NIS2 freelance : obligations et contrats 2026

Tu ouvres le portail fournisseur d’un client. Avant même le bon de commande, on te demande une politique de sécurité, une procédure de notification d’incident, une preuve de MFA, la liste de tes sous-traitants et une clause d’audit.

Tu voulais juste démarrer une mission DevOps, data, SaaS ou chef de projet. Te voilà face à un questionnaire cyber de vingt pages.

C’est souvent comme ça que NIS2 arrive chez un freelance. Pas forcément par une obligation directe envoyée par l’État. Plutôt par un client qui travaille dans la santé, la finance, l’énergie, le transport, l’industrie, le numérique ou le secteur public, et qui doit prouver qu’il maîtrise aussi sa chaîne fournisseurs.

La réponse courte : un freelance solo est rarement concerné directement par NIS2. Mais il peut être concerné contractuellement par ricochet, dès qu’il intervient chez une entité régulée ou sur un service critique.

J’ai connu cette mécanique en grand compte bien avant NIS2. Tu arrives pour livrer de la valeur, puis les achats, le juridique et la sécurité te rappellent une règle simple : la liberté freelance existe, mais elle est encadrée. En 2026, cet encadrement va devenir plus cyber.

Ce guide ne remplace pas un avocat ni un RSSI. Il te donne une méthode pour comprendre ton exposition, préparer tes preuves, négocier les clauses dangereuses et transformer NIS2 en missions crédibles sans survendre ton niveau.

NIS2 ne transforme pas chaque freelance en entité régulée. En revanche, elle pousse les clients régulés à demander plus de preuves à leurs prestataires.

Étape 1 : comprendre ce que NIS2 impose vraiment

NIS2, ou directive SRI 2, est la directive européenne qui renforce la cybersécurité des organisations critiques dans l’Union européenne. Son texte officiel est la directive UE 2022/2555. La Commission européenne la présente comme un cadre commun pour 18 secteurs critiques, avec des mesures de gestion des risques, des obligations de signalement et des règles de supervision.

En français courant, NIS2 oblige certaines organisations à arrêter de traiter la cybersécurité comme un sujet secondaire. Elles doivent s’identifier, réduire leurs risques, déclarer certains incidents et accepter une supervision.

Pour toi, l’enjeu n’est pas de réciter la directive. C’est de comprendre pourquoi ton client va te demander plus de garanties.

Les trois obligations mises en avant par l’ANSSI

Sur son portail NIS2 MesServicesCyber, l’ANSSI met en avant trois obligations majeures pour les entités concernées.

L’enregistrement auprès de l’autorité nationale compétente, en France l’ANSSI.
La gestion des risques cyber, avec des mesures juridiques, techniques et organisationnelles.
La déclaration d’incidents, quand un incident de sécurité a un impact important.

La même page rappelle aussi que des actions de supervision seront menées, avec des sanctions possibles en cas de non-respect. La directive prévoit des sanctions financières pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé pouvant s’appliquer.

Ces montants ne visent pas le freelance solo qui fait une mission de trois mois chez un client. Ils expliquent surtout pourquoi le client devient nerveux.

Quand une ETI santé risque une sanction, elle ne va pas garder le risque dans son coin. Elle va le traduire en procédures, en clauses contractuelles et en questionnaires fournisseurs.

Entité essentielle ou entité importante

NIS2 distingue deux grandes catégories.

Catégorie	Lecture simple	Effet pour les prestataires
Entité essentielle	Organisation jugée très critique par son secteur, sa taille ou son rôle	Supervision plus forte, exigences sécurité plus structurées, achats plus prudents
Entité importante	Organisation critique, mais avec un régime généralement moins strict	Exigences réelles aussi, souvent via questionnaires, clauses et plans d’action

La directive utilise principalement une logique de secteur et de taille. Les moyennes et grandes entités actives dans les secteurs couverts entrent plus facilement dans le périmètre. Certaines petites structures peuvent aussi être incluses si elles jouent un rôle essentiel, par exemple dans des services numériques sensibles.

Ne retiens pas seulement “plus de 50 salariés”. C’est une simplification utile, mais incomplète. Le secteur, le type de service, le rôle dans la chaîne et la transposition nationale comptent aussi.

Où en est la France au 29 août 2026 ?

Point important pour un article publié le 30 août 2026 : la transposition française reste à vérifier précisément avant chaque signature sensible.

Au 29 août 2026, le portail ANSSI indique encore que la transposition de NIS2 en France est en cours. Le dossier de l’Assemblée nationale sur le projet de loi Résilience montre un parcours parlementaire engagé depuis le dépôt au Sénat du 15 octobre 2024, avec adoption au Sénat le 12 mars 2025 et poursuite de l’examen à l’Assemblée nationale. La Commission européenne a aussi annoncé le 8 juillet 2026 avoir saisi la Cour de justice de l’Union européenne contre la France et d’autres États pour défaut de notification complète des mesures de transposition.

