NIS 2 France 2026 : secteurs et entreprises concernés

La directive (UE) 2022/2555, dite NIS 2, est le texte qui redessine le paysage de la réglementation cyber en Europe, et la question que se posent aujourd'hui la quasi-totalité des dirigeants et des responsables informatiques français n'est plus « que devrons-nous mettre en place ? » mais bien « sommes-nous réellement concernés ? ». Cette interrogation n'a rien d'anecdotique : elle conditionne des budgets, des recrutements, des choix d'architecture et, à terme, une exposition à des sanctions administratives qui peuvent atteindre plusieurs millions d'euros. Or le périmètre de NIS 2 est fréquemment mal compris, y compris par des organisations qui s'estiment de bonne foi hors champ. Entre les dix-huit secteurs d'activité couverts, la distinction entre entités essentielles et entités importantes, les seuils de taille et la série d'exceptions qui les neutralisent, il est facile de conclure trop vite. Cet article détaille méthodiquement le périmètre d'assujettissement, secteur par secteur, avec les critères de qualification, les cas particuliers, un tableau de synthèse et la méthode pour vérifier concrètement votre situation.

NIS 2 : un changement d'échelle par rapport à NIS 1

Pour comprendre pourquoi tant d'organisations découvrent aujourd'hui qu'elles entrent dans le champ d'une réglementation cyber, il faut mesurer l'écart entre NIS 1 et NIS 2. La première directive NIS, transposée en France par la loi du 26 février 2018, reposait sur une logique de désignation : l'État identifiait nommément des opérateurs de services essentiels (OSE), quelques centaines au total, auxquels s'ajoutaient les opérateurs d'importance vitale (OIV) relevant d'un dispositif national antérieur et distinct. Une entreprise savait qu'elle était assujettie parce qu'elle recevait un courrier de l'administration.

NIS 2 renverse complètement cette logique. Le texte européen ne désigne plus : il définit des critères objectifs — un secteur d'activité, un type de service fourni, une taille d'entreprise — et toute organisation qui coche ces cases est assujettie de plein droit, qu'elle en ait conscience ou non. C'est le principe d'auto-identification, et il constitue le véritable bouleversement du dispositif. Il n'y a plus de courrier salvateur : c'est à l'entité de déterminer elle-même sa situation, de s'enregistrer auprès de l'autorité nationale compétente et d'assumer les obligations qui en découlent.

Le changement d'échelle est spectaculaire. Là où NIS 1 concernait quelques centaines d'opérateurs français, les estimations publiques rendues disponibles autour du dispositif NIS 2 évoquent un ordre de grandeur de plusieurs milliers d'entités — le chiffre de 15 000 est celui qui circule le plus fréquemment, tous secteurs et toutes tailles confondus, collectivités territoriales incluses. Cette multiplication par plusieurs dizaines n'est pas le fruit d'un durcissement arbitraire : elle traduit la reconnaissance que la surface d'attaque d'une économie moderne ne se limite pas à ses opérateurs d'infrastructures les plus visibles, mais s'étend à l'ensemble des chaînes d'approvisionnement industrielles, sanitaires, alimentaires et numériques.

Les 18 secteurs couverts par NIS 2 : annexe I et annexe II

La directive répartit les activités concernées en deux annexes qui ne se distinguent pas par leur nature juridique mais par leur criticité présumée. L'annexe I regroupe onze « secteurs à haute criticité » ; l'annexe II en ajoute sept, qualifiés d'« autres secteurs critiques ». Le total, dix-huit secteurs, est la donnée de référence pour toute analyse de périmètre.

Une précision fondamentale s'impose d'emblée, car elle est à l'origine de la majorité des erreurs d'interprétation : l'annexe ne détermine pas à elle seule si vous êtes une entité essentielle ou une entité importante. Elle constitue l'un des deux paramètres d'une matrice qui croise le secteur avec la taille de l'entité. Une entreprise de l'annexe I peut parfaitement être qualifiée d'entité importante, et non essentielle, si sa taille reste dans la catégorie « moyenne ». Nous détaillons ce mécanisme plus loin.

