NIS2 vise vos clients, rarement le freelance lui-même
La directive européenne NIS2, entrée en vigueur en janvier 2023, élargit les obligations de cybersécurité à des milliers d’organisations. Un point rassure les indépendants du web : un freelance qui travaille seul n’est presque jamais une entité régulée, sauf s’il exploite lui-même un service critique à grande échelle, comme une plateforme, un hébergement ou un logiciel en ligne largement diffusé. NIS2 pour les freelances se joue par ricochet : si vos clients relèvent de la santé, de la finance, de l’énergie, des transports, de l’industrie, du secteur public ou des services numériques, ils sont soumis à des obligations d’enregistrement, de gestion des risques et de notification d’incidents. Les sanctions qui les visent atteignent 10 millions d’euros ou 2 pour cent du chiffre d’affaires mondial pour les entités essentielles, 7 millions ou 1,4 pour cent pour les entités importantes. Cette pression explique leur rigueur nouvelle envers les prestataires.
En France, une transposition encore inachevée
Au 31 août 2026, la France n’a toujours pas transposé NIS2 dans son droit. Le texte prévu, la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, a été adopté en commission spéciale à l’Assemblée nationale le 10 septembre 2025, mais son examen en séance n’était pas achevé et aucune loi définitive n’était promulguée à l’été 2026. Le 9 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne pour défaut de transposition, en réclamant une amende forfaitaire assortie d’astreintes journalières ; l’Irlande, les Pays-Bas et l’Espagne sont visés par la même procédure. L’ANSSI, désignée autorité nationale, a publié le 17 mars 2026 un référentiel qui traduit les obligations en vingt objectifs de sécurité pour les entités essentielles et quinze pour les entités importantes. Environ 15 000 entités françaises seront concernées une fois la loi en vigueur.
Ce que les clients demandent aux freelances au titre de NIS2
Sans attendre les décrets, les entreprises régulées durcissent leurs exigences envers leurs prestataires. Certaines demandes sont légitimes et peuvent s’accepter : comptes nominatifs, authentification à deux facteurs, respect de la politique de sécurité du client, notification rapide en cas d’incident, suppression des accès en fin de mission, preuve d’une assurance responsabilité civile professionnelle. D’autres clauses sont disproportionnées pour un indépendant et méritent d’être refusées ou plafonnées : responsabilité illimitée, garantie globale de conformité à NIS2, audit sans préavis ni périmètre défini, obligation de résultat sur l’absence totale d’incident, délai de notification inférieur à 24 heures sans cadre précis. Une formulation saine consiste à s’engager à informer le client sans retard indu après avoir eu connaissance d’un incident susceptible de l’affecter. Pour la sous-traitance, il faut déclarer tout intervenant, signaler les outils tiers qui traitent les données du client et faire signer un engagement de confidentialité.
Un plan de mise en conformité sur 30 jours
Plutôt que de tout traiter d’un bloc, il est plus réaliste d’étaler la mise en conformité NIS2 sur un mois, en commençant par les gestes qui réduisent le plus le risque. Aucune étape ne demande d’outillage coûteux : l’essentiel tient dans des réglages de comptes, quelques pages de documentation et une relecture attentive des clauses de sécurité. Le chantier peut se mener en parallèle des missions en cours, à raison de quelques heures par semaine, ce qui permet aussi de répondre à un client qui réclame des garanties en lui montrant un calendrier daté plutôt qu’une promesse vague. Le plan tient en quatre semaines, chacune consacrée à un objet précis :
- Semaine 1, les accès : activer l’authentification à deux facteurs sur tous les comptes professionnels, adopter un gestionnaire de mots de passe, séparer les comptes personnels et professionnels
- Semaine 2, la documentation : rédiger une politique de sécurité d’une page, lister les outils tiers, écrire une procédure d’incident, chiffrer le disque du poste, vérifier l’assurance responsabilité civile professionnelle
- Semaine 3, les contrats : relire les missions en cours, négocier les clauses de notification, de responsabilité et d’audit, clarifier la sous-traitance et les outils imposés
- Semaine 4, la relation commerciale : repérer les clients des secteurs régulés, préparer une réponse type, envisager une offre de diagnostic courte
La prochaine échéance concrète est l’examen de la loi résilience en séance au Parlement, attendu à partir de septembre 2026 ; les décrets d’application préciseront ensuite les périmètres exacts et les délais de notification. En attendant, les appels d’offres et les contrats-cadres anticipent déjà ces obligations, et un freelance capable de présenter un socle de sécurité documenté dispose d’un avantage net face à un concurrent qui découvre le sujet. C’est aussi le meilleur moment pour transformer une contrainte réglementaire en argument de vente. Suivre les publications de l’ANSSI, autorité de référence pour la déclinaison française de NIS2, permet de rester à jour sans se perdre dans le détail du texte européen.