Traduction pratique : ne promets pas à un client une lecture définitive des décrets français si le texte applicable n’est pas stabilisé. En revanche, ne te cache pas derrière ce retard pour ne rien faire. Les clients anticipent déjà.

Même quand la transposition nationale avance lentement, les appels d’offres avancent. Les achats n’attendent pas toujours le dernier décret pour durcir les contrats.

NIS2, CRA, Data Act, AI Act et RGPD : ne mélange pas tout

NIS2 vise la cybersécurité de certaines organisations. Le Cyber Resilience Act pour freelances dev vise plutôt les produits avec éléments numériques. Le Data Act pour freelances traite l’accès aux données, les contrats cloud et la réversibilité. L’AI Act pour freelances encadre les systèmes d’IA selon les risques. Le RGPD continue de s’appliquer aux données personnelles.

Un même client peut cumuler plusieurs textes. Exemple : une ETI santé qui vend un SaaS avec IA et traite des données personnelles peut parler de NIS2, RGPD, AI Act, Data Act et CRA dans le même comité.

Ton rôle consiste à isoler ton périmètre. Tu n’es pas responsable de toute la conformité du client parce que tu touches à son dépôt Git ou à son outil BI.

Étape 2 : savoir si tu es concerné directement ou par ricochet

La question centrale arrive vite : “Est-ce que NIS2 s’applique à moi ?”

Pour la plupart des freelances solos, la réponse directe est non. Tu n’es généralement pas une entité essentielle ou importante au sens de NIS2 si tu travailles seul, sans service critique exploité à grande échelle, sans activité numérique stratégique et sans taille suffisante.

Mais le “non” direct ne suffit pas. Ton contrat peut te faire porter des obligations opérationnelles.

Cas 1 : freelance solo en prestation classique

Tu fais du développement, de la data, du conseil, du design, de la formation ou de la gestion de projet pour un client. Tu n’exploites pas toi-même un service critique. Tu ne fournis pas un service managé continu indispensable à plusieurs entités régulées.

Dans ce cas, tu es rarement concerné directement par NIS2. En revanche, ton client peut te demander :

de respecter sa politique de sécurité ;
d’utiliser le MFA ;
de ne pas stocker ses données hors outils approuvés ;
de notifier rapidement tout incident ;
de supprimer tes accès en fin de mission ;
de déclarer tes sous-traitants ;
de documenter tes mesures de sécurité.

Tu n’es pas régulé comme lui. Tu es encadré par son contrat.

Cas 2 : éditeur SaaS ou prestataire numérique critique

La lecture change si tu vends ton propre SaaS, une plateforme métier, un service cloud, une infogérance, une solution de sécurité, un service DNS, un service de confiance, une marketplace ou un outil utilisé par des clients critiques.

Là, tu peux te rapprocher d’un fournisseur numérique ou d’un prestataire dont la continuité a un impact sur d’autres organisations. Le seuil de taille reste important, mais certaines petites structures peuvent entrer dans le périmètre selon leur rôle.

Si ton SaaS sert à gérer des flux hospitaliers, des interventions de transport, des accès industriels ou des données de collectivités, ne te contente pas d’un “je suis petit”. Fais analyser ton cas.

La même prudence vaut avec le CRA si ton outil devient un produit numérique commercialisé. L’article sur le Cyber Resilience Act complète cette partie côté logiciel.

Cas 3 : sous-traitant d’une entité régulée

C’est le cas le plus fréquent.

Ton client est dans le périmètre NIS2 ou pense l’être. Il doit gérer ses risques cyber, y compris ceux de sa chaîne d’approvisionnement. La directive parle explicitement des risques liés aux chaînes d’approvisionnement et aux fournisseurs.

Tu interviens donc dans une zone de vigilance, même si ton entreprise n’est pas régulée.

Exemples :

tu administres l’infrastructure cloud d’une ETI santé ;
tu développes une API pour un industriel ;
tu connectes un outil SaaS à un SI bancaire ;
tu formes les équipes d’une collectivité ;
tu maintiens un portail fournisseur pour un acteur énergie ;
tu analyses des données sensibles pour une entreprise de transport.

Dans tous ces cas, le client va vouloir savoir si tu es un point d’entrée faible.

Cas 4 : freelance via ESN ou cabinet référencé

Si tu passes par une ESN, le client final peut imposer ses exigences à l’ESN, puis l’ESN te les répercute. C’est classique en grand compte.

Le piège : tu peux recevoir un avenant sécurité que personne ne t’explique, avec des délais de notification impossibles, une responsabilité large ou une clause d’audit intrusive.

