Vous avez peut-être reçu un courriel d’un client allemand ou français. Il mentionne NIS2, demande de remplir un questionnaire, annonce un avenant au contrat. Ou bien vous avez lu un article alarmiste et vous vous demandez si votre entreprise est en infraction depuis des mois.
Commençons par la réponse, parce qu’elle est simple et qu’elle est rarement donnée clairement : NIS2 ne s’applique pas directement à votre PME suisse. Cela ne signifie pas qu’elle vous laissera tranquille.
Qu’est-ce que NIS2, en trois phrases ?
NIS2 est le nom courant de la directive (UE) 2022/2555. Elle vise à relever le niveau de cybersécurité dans l’Union européenne en imposant des obligations à certaines organisations jugées critiques pour l’économie et la société.
Ces organisations sont réparties en deux catégories : les entités « essentielles » et les entités « importantes ». Le classement dépend de deux facteurs combinés, le secteur d’activité et la taille de l’entreprise. Le texte s’appuie pour cela sur la définition européenne des entreprises moyennes, avec des exceptions permettant d’inclure des structures plus petites lorsqu’elles jouent un rôle clé pour un secteur donné.
Les entités concernées doivent mettre en place des mesures de gestion des risques, notifier leurs incidents à l’autorité nationale, et engager la responsabilité de leur direction sur ces sujets. Les listes de secteurs, les seuils précis et les sanctions figurent dans le texte lui-même et dans chaque loi nationale de transposition. Nous ne les reproduisons pas ici : ils varient d’un pays à l’autre, et ce n’est pas ce qui vous concerne.
Pourquoi la Suisse n’est-elle pas concernée directement ?
Le point juridique tient en une distinction que beaucoup d’articles escamotent.
Une directive européenne n’est pas un texte directement applicable aux entreprises. Elle s’adresse aux États membres de l’Union. Chacun doit ensuite la transposer, c’est-à-dire adopter ou modifier sa propre loi nationale pour atteindre le résultat fixé. C’est cette loi nationale qui crée les obligations concrètes, en Allemagne, en France, en Italie.
La Suisse n’est pas membre de l’Union européenne. Aucune obligation de transposition ne pèse sur elle, et NIS2 n’a pas été transposée en droit suisse. Il n’existe donc aucune autorité suisse chargée de la faire respecter, aucune sanction suisse fondée sur elle, aucun registre auquel vous inscrire.
« NIS2 ne s'applique pas à vous » ne veut pas dire « NIS2 ne vous concerne pas ». Le texte ne vous oblige à rien. Vos clients européens, eux, peuvent vous obliger à beaucoup. Et un engagement contractuel signé est tout aussi contraignant qu'une loi, avec des conséquences plus rapides : perte du marché, pénalités, non-renouvellement.
Le vrai mécanisme : la chaîne d’approvisionnement
Voici comment une directive qui ne vous vise pas finit par arriver sur votre bureau.
NIS2 impose aux entités concernées de sécuriser leur chaîne d’approvisionnement. Le texte leur demande d’apprécier la qualité et la résilience des produits et services qu’elles achètent, les mesures de sécurité qui y sont intégrées, et les pratiques de cybersécurité de leurs fournisseurs et prestataires. Il les encourage explicitement à intégrer des exigences de sécurité dans leurs contrats avec leurs fournisseurs directs.
Vous êtes ce fournisseur direct. Si vous usinez des pièces pour un équipementier bavarois, si vous développez un logiciel pour un opérateur français, si vous gérez la maintenance informatique d’un site industriel en Alsace, votre client doit pouvoir démontrer qu’il a évalué votre sécurité.
Il ne peut pas vous imposer la loi allemande ou française. Il peut en revanche vous imposer un contrat. C’est exactement ce qui se passe, et cela prend quatre formes habituelles : un questionnaire de sécurité à remplir, des clauses ajoutées au contrat, un droit d’audit ou de visite, et un engagement de vous signaler sans délai tout incident vous touchant.
Ce mécanisme n’a rien de théorique. Il découle du constat que les attaquants visent de plus en plus le maillon le plus accessible d’une relation commerciale, comme l’expliquent les attaques par la chaîne d’approvisionnement.
| Ce qui ne s’applique pas à votre PME suisse | Ce qui s’applique réellement à vous |
|---|---|
| Les obligations légales de NIS2 en tant que telles | Les clauses de sécurité que vous signez dans un contrat |
| Le classement en entité « essentielle » ou « importante » | Les questionnaires fournisseurs de vos clients européens |
| Les sanctions prévues par les lois nationales de transposition | La perte d’un marché si vous ne répondez pas de façon crédible |
| La notification d’incident aux autorités européennes | La notification d’incident à votre client, si le contrat la prévoit |
| L’obligation d’annonce de la LSI suisse (infrastructures critiques) | Vos obligations suisses réelles, notamment vos obligations nLPD |
Ne confondez pas NIS2 avec la LSI suisse
La confusion est fréquente, et elle est entretenue par le fait que les deux textes parlent de cybersécurité et d’annonce d’incidents.
