audit du parc informatique c'est le point de départ.
- Fermer les trois mesures avec le plus de rendement: MFA pour tous les accès, sauvegardes hors site et testées, pare-feu avec gestion active.
- Nommer le responsable et impliquer la direction — la formation des organes de gestion est une obligation, non une suggestion.
Et si ce n'est pas couvert ?
Deux choses. Première : confirmez-la et conservez l'analyse, car un client concerné pourrait vous en demander la preuve. Deuxième : les mesures minimales sont de bonnes pratiques indépendamment de la loi — la majorité des attaques contre les PME portugaises exploiterait exactement les failles que NIS2 oblige à corriger. Faire l'essentiel sans y être obligé coûte moins cher que de le faire dans l'urgence lorsqu'un client l'exige.
Ce que fait DataRoad — et ce qu'elle ne fait pas
Nous ne sommes pas avocats et nous ne faisons pas l'enregistrement pour vous. Ce que nous faisons est ce qui vient après : l'inventaire des actifs, la mise en œuvre des mesures minimales avec preuve documentaire (accès, chiffrement, segmentation, sauvegardes, surveillance avec registres conservés), le plan de réponse aux incidents et le suivi annuel, dans le cadre du service de cybersécurité gérée. Pour les entités concernées, la première étape est un diagnostic écrit avec ce qui existe, ce qui manque, les délais et les coûts — demandez-le sur la page NIS2.
Foire aux questions
Une entreprise de 30 personnes peut-elle être concernée ?
Directement, seulement dans des cas spécifiques où la dimension ne compte pas. Indirectement, oui : si vous fournissez des services à des entités concernées, celles-ci exigeront une preuve de vos mesures de sécurité.
Que se passe-t-il si je ne m'inscris pas d'ici septembre ?
Le défaut d'enregistrement est, en soi, une infraction administrative. Si vous êtes concerné et ne vous êtes pas enregistré, le conseil est de vous enregistrer immédiatement et de documenter la raison du retard.
Est-ce que la NIS2 remplace le RGPD ?
Non. Ce sont des régimes différents : le RGPD protège les données personnelles ; la NIS2 protège la continuité et la sécurité des services. De nombreuses mesures coïncident, et se conformer à l'une aide à se conformer à l'autre.
Combien coûte la mise en conformité avec NIS2 pour une PME ?
Cela dépend de ce qui existe déjà. Les entreprises dotées d'une authentification multifacteur, de sauvegardes testées et d'un pare-feu géré ont une grande partie du travail accompli ; le coût se concentre sur l'inventaire, la documentation et la surveillance avec des journaux. Un diagnostic donne un montant fixe.
Vous ne savez pas si votre entreprise est concernée ?
Nous effectuons l'état des lieux, nous vous indiquons par écrit ce qu'il y a, ce qui manque et jusqu'à quand, et nous mettons en œuvre les mesures dans le cadre du contrat. Consultez notre page sur la NIS2 au Portugal ou composez le 211 459 950.