Avant de signer, demande toujours qui est responsable de quoi. Le guide sur les missions avec les grands comptes détaille déjà les circuits fournisseurs, les marges et les validations. Ici, ajoute la lecture cyber.

Ton exposition réelle dépend moins de ton statut freelance que de ce que tu touches : accès admin, données sensibles, production, sauvegardes, outils critiques et sous-traitants.

Étape 3 : repérer les clients qui vont te demander des preuves cyber

Tu n’as pas besoin d’attendre que le client prononce “NIS2” pour anticiper. Certains secteurs vont mécaniquement durcir leurs exigences fournisseurs.

Les secteurs à surveiller

La Commission européenne cite un périmètre élargi par rapport à NIS1, avec des secteurs comme l’énergie, le transport, la santé, la finance, l’eau, les infrastructures numériques, les communications électroniques, certains services numériques, la gestion des déchets, l’administration publique, l’espace et des fabrications critiques.

Pour un freelance, les signaux les plus fréquents seront :

Secteur client	Pourquoi c’est sensible	Exigences probables
Santé	Continuité des soins, données sensibles, SI hospitalier	MFA, accès nominatif, confidentialité, notification rapide
Finance, assurance	DORA, RGPD, données clients, disponibilité	clauses d’audit, traçabilité, chiffrement, PRA
Énergie, eau, transport	Services essentiels, continuité opérationnelle	gestion des accès, segmentation, procédures incident
Industrie	OT, supply chain, propriété industrielle	restrictions d’accès, postes durcis, sous-traitants déclarés
Collectivités	services publics, données administratives, budgets contraints	hygiène cyber, hébergement, support, preuves simples
Cloud, SaaS, hébergeurs	dépendance de nombreux clients	certifications, réversibilité, journalisation, sécurité par défaut
Services managés IT	accès privilégiés chez plusieurs clients	procédures, supervision, sauvegardes, engagements forts

Plus tu es proche du SI critique, plus la pression augmente.

Un rédacteur technique qui prépare une documentation publique n’a pas la même exposition qu’un DevOps avec accès production. Un formateur qui intervient deux heures n’a pas le même risque qu’un intégrateur SaaS qui conserve des exports clients sur son poste.

Les demandes qui vont remonter dans les contrats

Attends-toi à voir arriver des demandes comme :

clause de sécurité générale ;
engagement de confidentialité renforcé ;
MFA obligatoire ;
chiffrement du poste ou des supports ;
sauvegardes et restauration ;
journalisation des actions ;
accès nominatif, pas de compte partagé ;
localisation des données ;
interdiction ou déclaration préalable des sous-traitants ;
réversibilité en fin de mission ;
délai de notification d’incident ;
audit ou droit de contrôle ;
preuve d’assurance RC Pro ;
respect d’une PSSI client ;
suppression des accès et des copies de travail.

Certaines demandes sont normales. D’autres sont disproportionnées pour un freelance solo.

Un client peut exiger que tu utilises un gestionnaire de mots de passe et le MFA. C’est sain. Un client qui exige une certification ISO 27001 personnelle pour une mission de cadrage de 5 jours mélange peut-être niveau de risque et réflexe d’achat.

Les questionnaires sécurité

Les questionnaires sécurité sont souvent mal calibrés. Ils ont été conçus pour des sociétés de services, des éditeurs SaaS ou des infogéreurs. Puis ils tombent sur un indépendant.

Tu peux donc recevoir des questions comme :

“Disposez-vous d’un RSSI nommé ?”
“Votre SOC est-il opéré en 24/7 ?”
“Êtes-vous certifié ISO 27001 ?”
“Fournissez-vous un rapport de pentest annuel ?”
“Combien de salariés sont sensibilisés à la sécurité ?”

Ne mens pas pour cocher les cases. Réponds sobrement : “Non applicable, structure unipersonnelle”, puis indique le contrôle équivalent quand il existe.

Exemple : pas de RSSI nommé, mais responsable unique de la sécurité des outils utilisés. Pas de SOC, mais alertes activées sur les services critiques. Pas de certification ISO, mais socle d’hygiène documenté et appliqué.

J’ai déjà vu des achats préférer une réponse honnête et documentée à un “oui” impossible à vérifier. Le problème n’est pas d’être petit. Le problème est de ne pas savoir expliquer comment tu travailles.

Étape 4 : préparer ton socle opérationnel minimum

Avant de négocier des clauses, commence par être propre dans ton propre environnement. L’ANSSI publie un guide d’hygiène informatique qui recense 42 mesures essentielles. Tu n’as pas besoin de copier un référentiel de grand groupe, mais tu dois avoir un socle défendable.

Voici la version freelance.

Accès et mots de passe

Tu dois pouvoir répondre sans hésiter à ces points.

