La mise à niveau imposée par NIS2 peut servir d’argument pour moderniser un parc vieillissant. Beaucoup de PME repoussent depuis des années des décisions évidentes : sortir d’un Windows obsolète, segmenter le réseau, centraliser la sauvegarde. La contrainte réglementaire débloque parfois ces arbitrages, parce qu’elle déplace la conversation du « combien ça coûte » vers le « combien ça coûte de ne rien faire ».
Un niveau de sécurité démontrable devient aussi un argument commercial. Face à un donneur d’ordre assujetti, la PME capable de prouver ses pratiques — politique d’accès, journalisation, plan de réponse — passe devant celle qui reste floue. Plusieurs grands comptes intègrent déjà des questionnaires cyber dans leurs appels d’offres. Dans les faits, un acheteur regarde désormais la capacité du fournisseur à décrire sa réponse à incident autant que son prix.
Reste à ne pas confondre conformité et sécurité. Cocher les cases d’un référentiel structure la défense, mais ne garantit pas l’absence d’attaque. L’ANSSI elle-même rappelle que la conformité est un point de départ, pas une assurance. Pour une PME, le vrai gain se mesure ailleurs : dans le temps de remise en route après un incident, et dans la confiance que les clients accordent — ou retirent.
La transposition française traîne. La loi Résilience était attendue pour octobre 2024 ; elle arrivera sans doute à l’été 2026. L’ANSSI, elle, a déjà tranché : elle invite les entreprises à démarrer sans attendre le texte et a ouvert un pré-enregistrement dès novembre 2025. Pour un dirigeant de PME, la directive NIS2 ramène finalement à une question simple. Combien de temps son activité tiendrait-elle, demain matin, si ses serveurs étaient chiffrés par un rançongiciel ?
