Un client m'a appelé un mardi soir, un peu paniqué. Sa PME de 40 salariés venait de recevoir un courriel d'un sous-traitant lui demandant de signer une « clause de conformité NIS2 » avant la fin de la semaine. Il n'avait aucune idée de ce qu'était NIS2. Moi non plus, à l'époque, je n'aurais pas pu lui répondre en détail. Trois mois plus tard, sa boîte passait deux semaines à remplir des annexes techniques, à recenser ses prestataires cloud et à se demander si le nouveau stagiaire devait suivre une formation cybersécurité.
Voilà ce que personne ne raconte sur l'impact des nouvelles régulations numériques sur les entreprises : le problème n'est presque jamais le texte lui-même. Le problème, c'est le temps qu'il faut pour comprendre si l'on est concerné, et par quoi. J'ai vu des structures de 200 personnes mobiliser un mi-temps entier pendant six mois. J'ai vu des boîtes de 25 salariés s'en sortir avec deux jours de travail bien organisé.
Et j'ai surtout vu beaucoup de confusion, parce que quatre règlements différents (RGPD, NIS2, DSA, DMA) sont brandis comme s'ils s'appliquaient à tout le monde de la même manière. Ce n'est pas le cas. Pas du tout.
Points clés à retenir
- Le RGPD s'applique à presque toutes les entreprises qui traitent des données personnelles ; NIS2 ne concerne qu'un périmètre défini de secteurs et de tailles.
- Le DSA et le DMA visent principalement les plateformes et les grands acteurs numériques, pas la PME moyenne.
- Les coûts réels viennent rarement de l'amende potentielle : ils viennent du temps humain, des prestataires et des outils.
- La conformité devient un argument commercial quand vos clients grands comptes vous l'imposent en cascade.
- Se préparer par anticipation coûte beaucoup moins cher que réagir sous contrainte de délai.
- La sanction maximale existe, mais la vraie pression, c'est celle de vos donneurs d'ordre.
Qui est vraiment concerné par ces régulations ?
Franchement, la première erreur que je vois partout, c'est de traiter ces textes comme un bloc unique. Ils n'ont ni le même périmètre, ni la même logique.
Ce que vise le RGPD
Le RGPD, lui, est déjà là depuis 2018 et ne bouge plus. Dès que vous traitez la moindre donnée personnelle (un fichier client, un formulaire de contact, un dossier RH), vous êtes dedans. Pas de seuil de taille, pas d'exception sectorielle. C'est le texte le plus large, et paradoxalement celui que les entreprises ont le plus intégré, même imparfaitement.
NIS2 : par taille, et par secteur
NIS2 fonctionne à l'inverse. Il cible des secteurs précis (énergie, transport, santé, eau, infrastructure numérique, administration publique, et une liste de secteurs « importants » dont l'agroalimentaire, la fabrication de machines, les services postaux) et distingue deux catégories : les entités essentielles et les entités importantes. Le seuil de déclenchement tourne généralement autour de 50 salariés ou 10 millions d'euros de chiffre d'affaires, sauf exceptions. Une petite boulangerie-artisanale n'est pas concernée. Un éditeur de logiciel de santé de 60 personnes, oui.
DSA et DMA : les grandes plateformes d'abord
Le DSA et le DMA visent les plateformes en ligne, les moteurs de recherche, les très grandes plateformes désignées. Si vous vendez des chaussures sur votre propre site, vous n'êtes pas la cible. Si vous exploitez une place de marché qui héberge des vendeurs tiers, là, ça devient votre affaire — obligations de transparence, signalement de contenus illicites, mechanisms de recours.
Un tableau vaut mieux qu'un long discours. Voici comment je résume la situation à mes clients.
| Texte | Qui est visé | Ce que ça change concrètement |
|---|---|---|
| RGPD | Quasi toutes les entreprises traitant des données personnelles | Registre, information des personnes, contrats sous-traitants, gestion des violations |
| NIS2 | Secteurs définis + seuil de taille | Gouvernance cybersécurité, notification d'incidents, responsabilité des dirigeants |
| DSA | Intermédiaires et plateformes en ligne | Modération, transparence, obligations de signalement |
| DMA | Grandes plateformes désignées « contrôleurs d'accès » | Interopérabilité, interdiction de certaines pratiques d'auto-préférence |
La leçon pratique : avant d'engager un euro, vérifiez votre catégorie. J'ai vu une agence de communication de 15 personnes dépenser 8 000 euros en audit NIS2 pour découvrir qu'elle n'était pas dans le périmètre. Et à l'inverse, un fabricant de composants industriels de 120 salariés qui a découvert trop tard qu'il devait notifier ses incidents sous 24 heures.
Ce que ça coûte vraiment (et ce que les chiffres ne disent pas)
Aucun texte ne vous donne de budget. Forcément, il dépend de votre point de départ. Mais après avoir accompagné une dizaine de dossiers, je peux vous donner des ordres de grandeur honnêtes, tirés de ce que j'ai vécu.