Gestionnaire de mots de passe utilisé pour tous les comptes professionnels.
Mots de passe uniques, longs et non réutilisés.
MFA activé sur email, cloud, GitHub, GitLab, outils client, banque, facturation et stockage.
Aucun compte partagé avec un autre prestataire.
Accès client séparés de tes comptes personnels.

Le MFA est souvent la mesure la plus facile à vendre et la plus difficile à excuser quand elle manque.

Séparation pro et perso

Un client régulé veut éviter que ses données dorment dans un dossier personnel synchronisé avec toute ta vie numérique.

Prévois :

un ordinateur protégé par mot de passe fort ou biométrie ;
une session professionnelle séparée si besoin ;
un stockage cloud professionnel identifié ;
une messagerie professionnelle ;
aucun partage de documents client vers des comptes personnels ;
des accès nominativement attribués.

Si tu travailles depuis ton poste personnel, assume-le seulement si le niveau de risque est faible. Sur une mission sensible, un poste dédié ou durci devient vite rationnel.

Mises à jour, chiffrement et protection du poste

Ton poste est souvent ton premier risque fournisseur.

Minimum défendable :

mises à jour automatiques du système et du navigateur ;
chiffrement du disque activé ;
verrouillage automatique après inactivité ;
antivirus ou protection native activée ;
EDR si le client l’exige ou si tu manipules un périmètre sensible ;
sauvegarde de tes documents professionnels utiles ;
inventaire simple de tes outils.

Ne promets pas un EDR managé si tu n’en as pas. Dis ce que tu utilises, ce que tu peux activer et ce qui nécessite un coût ou une contrainte client.

Données, sauvegardes et réversibilité

NIS2 croise souvent le sujet des données. Ton client veut savoir où sont ses fichiers, combien de temps tu les gardes et comment tu les supprimes.

Écris une règle simple :

données client stockées uniquement dans les outils validés ;
exports locaux évités ou limités ;
fichiers sensibles chiffrés si stockage temporaire ;
suppression des copies de travail en fin de mission ;
restitution des livrables dans un format convenu ;
sauvegardes documentées pour ce qui dépend de toi.

Si tu touches aux données, relis la documentation CNIL sur les sous-traitants, la section RGPD du contrat de mission freelance et le guide Data Act sur la réversibilité.

Journal d’incident et procédure courte

Tu n’as pas besoin d’un plan de crise de 80 pages. Tu as besoin d’une procédure lisible.

Elle doit répondre à quatre questions.

Question	Réponse attendue
Qu’est-ce qu’un incident ?	Perte d’ordinateur, fuite de données, accès suspect, malware, erreur d’envoi, clé exposée
Qui prévenir ?	Contact client, contact sécurité, ESN si intermédiaire, assureur si nécessaire
Dans quel délai ?	Délai réaliste prévu au contrat, avec alerte rapide dès suspicion sérieuse
Quelle trace garder ?	Date, heure, périmètre, comptes touchés, premières mesures, preuves disponibles

Ce document d’une page peut suffire à rassurer un client. Il montre que tu ne découvriras pas la notion d’incident le jour où ton ordinateur disparaît.

Une politique sécurité freelance n’a pas besoin d’être épaisse. Elle doit être exacte, appliquée et compréhensible par un acheteur.

Étape 5 : préparer ton dossier avant un appel d’offres

Si tu vises des PME régulées, des ETI, des grands comptes ou des collectivités, prépare un mini-dossier fournisseur. Tu gagneras du temps et tu répondras mieux sous pression.

Les documents utiles

Prépare un dossier avec :

attestation d’assurance RC Pro à jour ;
extrait Sirene ou Kbis selon ton statut ;
politique de sécurité courte ;
liste des outils professionnels principaux ;
règles de stockage des données client ;
procédure de notification d’incident ;
procédure de fin de mission ;
DPA ou annexe RGPD si tu traites des données personnelles ;
références anonymisées si les clients sont confidentiels ;
limites de responsabilité proposées ;
liste de tes sous-traitants réguliers, si tu en as.

L’article sur le contrat de mission freelance t’aide à cadrer la partie juridique. L’article sur l’assurance RC Pro freelance t’aide à vérifier si ton activité IT, cyber, data ou cloud est correctement couverte.

La politique sécurité courte

Tu peux tenir en une page.

Structure possible :

Périmètre : activité freelance, types de missions, outils concernés.
Accès : MFA, mots de passe, comptes nominatifs.
Poste de travail : chiffrement, verrouillage, mises à jour.
Données client : stockage, partage, suppression, confidentialité.
Sous-traitance : aucun sous-traitant ou liste déclarée.
Incident : méthode de notification et premières mesures.
Fin de mission : restitution, suppression, révocation des accès.

N’écris pas “conformité ISO 27001” si tu n’es pas certifié. Écris plutôt : “mesures inspirées des bonnes pratiques d’hygiène informatique de l’ANSSI, adaptées à une structure unipersonnelle”.

