Tu travailles pour des PME, ETI, grands comptes, SaaS, collectivités ou acteurs régulés ? Voici comment répondre aux exigences NIS2 sans porter un risque cyber qui n'est pas le tien.
Tu ouvres le portail fournisseur d’un client. Avant même le bon de commande, on te demande une politique de sécurité, une procédure de notification d’incident, une preuve de MFA, la liste de tes sous-traitants et une clause d’audit. Tu voulais juste démarrer une mission DevOps. Te voilà face à un questionnaire cyber de vingt pages.
C’est souvent comme ça que NIS2 arrive chez un freelance. Pas par une obligation directe, mais par un client régulé qui doit prouver qu’il maîtrise sa chaîne fournisseurs.
La réponse courte : un freelance solo est rarement concerné directement. Il l’est souvent par ricochet, via son contrat. Ce guide ne remplace ni un avocat ni un RSSI, mais il t’aide à préparer tes preuves et à négocier les clauses dangereuses.
NIS2 ne transforme pas chaque freelance en entité régulée. En revanche, elle pousse les clients régulés à demander plus de preuves à leurs prestataires.
NIS2 est la directive UE 2022/2555. Elle renforce la cybersécurité des organisations de 18 secteurs critiques, classées en entités essentielles (supervision plus forte) et entités importantes. Le classement dépend surtout du secteur et de la taille, mais certaines petites structures entrent dans le périmètre si leur rôle est critique. « Plus de 50 salariés » reste donc une simplification.
Sur son portail NIS2, l’ANSSI résume trois obligations pour les entités concernées :
Les sanctions peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante. Elles ne te visent pas, mais elles expliquent pourquoi ton client traduit ce risque en clauses et en questionnaires.
Côté France, la transposition n’est toujours pas terminée début octobre 2026. Le projet de loi Résilience a été adopté par le Sénat le 12 mars 2025, mais son examen en séance à l’Assemblée nationale a été repoussé à plusieurs reprises. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour ce retard.
Ne promets donc pas à un client une lecture définitive des décrets français. Mais ne te cache pas derrière ce retard : les achats n’attendent pas le dernier décret pour durcir les contrats.
Enfin, ne mélange pas tout. Le Cyber Resilience Act vise les produits numériques, le Data Act la réversibilité et l’accès aux données, l’AI Act les systèmes d’IA. Le RGPD, lui, continue de s’appliquer.
Pour la plupart des freelances solos, la réponse directe est non. Tu fais du développement, de la data, du conseil ou de la formation, et tu n’exploites pas toi-même un service critique : tu n’es pas régulé comme ton client. Tu es encadré par son contrat.
La lecture change si tu vends ton propre SaaS, un service cloud, de l’infogérance ou un outil dont dépendent des clients critiques. Si ton logiciel gère des flux hospitaliers ou des accès industriels, ne te contente pas d’un « je suis petit » : fais analyser ton cas.
Le cas le plus fréquent reste celui du sous-traitant. Ton client est dans le périmètre (ou pense l’être) et la directive l’oblige à gérer les risques de sa chaîne d’approvisionnement. Si tu administres le cloud d’une ETI santé, développes une API pour un industriel ou connectes un SaaS au SI d’une banque, il va vouloir savoir si tu es un point d’entrée faible.
Les secteurs qui durcissent le plus vite leurs exigences fournisseurs : santé, finance et assurance (qui cumulent avec DORA), énergie, eau, transport, industrie, collectivités, hébergeurs et éditeurs SaaS.
Si tu passes par une ESN, le client final lui impose ses exigences et elle te les répercute, souvent via un avenant sécurité que personne ne t’explique. Le guide sur les missions en grand compte détaille ces circuits. Avant de signer, demande qui est responsable de quoi.
Ton exposition réelle dépend moins de ton statut freelance que de ce que tu touches : accès admin, données sensibles, production, sauvegardes, outils critiques et sous-traitants.
Les questionnaires sécurité ont été conçus pour des ESN et des éditeurs SaaS. Puis ils tombent sur un indépendant : « Disposez-vous d’un RSSI nommé ? », « Votre SOC est-il opéré en 24/7 ? ». Ne mens pas pour cocher les cases. Réponds « Non applicable, structure unipersonnelle », puis indique le contrôle équivalent.
Encore faut-il avoir ce contrôle. Le guide d’hygiène informatique de l’ANSSI recense 42 mesures. Pour un freelance, le socle défendable tient en quatre points :
Ensuite, choisis tes mots.
| Question client | Réponse risquée | Réponse saine |
|---|---|---|
| Êtes-vous conforme NIS2 ? | Oui | Non applicable à ma structure, mais je respecte les exigences de sécurité contractuelles de la mission |
| Avez-vous une PSSI ? | Oui, sans document | J’ai une politique sécurité freelance d’une page, disponible sur demande |
| Notifiez-vous sous 24 h ? | Oui, tous les incidents | Je notifie sans retard indu tout incident susceptible de vous affecter |
| Avez-vous des sous-traitants ? | Non, même si tu délègues parfois | Aucun sur cette mission, sauf accord écrit préalable |
Date tes preuves. « MFA activé le 12 août 2026 » vaut mieux que « sécurité conforme ». J’ai déjà vu des acheteurs préférer une réponse honnête et documentée à un « oui » invérifiable. Le problème n’est pas d’être petit, c’est de ne pas savoir expliquer comment tu travailles.
