NIS2 : ce que les infogérants doivent proposer à leurs clients

NIS2 va faire entrer plusieurs milliers d'entreprises et d'organisations françaises dans un cadre de cybersécurité obligatoire. Beaucoup sont des PME et ETI qui confient leur informatique à un infogérant. Même quand l'infogérant n'est pas lui-même concerné, ses clients vont lui demander des réponses concrètes. Voici où en est la loi en France et ce qu'un infogérant peut proposer dès maintenant.

Où en est NIS2 en France (octobre 2026)

La directive européenne NIS2 devait être transposée au plus tard le 17 octobre 2024. En France, elle passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Le Sénat l'a adopté en première lecture le 12 mars 2025 et la commission spéciale de l'Assemblée nationale a adopté son texte le 10 septembre 2025. À la date de cet article, la loi n'est pas encore définitivement adoptée et ses décrets d'application ne sont pas publiés.

Ce retard ne change pas la direction. Le contenu du texte est connu, l'ANSSI a publié un projet de référentiel (le Référentiel Cyber France, ReCyF) et les entreprises qui travaillent avec des clients européens reçoivent déjà des clauses inspirées de NIS2 dans leurs contrats. Les clients prévoyants commencent à s'y préparer.

Qui sera concerné

Le projet de loi distingue deux catégories, dans 18 secteurs d'activité (énergie, transports, santé, eau, numérique, fabrication, alimentaire, services postaux, gestion des déchets, administration…) :

Certains acteurs sont concernés quelle que soit leur taille, notamment parmi les fournisseurs de services numériques. Un client de 60 salariés dans l'industrie ou la santé peut donc entrer dans le champ. Ceux qui restent en dessous des seuils seront souvent concernés indirectement, parce que leurs propres clients soumis à NIS2 leur imposeront des exigences dans les contrats.

Ce que NIS2 demande, en pratique

• Gérer les risques : analyse des risques, politique de sécurité, gestion des accès, authentification multifacteur, sauvegardes, chiffrement.
• Détecter et traiter les incidents : être capable de voir une attaque et d'y répondre.
• Notifier les incidents importants à l'ANSSI : une alerte initiale sous 24 heures, une notification sous 72 heures avec une première évaluation, et un rapport final sous un mois.
• Sécuriser la chaîne d'approvisionnement : évaluer les pratiques de sécurité de ses prestataires directs, dont l'infogérant.
• Impliquer la direction, qui doit approuver les mesures et se former.

Le point des 24 heures est le plus concret pour un infogérant : pour prévenir l'ANSSI dans ce délai, il faut d'abord avoir vu l'incident. Sans surveillance la nuit et le week-end, c'est impossible.

Ce qu'un infogérant peut proposer à ses clients

Vous n'avez pas besoin de tout faire vous-même. Les briques les plus spécialisées (SOC 24/7, pentest, réponse à incident) se revendent très bien en partenariat, pendant que vous restez l'interlocuteur unique du client.

Et vous, en tant que prestataire ?

Vos clients soumis à NIS2 devront évaluer leurs prestataires. Attendez-vous à des questionnaires sur vos propres pratiques : authentification multifacteur sur vos outils d'administration à distance, gestion des comptes à privilèges, sauvegardes, procédure en cas d'incident chez vous. Avoir des réponses prêtes devient un argument commercial.

Par où commencer

• Repérez dans votre portefeuille les clients dans les secteurs NIS2 et au-dessus des seuils.
• Proposez-leur un diagnostic court, avant que la loi ne soit votée.
• Mettez en place la détection 24/7 en priorité : c'est la condition pour respecter le délai de 24 heures.
• Préparez vos propres réponses aux questionnaires fournisseurs.

Pour aller plus loin : comment proposer un SOC à ses clients sans recruter, le SOC en marque blanche, et notre guide pour choisir un prestataire de mise en conformité NIS2.