Comment répondre sans te surexposer

Tu peux utiliser trois niveaux de réponse.

Question client	Réponse trop risquée	Réponse plus saine
Êtes-vous conforme NIS2 ?	Oui	Non applicable à ma structure à ce stade, mais je respecte les exigences de sécurité contractuelles liées à la mission
Avez-vous une PSSI ?	Oui, sans document	J’ai une politique sécurité freelance courte, disponible sur demande
Notifiez-vous les incidents sous 24 h ?	Oui, tous les incidents	Je notifie sans délai indu tout incident susceptible d’affecter le client, selon le processus et les contacts prévus au contrat
Êtes-vous ISO 27001 ?	En cours, sans preuve	Non, pas de certification ISO 27001 à ce jour
Avez-vous des sous-traitants ?	Non, même si tu délègues parfois	Aucun sous-traitant sur cette mission, sauf accord écrit préalable

La nuance protège ta crédibilité. Elle protège aussi ton assurance.

Si tu déclares être certifié, conforme ou capable d’assurer une supervision 24/7, il faut pouvoir le prouver.

Les preuves qui rassurent sans te piéger

Les clients régulés ne cherchent pas seulement une promesse. Ils cherchent une trace exploitable dans leur propre dossier fournisseur.

L’ANSSI insiste dans ses exigences NIS2 sur la cartographie de l’écosystème, les contrats avec les prestataires, le maintien en condition de sécurité, les comptes individuels, la gestion des accès et la revue des mesures. Pour un freelance, ça ne veut pas dire produire un classeur de conformité. Ça veut dire préparer des preuves simples, proportionnées et datées.

Exigence client	Preuve raisonnable pour un freelance	Limite à poser
MFA et accès individuels	Capture ou attestation indiquant MFA actif sur les outils pro et comptes nominatifs côté client	Ne garantis pas les accès internes du client
Poste sécurisé	Attestation de chiffrement disque, mises à jour automatiques, verrouillage, protection antivirus ou EDR si applicable	Ne promets pas un poste administré comme un parc d’entreprise si ce n’est pas le cas
Gestion des vulnérabilités	Routine de mise à jour, veille sur les outils critiques, correction rapide dans ton périmètre	Ne prends pas la responsabilité de toutes les dépendances du SI client
Données client	Règle de stockage, suppression en fin de mission, absence d’exports non autorisés	Ne conserve pas de données “au cas où” après la mission
Incident	Procédure d’une page avec contacts, critères d’alerte et journal d’incident	Ne promets pas un rapport complet avant d’avoir qualifié l’incident
Sous-traitants et outils	Liste des personnes ou services qui peuvent accéder aux données client	Ne cache pas un assistant, une agence ou un outil qui traite les données
Audit	Revue documentaire, preuves ciblées, entretien sécurité	Refuse l’accès libre à tes autres clients, comptes personnels ou secrets professionnels

Le bon réflexe consiste à dater tes preuves. “MFA activé le 12 août 2026” vaut mieux que “sécurité conforme”. Une preuve précise évite de transformer une demande raisonnable en engagement flou.

Plus ta preuve est concrète, moins tu as besoin d’employer de grands mots comme conformité, certification ou garantie.

Ce qu’un client peut raisonnablement demander

Un client sensible peut raisonnablement demander :

des accès nominatifs ;
l’application de sa PSSI ;
un MFA obligatoire ;
la confidentialité renforcée ;
l’interdiction de stocker des exports localement ;
une notification rapide des incidents ;
une suppression des accès en fin de mission ;
une preuve d’assurance ;
une déclaration des sous-traitants.

Ce n’est pas abusif en soi. C’est le niveau d’engagement qui doit être calibré.

Tu peux accepter une obligation de vigilance et de coopération. Tu dois refuser une conformité globale que tu ne contrôles pas.

Étape 6 : négocier les clauses cyber sans porter tout le risque

Les clauses cyber vont devenir plus fréquentes. Certaines sont utiles. D’autres déplacent le risque du client vers le freelance sans budget, sans contrôle et sans assurance.

Lis chaque clause avec une question : ai-je les moyens concrets de respecter ce que je signe ?

Délai de notification d’incident

NIS2 prévoit une logique de signalement rapide pour les entités concernées. L’article 23 de la directive mentionne notamment une alerte précoce sous 24 heures et une notification sous 72 heures pour les incidents significatifs.

Mais toi, freelance prestataire, tu n’es pas forcément l’entité qui notifie à l’ANSSI. Ton obligation contractuelle devrait être de prévenir le client rapidement si tu détectes un incident pouvant l’affecter.

Clause à négocier :

“Le prestataire informe le client sans retard indu après avoir eu connaissance d’un incident de sécurité susceptible d’affecter les données, accès ou systèmes du client, avec les informations raisonnablement disponibles à ce stade.”