Plus ta preuve est concrète, moins tu as besoin d’employer de grands mots comme conformité, certification ou garantie.
Certaines clauses sont saines : MFA obligatoire, accès nominatifs, respect de la PSSI du client. D’autres déplacent le risque vers toi sans budget ni contrôle. Lis chacune avec une question : ai-je les moyens de respecter ce que je signe ?
La notification d’incident. Ton obligation devrait être de prévenir vite ton client, pas de produire un rapport complet en deux heures. Au début d’un incident, tu n’as souvent qu’une suspicion. Formulation à proposer :
« Le prestataire informe le client sans retard indu après avoir eu connaissance d’un incident de sécurité susceptible d’affecter ses données, accès ou systèmes, avec les informations raisonnablement disponibles à ce stade. »
L’audit. Légitime, à condition d’avoir un préavis, un périmètre limité à la mission et la confidentialité de tes autres clients. Une revue documentaire suffit souvent. Personne n’a à fouiller ton ordinateur.
La responsabilité. C’est le point le plus dangereux. Refuse toute responsabilité illimitée pour une faille, une perte d’exploitation ou une sanction NIS2 du client. Demande un plafond cohérent avec le prix de la mission et ta RC Pro, et une obligation de moyens renforcée sur ton périmètre, jamais une garantie de conformité globale du SI.
La sous-traitance. Si un autre freelance, un assistant ou un outil tiers accède aux données client, déclare-le. À l’inverse, ne deviens pas responsable d’un outil que le client t’impose (son VPN, son GitLab, son cloud).
Je sais que c’est inconfortable de ralentir une signature. J’ai déjà accepté des missions IT au TJM flatteur avant de découvrir trois comités et cinq validateurs. Avec la cyber, c’est pire : tu portes un risque que tu n’as pas tarifé. Sur une mission critique, ton TJM doit intégrer le temps documentaire et les exigences de preuve. Le contrat de mission freelance t’aide à cadrer le reste.
Une clause cyber acceptable décrit ton périmètre. Une clause dangereuse te rend responsable d’un système que tu ne pilotes pas.
NIS2 est aussi une source de missions. Les entreprises concernées doivent cartographier leurs risques, formaliser des procédures, vérifier leurs fournisseurs, durcir leurs accès et former leurs équipes. Peu ont un RSSI disponible pour tout faire.
| Profil | Offre crédible | Limite à ne pas franchir |
|---|---|---|
| Consultant cybersécurité | diagnostic, analyse de risques, plan de remédiation | promettre une conformité juridique complète sans juriste |
| DevOps ou cloud | MFA, IAM, sauvegardes, journalisation, gestion des secrets | vendre du pentest sans la compétence |
| Développeur | correction de vulnérabilités, dépendances, sécurité applicative | garantir toute la sécurité du produit |
| Chef de projet | pilotage des plans d’action, suivi fournisseurs | trancher seul des risques techniques |
| Rédacteur ou formateur | procédures, sensibilisation des équipes | inventer des règles sans validation d’un expert |
Évite les promesses du type « mise en conformité NIS2 complète en 10 jours ». Préfère des offres bornées : « diagnostic fournisseur NIS2 en 5 jours », « mise en place du MFA et revue des comptes administrateurs », « préparation des questionnaires sécurité pour appels d’offres ». Tu vends un livrable et une limite, c’est plus crédible.
Pour aller plus loin, le guide pour devenir consultant cybersécurité freelance détaille compétences, certifications et TJM.
NIS2 n’est pas un badge à afficher. Plus tu montres ton périmètre, tes preuves et tes limites, plus tu deviens le prestataire fiable que ces clients cherchent.
Il peut la demander, mais tu peux négocier si l'exigence est disproportionnée. ISO 27001 certifie le système de management d'une organisation, pas une compétence individuelle. Pour une mission limitée, une politique sécurité courte et des preuves de MFA suffisent souvent.
Si tu n'es pas une entité régulée, tu notifies ton client selon le contrat. C'est lui qui, s'il est dans le périmètre NIS2, déclare l'incident à l'ANSSI. En cas de doute, fais valider la procédure par son RSSI.
Vérifie qu'elle couvre ton activité réelle (développement, cloud, data, cybersécurité) et la perte de données. Compare ses exclusions cyber et ses plafonds au plafond de responsabilité que tu signes.
Non. NIS2 traite la cybersécurité de certaines entités, le RGPD la protection des données personnelles, y compris les violations de données à notifier à la CNIL. Dans une même mission, les deux peuvent se cumuler.
15 août 2026 · 8 min
22 juin 2026 · 8 min
8 mai 2026 · 8 min
