NIS2 pour PME : ce qu'exige le DL 125/2025 et par où commencer

Le plafond n'est pas le point le plus sérieux. Le décret confie aux organes de direction l'approbation et la supervision des mesures de cybersécurité, ainsi que la promotion d'une formation régulière, pour eux-mêmes et pour les salariés. Cette responsabilité ne se délègue pas librement. La cybersécurité est devenue un sujet de conseil d'administration, et non plus d'informaticien.

À l'origine, une directive européenne. NIS2 impose une gestion structurée du risque de cybersécurité aux secteurs importants pour la société. Le Portugal l'a transposée par le DL 125/2025, publié le 4 décembre 2025, qui a institué le Régime juridique de la cybersécurité. Il est entré en vigueur 120 jours plus tard, en avril 2026.

Le Règlement 756/2026 du CNCS, du 22 juin, a rendu le régime opérationnel, et la plateforme MyCiber a ouvert le lendemain, le 23 juin 2026. Selon la Lusa, le CNCS estime à environ six mille le nombre d'entités concernées, contre près de 450 sous l'ancien régime.

Il existe deux catégories. Essentielles : secteurs les plus critiques et grandes entreprises. Importantes : les autres entités dans le champ. Toutes appliquent des mesures et notifient les incidents ; elles diffèrent par le niveau d'exigence, la supervision et le plafond des amendes.

Répondez à six questions. Un « oui » à l'une des trois premières indique une probable inclusion, à formaliser avec un appui juridique.

1. Secteur : votre activité figure-t-elle dans les annexes ? Santé, banque, énergie, eau, transports, infrastructures numériques, services TIC gérés, administration publique, services postaux, recherche, industrie manufacturière, secteur alimentaire, chimie et déchets, entre autres.
2. Taille : comptez-vous 50 salariés ou plus ? Ou votre chiffre d'affaires et votre bilan annuels dépassent-ils chacun 10 millions ? Selon la définition européenne, vous n'êtes plus une petite entreprise.
3. Service concerné quelle que soit la taille : communications électroniques, services de confiance, DNS, ou fournisseur unique d'un service essentiel.
4. Groupe : une entreprise appartenant à un groupe peut devoir agréger effectifs et montants, et passer de petite à moyenne.
5. Chaîne d'approvisionnement : si vous vendez à des entités concernées, elles doivent maîtriser le risque fournisseur. Attendez-vous à des questionnaires, des clauses et des demandes de preuves.
6. MyCiber : avez-vous fait l'autoévaluation ? S'identifier incombe à l'entreprise, pas au CNCS. Si vous êtes dans le champ et ne l'avez pas fait, réglez-le dès maintenant avec votre juriste.

• Déjà passée Enregistrement sur MyCiber pour les entités en activité : 60 jours ouvrés à compter du 23 juin 2026 ; le délai a expiré à la mi-septembre 2026.
• Nouvelles entités 30 jours ouvrés après le début d'activité.
• Responsable cybersécurité et point de contact permanent Sous 20 jours ouvrés après la notification de la qualification.
• Inventaire des actifs Six mois après la qualification définitive ou le 31 janvier 2027, la date la plus proche prévalant.
• Mesures minimales et rapport annuel Deux ans à compter du règlement du CNCS, soit mi-2028.

Les exigences minimales se répartissent en trois niveaux, attribués selon le risque : basique avec 39 mesures, substantiel avec 75 et élevé avec 91.

Seulement si vous le détectez à temps. Aucune autre obligation ne pèse autant sur l'infrastructure. Les articles 42, 43 et 44 fixent le calendrier pour les incidents à impact significatif :

1. Première notification : 24 heures après la constatation.
2. Mise à jour : sous 72 heures, si nécessaire, avec gravité et impact évalués.
3. Avis de fin d'impact : 24 heures après la fin de l'impact significatif.
4. Rapport final : dans les 30 jours ouvrés suivant cet avis.

Y parvenir exige trois choses : une supervision active, des journaux conservés et une procédure écrite définissant qui décide et qui échange avec le CNCS. Une attaque du samedi découverte le lundi matin naît déjà hors délai. C'est pourquoi nous recommandons aux entreprises concernées IT Unlimited Premium 365 : c'est le seul plan DataRoad qui couvre nuits, jours fériés et week-ends.

Quel que soit le niveau attribué, un socle revient toujours, et toute entreprise de plus de 10 postes devrait l'avoir, concernée ou non. C'est là qu'intervient DataRoad.

• Inventaire Serveurs, postes, réseau, cloud et accès. Point de départ : la checklist d'audit du parc informatique.
• MFA Sur la messagerie, les services cloud et l'accès à distance. Guide pratique dans le MFA en entreprise.
• Sauvegardes externes testées Avec des délais de restauration définis ; voir sauvegardes gérées pour entreprises.
• Pare-feu gérés Avec segmentation du réseau.
• Postes de travail Protection et gestion des mises à jour.
• Politiques et formation Documentées et avec feuilles de présence. Base dans les 7 politiques de cybersécurité qu'une entreprise doit avoir.
• Réponse aux incidents Procédure avec responsables désignés et simulations.

Tout doit être documenté. Avec NIS2, il ne suffit pas d'être protégé ; il faut le prouver. Le service complet est décrit dans mise en œuvre technique de NIS2.

Ventask est cliente de DataRoad depuis 2016, avec plus de 350 postes sous contrat IT Unlimited. DataRoad prend en charge tout le réseau, l'administration des pare-feu d'entreprise, le déploiement et la gestion de la protection des postes, le travail à distance sécurisé et le Wi-Fi, avec une supervision et des alertes proactives en Premium 365.

Surveillance continue, périmètre, postes et accès à distance : les couches exigées par NIS2, sous un seul contrat. Découvrez l'étude de cas Ventask en détail.

Nous comparons votre infrastructure aux mesures techniques de NIS2. Le résultat est un rapport listant chaque lacune, son urgence et le coût pour la combler. Sans engagement. Découvrez aussi notre offre de cybersécurité gérée pour les entreprises.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. +351 211 459 950 * · sales@dataroad.pt

*Appel vers un fixe portugais.

• DL 125/2025 au Diário da República · version EUR-Lex
• Règlement CNCS n.º 756/2026
• Plateforme MyCiber
• Commission européenne : qu'est-ce qu'une PME
• ECO/Lusa, 24 juin 2026 : délai d'enregistrement sur MyCiber