Évite de promettre un rapport complet en 2 heures. Au début d’un incident, tu n’as souvent qu’une suspicion.

Audit et droit de contrôle

Un audit peut être légitime. Mais il doit avoir un périmètre.

À encadrer :

préavis raisonnable ;
audit limité au périmètre de la mission ;
protection de tes autres clients ;
confidentialité des preuves ;
pas d’accès libre à ton ordinateur personnel ;
fréquence limitée ;
coûts pris en charge si l’audit dépasse une simple revue documentaire.

Tu peux fournir une attestation, une capture de configuration ou une revue documentaire. Tu ne dois pas ouvrir tout ton environnement à un tiers sans cadre.

Responsabilité et plafond

C’est le point le plus dangereux.

Refuse les clauses qui te rendent responsable de toute faille, toute interruption, toute sanction NIS2 ou toute perte d’exploitation du client, surtout avec une responsabilité illimitée.

Prévois un plafond cohérent avec :

ton chiffre d’affaires sur la mission ;
ton assurance ;
ton niveau de contrôle réel ;
la criticité du périmètre ;
le prix payé.

Sur une mission critique, ton TJM doit intégrer le risque, le temps documentaire, les astreintes éventuelles et les exigences de preuve. Sinon, tu subventionnes le risque client.

Obligation de moyens ou de résultat

La cybersécurité ne se garantit pas comme une livraison de fichier.

Tu peux t’engager à mettre en œuvre des mesures définies, respecter une procédure, corriger une vulnérabilité dans ton périmètre, coopérer à une analyse ou appliquer la PSSI client.

Tu ne peux pas garantir “l’absence de faille”, “la conformité NIS2 du client” ou “aucun incident”. Ces promesses sont trop larges.

Formulation plus saine :

“Le prestataire est tenu à une obligation de moyens renforcée sur le périmètre explicitement confié, à l’exclusion de toute garantie globale de conformité du système d’information du client.”

Sous-traitance

NIS2 met la chaîne fournisseurs sous tension. Les clients vont vouloir savoir qui intervient réellement.

Si tu délègues à un autre freelance, à une agence, à un assistant, à une plateforme ou à un outil spécialisé, ne le cache pas. Déclare le principe, surtout si la personne ou l’outil accède à des données client.

Fais aussi la différence entre trois situations.

Situation	Exemple	Réflexe contractuel
Sous-traitant humain	autre freelance, agence, assistant indépendant	accord écrit, confidentialité, accès limité, suppression en fin de mission
Outil tiers choisi par toi	stockage cloud, outil IA, outil de ticketing, plateforme de documentation	information du client si données sensibles, localisation, conditions de sécurité, DPA si données personnelles
Service imposé par le client	GitLab client, VPN client, cloud client, coffre-fort client	responsabilité limitée à ton usage correct de l’outil

Cette distinction évite un piège fréquent : être tenu responsable d’un outil que le client t’impose, ou oublier qu’un service choisi par toi peut devenir un sous-traitant RGPD s’il traite des données personnelles.

Clause acceptable :

pas de sous-traitance sans accord écrit ;
liste des sous-traitants autorisés ;
obligation de confidentialité répercutée ;
suppression des accès en fin de mission.

Clause dangereuse :

interdiction totale de tout outil tiers sans liste réaliste ;
responsabilité illimitée pour tout incident chez un fournisseur cloud imposé par le client ;
obligation de garantir la conformité de chaque dépendance que tu ne contrôles pas.

Quand refuser une clause

Refuse ou renégocie si tu vois :

responsabilité illimitée ;
garantie de conformité NIS2 globale ;
délai de notification impossible ;
audit sans préavis et sans périmètre ;
accès intrusif à ton matériel ou à tes autres clients ;
exigence ISO disproportionnée ;
pénalités automatiques sans lien avec ton périmètre ;
transfert de sanction administrative du client vers toi ;
obligation de résultat sur l’absence d’incident ;
clause non couverte par ta RC Pro.

Je sais que c’est inconfortable de ralentir une signature. J’ai déjà accepté des missions IT au TJM flatteur avant de découvrir trois comités, deux canaux internes et cinq validateurs. Avec la cyber, l’effet peut être pire : le problème n’est pas seulement le temps perdu, c’est le risque que tu portes sans l’avoir tarifé.

Une clause cyber acceptable décrit ton périmètre. Une clause dangereuse te rend responsable d’un système que tu ne pilotes pas.

Étape 7 : transformer NIS2 en opportunités de mission

NIS2 n’est pas seulement une contrainte. Pour beaucoup de freelances, c’est aussi une source de missions.

Les entreprises concernées vont devoir comprendre leur périmètre, cartographier leurs risques, formaliser des procédures, vérifier leurs fournisseurs, durcir leurs accès et former leurs équipes. Elles n’auront pas toutes un RSSI interne disponible.

