NIS2 et DORA : ce qui change vraiment pour les PME françaises

Où en est réellement NIS2 en France

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022. Les États membres devaient la transposer en droit national avant le 17 octobre 2024. À ce jour, la France ne l'a toujours pas transposée.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025, puis modifié en commission à l'Assemblée nationale le 10 septembre 2025. La procédure parlementaire n'est pas achevée. La Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 pour transposition incomplète.

Conséquence concrète pour les entreprises : tant que la loi n'est pas promulguée, les obligations NIS2 ne sont pas opposables aux entreprises françaises.

Ce que NIS2 imposera, et à qui

La directive distingue deux catégories d'organisations : les entités essentielles et les entités importantes, réparties dans une liste de secteurs définie par le texte.

Le critère de taille écarte l'essentiel des TPE. Sont visées les entreprises d'au moins 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires dans les secteurs concernés, avec des exceptions à la baisse pour certains acteurs critiques.

Les obligations portent sur :

• la gestion des risques de cybersécurité ;
• la notification des incidents significatifs : alerte précoce sous 24 heures, rapport sous 72 heures ;
• la continuité d'activité ;
• la responsabilisation des dirigeants.

Les plafonds de sanction annoncés par la directive sont de 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et de pour les entités importantes.

DORA : un texte réservé au secteur financier

Le règlement (UE) 2022/2554, dit DORA, s'applique quant à lui depuis le 17 janvier 2025. Contrairement à NIS2, il s'agit d'un règlement : il est directement applicable, sans transposition.

Son périmètre est restreint aux entités financières et à leurs prestataires informatiques critiques : banques, assurances, sociétés de gestion, prestataires de services de paiement, et leurs fournisseurs TIC. Il porte sur la gestion du risque informatique, la notification d'incidents, les tests de résilience et la surveillance des tiers.

Si votre PME n'appartient ni au secteur financier ni à sa chaîne de sous-traitance informatique, DORA ne vous concerne pas directement.

Non, l'assurance cyber n'est pas rendue obligatoire par ces textes

Le point mérite d'être écrit sans détour : ni NIS2, ni DORA, ni le projet de loi français ne rendent l'assurance cyber obligatoire. Aucun de ces textes ne crée d'obligation d'assurance.

Ce qui est vrai, en revanche : de plus en plus de donneurs d'ordre, d'appels d'offres publics et d'établissements prêteurs exigent contractuellement une attestation d'assurance cyber de leurs fournisseurs. L'obligation, quand elle existe, est contractuelle, pas légale.

Conclusion

Souscrire une assurance cyber est une décision de transfert de risque, pas une mise en conformité réglementaire. La formuler autrement serait vendre sur une obligation qui n'existe pas.