La loi suisse sur la sécurité de l’information impose depuis le 1er avril 2025 une obligation d’annonce des cyberattaques aux exploitants d’infrastructures critiques suisses. Les sanctions liées à ce manquement sont applicables depuis le 1er octobre 2025. On parle ici d’énergie, d’eau, de transports, de santé, d’administrations, de télécommunications.
Cette obligation suisse ne concerne pas les PME ordinaires. Si vous êtes une fiduciaire de huit personnes, un bureau d’architectes, un garage ou un atelier mécanique, vous n’êtes pas un exploitant d’infrastructure critique et cette obligation d’annonce ne vous vise pas.
Ce qui reste vrai, en revanche, c’est que vous pouvez annoncer volontairement un incident à l’Office fédéral de la cybersécurité. Beaucoup le font : l’OFCS a reçu 64 733 déclarations volontaires en 2025, contre 62 954 en 2024 (OFCS, rapport semestriel 2025/II, 30 mars 2026). Le détail des textes qui s’appliquent selon votre activité est traité dans notre article sur les obligations par secteur.
Que faire quand un client européen vous envoie un questionnaire ?
C’est la situation concrète. Voici la marche à suivre qui fonctionne le mieux.
1. Ne le traitez pas comme une formalité administrative. Ce document sert à décider si vous restez fournisseur. Il mérite le même soin qu’une offre commerciale.
2. Lisez-le avant de répondre, entièrement. Repérez ce qui est demandé comme obligatoire, ce qui est souhaité, et ce qui deviendra une clause contractuelle. Les trois n’ont pas le même poids.
3. Ne mentez jamais. Une réponse fausse découverte après un incident se transforme en manquement contractuel, parfois en tromperie. Répondre « non, mais voici notre plan et notre échéance » est presque toujours mieux reçu qu’un « oui » invérifiable.
4. Négociez ce qui est disproportionné. Un droit d’audit sur site chez un prestataire de trois personnes, une notification d’incident en deux heures 24 heures sur 24, une certification lourde pour un contrat modeste : ces exigences se discutent. Proposez une alternative équivalente plutôt qu’un refus sec.
5. Capitalisez. Rassemblez vos réponses dans un dossier réutilisable : politique de sécurité, mesures techniques, procédure d’incident, liste de vos sous-traitants et de leurs pays d’hébergement, coordonnées d’un contact sécurité. Le deuxième questionnaire prendra alors une heure au lieu de trois jours. Nous détaillons la marche à suivre, les formulations qui fonctionnent et les pièges à éviter dans notre article consacré à la réponse à un questionnaire de sécurité.
Les questions posées par les donneurs d'ordre européens se ressemblent beaucoup : authentification à deux facteurs, sauvegardes testées, gestion des accès, correctifs, plan de réponse aux incidents, sensibilisation du personnel. Ce sont les mesures de base. Les mettre en place avant qu'on vous les demande transforme un exercice subi en argument commercial. Le check-up cyber couvre l'essentiel de ces points en quelques minutes.
Ce que cela change pour votre feuille de route
Le risque, avec un sujet comme NIS2, est de basculer dans l’un des deux excès. Paniquer et chercher une conformité qui n’existe pas pour vous. Ou hausser les épaules parce que « ça ne s’applique pas », et se faire écarter d’un appel d’offres six mois plus tard.
La position raisonnable est au milieu. Vous n’avez pas de conformité NIS2 à obtenir. Vous avez un niveau de sécurité à atteindre et à savoir démontrer, parce que vos clients vous le demanderont de plus en plus, et parce que cela vous protège d’abord vous.
Un signal mérite d’être noté au passage : 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt (étude PME Cybersécurité 2025). La confiance recule. C’est plutôt sain, à condition que la lucidité se transforme en mesures.
Deux évolutions méritent votre attention pour la suite. Le règlement européen sur la cyberrésilience, qui touchera les fabricants de produits comportant des éléments numériques exportés vers l’Union, est traité séparément dans notre article sur le CRA. Et vos obligations suisses réelles, elles, sont regroupées dans le pilier Réglementations.
Un dernier mot de prudence. Cet article explique un mécanisme général et ne constitue pas un conseil juridique. Si un contrat européen vous engage sur des exigences de sécurité, ou si votre groupe possède une entité dans un État membre, faites relire la situation par un juriste compétent dans le pays concerné avant de signer.