Les missions qui vont sortir en 2026

Tu peux voir apparaître des missions comme :

diagnostic NIS2 pour PME ou ETI ;
cartographie des fournisseurs critiques ;
rédaction de procédures sécurité ;
mise en place MFA et IAM ;
durcissement postes et comptes administrateurs ;
revue des sauvegardes et tests de restauration ;
préparation de questionnaires fournisseurs ;
cartographie des données et accès ;
plan de notification d’incident ;
exercice de crise cyber ;
formation équipes métiers ;
accompagnement DSI ou RSSI à temps partagé ;
documentation de réversibilité SaaS ou cloud ;
revue des contrats prestataires.

Si tu viens de la cyber, le lien est évident. Si tu viens du DevOps, de la data, du SaaS ou du pilotage projet, il l’est aussi, mais à condition de rester dans ton périmètre.

Par profil freelance

Profil	Offre NIS2 crédible	Limite à ne pas franchir
Consultant cybersécurité	diagnostic, analyse de risques, politiques, plan de remédiation	promettre une conformité juridique complète sans juriste
DevOps ou cloud	MFA, IAM, sauvegardes, logs, durcissement cloud, secrets	vendre du pentest si tu n’as pas la compétence
Développeur	correction de vulnérabilités, dépendances, sécurité applicative, documentation	garantir toute la sécurité produit
Consultant data ou IA	cartographie des flux, droits d’accès, stockage, traçabilité	ignorer RGPD, AI Act ou Data Act quand les données l’exigent
Chef de projet	coordination des plans d’action, suivi fournisseurs, ateliers métier	trancher seul les risques techniques critiques
Intégrateur SaaS	configuration sécurité, SSO, MFA, rôles, réversibilité	devenir responsable implicite de l’éditeur SaaS
Rédacteur technique ou formateur	procédures, guides utilisateurs, sensibilisation	inventer des règles sécurité sans validation d’un expert

Le guide devenir consultant cybersécurité freelance détaille les compétences, certifications et TJM si tu veux aller plus loin sur ce marché.

Positionnement commercial prudent

Évite les promesses du type “mise en conformité NIS2 complète en 10 jours”. Elles attirent les mauvais clients et créent une attente dangereuse.

Préfère des offres bornées :

“Diagnostic fournisseur NIS2 en 5 jours”.
“Mise en place MFA et revue des accès administrateurs”.
“Cartographie des outils SaaS et sous-traitants”.
“Procédure incident et exercice de simulation”.
“Préparation questionnaire sécurité pour appels d’offres”.
“Plan de remédiation cyber priorisé pour PME”.

Tu vends une décision, un livrable et une limite. C’est plus crédible.

Exemple : une freelance DevOps face à une ETI santé

Prenons un cas simple.

Claire, freelance DevOps, travaille pour une ETI santé. Elle doit migrer une application interne vers une infrastructure cloud. Avant référencement, le client lui envoie un questionnaire sécurité.

Questions reçues :

“Disposez-vous d’une PSSI ?”
“Tous les accès sont-ils protégés par MFA ?”
“Quel est votre délai de notification d’incident ?”
“Avez-vous des sous-traitants ?”
“Pouvez-vous garantir la conformité NIS2 de la prestation ?”
“Acceptez-vous un audit sécurité ?”

Réponses possibles :

Demande	Réponse saine
PSSI	”Je dispose d’une politique sécurité freelance courte couvrant accès, poste, données client, incidents et fin de mission.”
MFA	”Oui, MFA activé sur mes comptes professionnels et sur les accès client qui me sont attribués.”
Notification	”Je notifie sans retard indu tout incident susceptible d’affecter les systèmes ou données du client, avec les informations disponibles.”
Sous-traitance	”Aucun sous-traitant n’intervient sans accord écrit préalable.”
Conformité NIS2	”Je contribue au respect des exigences de sécurité sur mon périmètre DevOps, sans garantir la conformité globale de l’entité.”
Audit	”Oui, revue documentaire ou audit limité au périmètre de la mission, avec préavis et confidentialité.”

Modifications contractuelles à demander :

remplacer la garantie globale NIS2 par une obligation de moyens sur le périmètre DevOps ;
plafonner la responsabilité ;
préciser le délai de notification à partir de la connaissance effective d’un incident ;
limiter l’audit au périmètre de mission ;
exclure les sanctions administratives du client ;
prévoir le temps de remédiation et de documentation dans le budget.

Actions opérationnelles avant démarrage :

activer MFA sur tous les accès ;
demander des comptes nominatifs ;
refuser les secrets partagés dans Slack ;
documenter les dépôts, environnements, rôles et accès ;
vérifier les sauvegardes et la restauration ;
consigner la procédure de révocation des accès en fin de mission ;
éviter tout export local de données de production.