Le vrai poste de dépense, c'est le temps humain
Sur une structure de 50 à 100 salariés, une mise en conformité NIS2 correcte, c'est en général entre 15 et 30 jours-homme étalés sur quatre à six mois. Ce n'est pas un projet, c'est une petite marée. Et ce temps, personne ne le facture à personne : il est absorbé par votre DSI, votre responsable qualité, votre direction. C'est du chiffre d'affaires qui ne se fait pas ailleurs.
À côté, les coûts externes sont plus visibles mais souvent plus petits : un accompagnement juridique, un outil de cartographie des risques, éventuellement une certification. Comptez quelques milliers d'euros pour une PME, dix fois plus pour un groupe.
Les sanctions maximales existent, mais ce n'est pas le vrai sujet
Oui, le RGPD prévoit jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Oui, NIS2 prévoit des plafonds qui peuvent atteindre plusieurs millions. Mais dans la vraie vie, pour une PME, la sanction financière n'est presque jamais le couperet.
Le couperet, c'est le contrat perdu.
Je l'ai vu deux fois en dix-huit mois : un client a perdu un appel d'offres public parce qu'il ne pouvait pas démontrer une politique de sécurité documentée. Un autre a vu son principal donneur d'ordre exiger une attestation de conformité avant de renouveler. C'est ça, la pression réelle. Pas l'amende, l'accès au marché.
Que se passe-t-il concrètement après un contrôle ou une mise en demeure ?
C'est la question qu'on me pose le plus souvent, et à laquelle la plupart des articles répondent par des généralités. Voici comment ça se déroule réellement, de mon point de vue d'observateur.
Le déroulé typique
- Une notification arrive, souvent par courrier recommandé ou via une plateforme en ligne.
- Vous avez un délai pour répondre — parfois court, parfois quelques semaines.
- La réponse doit être factuelle : qu'avez-vous corrigé, comment, avec quelle preuve.
- Soit l'autorité considère que c'est suffisant et classe le dossier, soit elle poursuit.
- Dans les cas les plus lourds, une sanction publique peut être prononcée.
Ce que je retiens de ce que j'ai observé : la réactivité compte plus que la perfection. Une entreprise qui répond vite, avec un plan d'action crédible, s'en sort presque toujours mieux qu'une entreprise qui a une conformité parfaite mais qui met trois mois à répondre. C'est injuste, mais c'est humain.
Ce qui fait dérailler un dossier
Le plus souvent, pas la gravité de l'incident. Mais des choses bêtes : un registre de traitements introuvable, un contrat sous-traitant non signé, une personne partie sans laisser la moindre documentation. J'ai vu une boîte répondre « on ne savait pas qui était le référent » à une autorité. Ça s'est mal terminé.
Comment préparer plutôt que subir ?
La bonne nouvelle, c'est que la mécanique est prévisible. Les textes évoluent lentement, les seuils sont connus, les obligations sont documentées. Il n'y a aucune raison de se faire surprendre.
Les choses à faire en premier
- Cartographier vos données et vos sous-traitants critiques — c'est la base de tout, et ça sert pour les quatre textes.
- Désigner un référent, même à temps partiel. Quelqu'un dont c'est explicitement le rôle.
- Vérifier votre périmètre : êtes-vous NIS2, oui ou non ? Ne payez pas d'audit avant d'avoir la réponse.
- Rédiger une procédure de gestion d'incident, même courte, même imparfaite.
- Former les équipes, au moins une fois par an.
Ce n'est pas héroïque. C'est de l'hygiène.
Ce que je déconseille
Trois pièges que j'ai vus se répéter. D'abord, acheter un outil avant d'avoir compris le besoin : j'ai vu une PME payer 6 000 euros par an pour une plateforme de conformité qu'elle n'a utilisée qu'à 10 %. Ensuite, traiter ça comme un projet ponctuel : la conformité n'a pas de fin, elle a un rythme. Enfin, tout déléguer à un externe sans reprendre la main en interne. L'externe part, la responsabilité reste chez vous.
Un dernier point que peu de gens mentionnent : ces contraintes peuvent devenir un avantage. Sur un appel d'offres, une entreprise capable de démontrer une gouvernance de sécurité propre met son concurrent en difficulté. La conformité coûte, mais elle filtre aussi le marché. Curieux renversement, non ?
Et si vous n'êtes pas concerné du tout ?
Tant mieux. Mais vérifiez quand même vos contrats clients : dans beaucoup de secteurs, les grands donneurs d'ordre répercutent leurs propres obligations sur leurs fournisseurs, quelle que soit leur taille. C'est le mécanisme de cascade, et il ne figure dans aucun règlement. Il est simplement écrit noir sur blanc dans les annexes contractuelles. Le client de 40 salariés qui m'a appelé un mardi soir n'était pas visé par NIS2. Son sous-traitant, si.
Voilà, en définitive, ce qui change vraiment : la frontière entre conformité et commerce s'est effacée. On ne se met plus en règle pour éviter une amende. On se met en règle pour rester dans la pièce. Et cette pièce, désormais, elle se paie en heures de travail et en contrats signés — pas en articles de loi.
