--- title: "NIS2 pour PME : ce qu'exige le DL 125/2025 et par où commencer" description: "Amendes jusqu'à 10 M€ et notification en 24 heures : ce que la NIS2 (DL 125/2025) exige d'une PME et les mesures à prendre. Proposition sans engagement." language: fr url: https://www.dataroad-it.com/fr/nis2-pme-guide-decret-loi-portugal/ source: https://www.dataroad-it.com/fr/nis2-pme-guide-decret-loi-portugal/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Amendes jusqu'à 10 M€ et notification en 24 heures : ce que la NIS2 (DL 125/2025) exige d'une PME et les mesures à prendre. Proposition sans engagement. # NIS2 pour PME : ce qu'exige le DL 125/2025 et par où commencer En bref Pour les décideurs pressés. - 01 NIS2 s'applique au Portugal via le décret-loi n.º 125/2025, depuis avril 2026. - 02 Amende maximale : 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles. - 03 Incident significatif : première notification en 24 heures, rapport final en 30 jours ouvrés. - 04 Mesures techniques obligatoires d'ici mi-2028 ; la direction générale en répond. ### Dans cet article NIS2 peut coûter à une entreprise concernée 2 % de son chiffre d'affaires mondial ou 10 millions d'euros, le montant le plus élevé étant retenu, et engage personnellement la direction sur la cybersécurité. Pour une PME, la question se règle en deux temps : vérifier si elle entre dans le champ du DL 125/2025 et, le cas échéant, être capable de démontrer des mesures techniques et de signaler un incident en 24 heures. Ce guide de cybersécurité gérée traite les deux, avec les chiffres du décret et du règlement du CNCS. **Note :** DataRoad ne délivre pas d'avis juridique. Nous exécutons la partie technique. Le cadre légal applicable à votre entreprise doit être confirmé par votre juriste. ## Quel est l'enjeu pour mon entreprise ? | Catégorie | Plafond de l'amende pour infraction très grave | | --- | --- | | Entité essentielle | 2 % du chiffre d'affaires annuel mondial ou 10 millions d'euros, le plus élevé des deux | | Entité importante | 1,4 % du chiffre d'affaires annuel mondial ou 7 millions d'euros, le plus élevé des deux | Le plafond n'est pas le point le plus sérieux. Le décret confie aux organes de direction l'approbation et la supervision des mesures de cybersécurité, ainsi que la promotion d'une formation régulière, pour eux-mêmes et pour les salariés. Cette responsabilité ne se délègue pas librement. La cybersécurité est devenue un sujet de conseil d'administration, et non plus d'informaticien. ## D'où vient l'obligation et combien d'entreprises concerne-t-elle ? À l'origine, une directive européenne. NIS2 impose une gestion structurée du risque de cybersécurité aux secteurs importants pour la société. Le Portugal l'a transposée par le DL 125/2025, publié le 4 décembre 2025, qui a institué le Régime juridique de la cybersécurité. Il est entré en vigueur 120 jours plus tard, en avril 2026. Le Règlement 756/2026 du CNCS, du 22 juin, a rendu le régime opérationnel, et la plateforme MyCiber a ouvert le lendemain, le 23 juin 2026. Selon la Lusa, le CNCS estime à environ six mille le nombre d'entités concernées, contre près de 450 sous l'ancien régime. Il existe deux catégories. **Essentielles** : secteurs les plus critiques et grandes entreprises. **Importantes** : les autres entités dans le champ. Toutes appliquent des mesures et notifient les incidents ; elles diffèrent par le niveau d'exigence, la supervision et le plafond des amendes. ## Comment savoir si je suis concerné ? Répondez à six questions. Un « oui » à l'une des trois premières indique une probable inclusion, à formaliser avec un appui juridique. - **Secteur**: votre activité figure-t-elle dans les annexes ? Santé, banque, énergie, eau, transports, infrastructures numériques, services TIC gérés, administration publique, services postaux, recherche, industrie manufacturière, secteur alimentaire, chimie et déchets, entre autres. - **Taille**: comptez-vous 50 salariés ou plus ? Ou votre chiffre d'affaires