Ce n’est pas spectaculaire. C’est ce qui rend la mission défendable.

Checklist 30 jours pour te préparer à NIS2

Si tu travailles avec des clients sensibles, commence par cette routine.

Semaine 1 : nettoyer tes accès

Active le MFA partout.
Mets tous tes mots de passe dans un gestionnaire.
Supprime les comptes anciens.
Sépare tes comptes pro et perso.
Vérifie tes accès GitHub, GitLab, cloud, stockage et messagerie.

Semaine 2 : documenter ton socle

Rédige une politique sécurité d’une page.
Liste tes outils professionnels.
Écris ta procédure incident.
Écris ta procédure de fin de mission.
Prépare ton attestation RC Pro.

Semaine 3 : relire tes contrats

Ajoute une clause de notification réaliste.
Ajoute une limite de responsabilité.
Clarifie les audits.
Clarifie la sous-traitance.
Clarifie la suppression des données en fin de mission.

Semaine 4 : transformer le sujet en offre

Identifie les clients exposés dans ton portefeuille.
Prépare une offre courte de diagnostic ou de remédiation.
Liste tes limites de compétence.
Trouve un partenaire cyber, juridique ou assurance si nécessaire.
Mets à jour ton dossier de compétences.

La directive NIS2 freelance n’est pas un badge à afficher. C’est une nouvelle couche de sérieux dans la relation client. Plus tu montres ton périmètre, tes preuves et tes limites, plus tu deviens fiable pour les clients qui ont besoin de prestataires solides.

L’opportunité se trouve là.

Pas en promettant de tout couvrir. En aidant le client à réduire un risque précis, documenté et utile.

FAQ

Questions fréquentes

NIS2 s'applique-t-elle aux indépendants ? +

Un indépendant solo est rarement directement concerné par NIS2, surtout s'il ne fournit pas lui-même un service critique à grande échelle. En revanche, il peut être concerné contractuellement si un client régulé lui impose des exigences de sécurité, de notification, de confidentialité, de sous-traitance ou d'audit.

Mon client peut-il m'imposer une certification ISO 27001 ? +

Il peut la demander dans son processus achat, mais tu peux négocier si l'exigence est disproportionnée par rapport à ta mission. Une certification ISO 27001 concerne une organisation et son système de management, pas une compétence magique individuelle. Pour une mission limitée, une politique sécurité courte, des preuves MFA, une RC Pro et des procédures peuvent parfois suffire.

Que faire si je n'ai pas de PSSI ? +

Ne prétends pas en avoir une. Prépare plutôt une politique sécurité freelance d'une page : accès, mots de passe, MFA, poste de travail, stockage des données client, sous-traitance, incident et fin de mission. C'est souvent plus crédible qu'un document copié sur un modèle grand compte que tu n'appliques pas.

Dois-je notifier un incident à l'ANSSI ou au client ? +

Si tu n'es pas une entité NIS2 régulée, ton premier réflexe est généralement de notifier ton client selon le contrat, surtout si l'incident peut affecter ses données, ses accès ou ses systèmes. L'obligation de notification à l'ANSSI concerne les entités régulées. En cas de doute sérieux, fais valider la procédure par le client, son RSSI ou un conseil juridique.

Quelle RC Pro vérifier pour une mission avec exigences cyber ? +

Vérifie que ton assurance couvre bien ton activité réelle : conseil IT, développement, DevOps, cloud, data, cybersécurité, perte de données, interruption de service, faute professionnelle et sous-traitance éventuelle. Regarde aussi les exclusions cyber, les plafonds, les franchises et les obligations de déclaration d'incident.

Puis-je sous-traiter une partie de la mission ? +

Oui seulement si ton contrat le permet et si le client l'accepte quand la mission touche à des données, accès ou systèmes sensibles. Déclare les sous-traitants, répercute la confidentialité et les mesures de sécurité, puis supprime leurs accès en fin de mission.

Comment répondre à un questionnaire sécurité client ? +

Réponds honnêtement, distingue ce qui est applicable à une structure unipersonnelle et ce qui ne l'est pas, puis fournis des contrôles équivalents quand ils existent. Par exemple : pas de RSSI dédié, mais responsabilité sécurité identifiée ; pas de certification ISO, mais MFA, gestionnaire de mots de passe, chiffrement, procédure incident et politique sécurité courte.

NIS2 remplace-t-elle le RGPD ? +

Non. NIS2 traite la cybersécurité et la résilience de certaines entités. Le RGPD continue de s'appliquer aux données personnelles : base légale, information, sécurité, sous-traitance, droits des personnes et violations de données. Dans une mission client, les deux sujets peuvent se cumuler.

NIS2 pour freelances : obligations client, clauses cyber et missions en 2026