et votre bilan annuels dépassent-ils chacun 10 millions ? Selon la définition européenne, vous n'êtes plus une petite entreprise. - **Service concerné quelle que soit la taille**: communications électroniques, services de confiance, DNS, ou fournisseur unique d'un service essentiel. - **Groupe**: une entreprise appartenant à un groupe peut devoir agréger effectifs et montants, et passer de petite à moyenne. - **Chaîne d'approvisionnement**: si vous vendez à des entités concernées, elles doivent maîtriser le risque fournisseur. Attendez-vous à des questionnaires, des clauses et des demandes de preuves. - **MyCiber**: avez-vous fait l'autoévaluation ? S'identifier incombe à l'entreprise, pas au CNCS. Si vous êtes dans le champ et ne l'avez pas fait, réglez-le dès maintenant avec votre juriste. ## Quelles échéances respecter ? - **Déjà passée** Enregistrement sur MyCiber pour les entités en activité : 60 jours ouvrés à compter du 23 juin 2026 ; le délai a expiré à la mi-septembre 2026. - **Nouvelles entités** 30 jours ouvrés après le début d'activité. - **Responsable cybersécurité et point de contact permanent** Sous 20 jours ouvrés après la notification de la qualification. - **Inventaire des actifs** Six mois après la qualification définitive ou le 31 janvier 2027, la date la plus proche prévalant. - **Mesures minimales et rapport annuel** Deux ans à compter du règlement du CNCS, soit mi-2028. Les exigences minimales se répartissent en trois niveaux, attribués selon le risque : basique avec 39 mesures, substantiel avec 75 et élevé avec 91. ## Puis-je notifier un incident en 24 heures ? Seulement si vous le détectez à temps. Aucune autre obligation ne pèse autant sur l'infrastructure. Les articles 42, 43 et 44 fixent le calendrier pour les incidents à impact significatif : - **Première notification**: 24 heures après la constatation. - **Mise à jour**: sous 72 heures, si nécessaire, avec gravité et impact évalués. - **Avis de fin d'impact**: 24 heures après la fin de l'impact significatif. - **Rapport final**: dans les 30 jours ouvrés suivant cet avis. Y parvenir exige trois choses : une supervision active, des journaux conservés et une procédure écrite définissant qui décide et qui échange avec le CNCS. Une attaque du samedi découverte le lundi matin naît déjà hors délai. C'est pourquoi nous recommandons aux entreprises concernées [IT Unlimited Premium 365](https://www.dataroad-it.com/fr/it-unlimited-premium-365-it-gere-24-7/) : c'est le seul plan DataRoad qui couvre nuits, jours fériés et week-ends. ## Quelles mesures techniques mettre en œuvre en priorité ? Quel que soit le niveau attribué, un socle revient toujours, et toute entreprise de plus de 10 postes devrait l'avoir, concernée ou non. C'est là qu'intervient DataRoad. - **Inventaire** Serveurs, postes, réseau, cloud et accès. Point de départ : la [checklist d'audit du parc informatique](https://www.dataroad-it.com/fr/audit-parc-informatique-checklist-8-blocs/). - **MFA** Sur la messagerie, les services cloud et l'accès à distance. Guide pratique dans [le MFA en entreprise](https://www.dataroad-it.com/fr/mfa-authentification-multifacteur-plan-14-jours/). - **Sauvegardes externes testées** Avec des délais de restauration définis ; voir [sauvegardes gérées pour entreprises](https://www.dataroad-it.com/fr/sauvegarde-geree-entreprises-portugal/). - **Pare-feu gérés** Avec segmentation du réseau. - **Postes de travail** Protection et gestion des mises à jour. - **Politiques et formation** Documentées et avec feuilles de présence. Base dans [les 7 politiques de cybersécurité qu'une entreprise doit avoir](https://www.dataroad-it.com/fr/cybersecurite-geree-sept-politiques-ecrites/). - **Réponse aux incidents** Procédure avec responsables désignés et simulations. Tout doit être documenté. Avec NIS2, il ne suffit pas d'être protégé ; il faut le prouver. Le service complet est décrit dans [mise en œuvre technique de NIS2](https://www.dataroad-it.com/fr/conformite-nis2-portugal/). ## À quoi cela ressemble-t-il chez un vrai client ? Ventask est cliente de DataRoad depuis 2016, avec plus de 350 postes sous contrat IT Unlimited. DataRoad prend en charge tout le réseau, l'administration des pare-feu d'entreprise, le déploiement et la gestion de la protection des postes, le travail à distance sécurisé et le Wi-Fi, avec une supervision et des alertes proactives en Premium 365. Surveillance continue, périmètre, postes et accès à distance : les couches exigées par NIS2, sous un seul contrat. Découvrez l'[étude de cas Ventask en détail](https://www.dataroad-it.com/fr/ventask-pare-feu-geres-350-postes/). ## Questions fréquentes ### Une entreprise de moins de 50 salariés échappe-t-elle à NIS2 ? En règle générale, oui. Exceptions : chiffre d'affaires et bilan supérieurs chacun à 10 millions, appartenance à un groupe qui en fait une entreprise moyenne, ou un service concerné quelle que soit la taille. Hors champ, elle peut encore devoir se conformer en tant que fournisseur. ### Quel délai pour notifier un incident significatif ? 24 heures pour la première notification. Suivent une mise à jour sous 72 heures si nécessaire, un avis de fin d'impact en 24 heures et, sous 30 jours ouvrés, le rapport final. ### Jusqu'où peuvent aller les amendes NIS2 ? Pour les entités essentielles, 2 % du chiffre d'affaires mondial ou 10 millions d'euros ; pour les importantes, 1,4 % ou 7 millions. Le montant le plus élevé s'applique toujours. ### DataRoad enregistre-t-elle mon entreprise sur MyCiber ? Non. L'enregistrement et l'auto-identification sont des actes de l'entité elle-même, avec validation juridique. Nous rassemblons les informations techniques et mettons en œuvre les mesures exigées. ## Vous voulez savoir, par écrit, où vous êtes exposé, en 10 jours ouvrés ? Nous comparons votre infrastructure aux mesures techniques de NIS2. Le résultat est un rapport listant chaque lacune, son urgence et le coût pour la combler. Sans engagement. Découvrez aussi notre offre de [cybersécurité gérée pour les entreprises](https://www.dataroad-it.com/fr/cybersecurite-entreprise/). **Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.** +351 211 459 950 * · sales@dataroad.pt **Appel vers un fixe portugais.* ## Sources - [DL 125/2025 au Diário da República](https://diariodarepublica.pt/dr/detalhe/decreto-lei/125-2025-962603401) · [version EUR-Lex](https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=NIM:202506649) - [Règlement CNCS n.º 756/2026](https://diariodarepublica.pt/dr/detalhe/regulamento/756-2026-1134399056) - [Plateforme MyCiber](https://myciber.gov.pt) - [Commission européenne : qu'est-ce qu'une PME](https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en) - [ECO/Lusa, 24 juin 2026 : délai d'enregistrement sur MyCiber](https://eco.sapo.pt/2026/06/24/entidades-tem-60-dias-uteis-para-se-registarem-na-plataforma-myciber-no-ambito-da-ciberseguranca/) Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéRGPD et cybersécurité gérée : 10 contrôles techniques à prouverSans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/)[Infogérance et cybersécuritéMots de passe exposés : auditer le domaine et agir en 5 joursLe risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA p…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéComptes break-glass Microsoft 365 : l'assurance de l'entrepriseUn administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · Cybersécurité gérée ## One StepAhead of IT. La sécurité se prouve avec les années, pas avec des promesses. Pare-feu gérés, MFA, protection des postes et sauvegardes testées, le même niveau pour tous nos clients. - **11** ans d’activité, depuis 2015 - **0** incident de sécurité chez DataRoad en 11 ans - **5 ★** sur Google · 52 avis We do **IT** right. DataRoad IT Unlimited ## Combien coûterait à votre entreprise une journée sans systèmes ? Demandez une évaluation des risques sans engagement. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/nis2-pme-guide-decret-loi-portugal/