Autre point d'attention : l'appartenance sectorielle ne se lit pas dans le code NAF ou APE de l'entreprise. La directive raisonne par type d'entité et par service fourni. Une société de services numériques qui héberge des applications métier pour des clients industriels relève de la gestion des services TIC quel que soit le libellé de son objet social. À l'inverse, une entreprise dont le code NAF évoque l'énergie mais qui ne fournit aucun des services listés dans l'annexe I peut se trouver hors champ. L'analyse est fonctionnelle, pas nominale.

Annexe I : les onze secteurs hautement critiques en détail

Énergie, transports et eau : les infrastructures physiques

Le secteur de l'énergie est le plus finement segmenté de la directive. Il couvre l'électricité — producteurs, gestionnaires de réseaux de transport et de distribution, fournisseurs, exploitants de points de recharge, opérateurs de marchés désignés, entreprises d'agrégation, de participation active de la demande et de stockage —, les réseaux de chaleur et de froid, le pétrole (exploitants d'oléoducs, de stockage, de raffinage, entités centrales de stockage), le gaz (fourniture, distribution, transport, stockage, GNL, exploitants d'installations de raffinage et de traitement) et l'hydrogène (production, stockage, transmission).

Les transports se déclinent en quatre modes. Le transport aérien vise les transporteurs, les entités gestionnaires d'aéroports et les exploitants de dispositifs de contrôle de la circulation aérienne. Le transport ferroviaire couvre les gestionnaires d'infrastructure et les entreprises ferroviaires, y compris les exploitants d'installations de service. Le transport par eau concerne les compagnies de navigation intérieure, maritime et côtière, les entités gestionnaires de ports et les exploitants de services de trafic maritime. Le transport routier vise les autorités routières et les exploitants de systèmes de transport intelligents.

L'eau potable et les eaux usées constituent deux secteurs distincts. Le premier vise les fournisseurs et distributeurs d'eau destinée à la consommation humaine ; le second, les entités qui collectent, évacuent ou traitent des eaux résiduaires urbaines, domestiques ou industrielles — à l'exclusion des entités pour lesquelles cette activité n'est pas essentielle. En France, cette double entrée touche directement un très grand nombre de régies, de syndicats intercommunaux et de délégataires de service public.

Santé, banque et marchés financiers

Le secteur de la santé a été considérablement élargi par rapport à NIS 1. Il vise les prestataires de soins de santé au sens large — établissements publics comme cliniques privées —, les laboratoires de référence de l'Union européenne, les entités qui exercent des activités de recherche-développement relatives aux médicaments, les fabricants de produits pharmaceutiques de base et de préparations pharmaceutiques, ainsi que les fabricants de dispositifs médicaux considérés comme critiques en situation d'urgence de santé publique. Une clinique privée dépassant les seuils de taille est donc pleinement dans le champ.

Le secteur bancaire vise les établissements de crédit, tandis que les infrastructures des marchés financiers couvrent les opérateurs de plates-formes de négociation et les contreparties centrales. Ces deux secteurs présentent une particularité majeure : ils font l'objet d'une articulation spécifique avec le règlement DORA sur la résilience opérationnelle numérique du secteur financier. Lorsque DORA impose des exigences au moins équivalentes à celles de NIS 2, ce sont ses dispositions sectorielles qui s'appliquent en priorité au titre du principe de lex specialis. Les entités financières doivent donc raisonner à partir de DORA, sans pour autant ignorer leur qualification NIS 2, notamment pour les aspects de supervision.

Infrastructure numérique et gestion des services TIC

C'est probablement le bloc le plus large et le moins bien identifié par les entreprises françaises. L'infrastructure numérique couvre les fournisseurs de points d'échange internet, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de services d'informatique en nuage, les fournisseurs de services de centres de données, les réseaux de diffusion de contenu, les prestataires de services de confiance, les fournisseurs de réseaux de communications électroniques publics et les fournisseurs de services de communications électroniques accessibles au public.

La gestion des services TIC en mode interentreprises constitue un secteur à part entière et vise les fournisseurs de services gérés (MSP) et les fournisseurs de services de sécurité gérés (MSSP). Autrement dit, l'infogéreur qui administre le système d'information d'un client, l'opérateur de SOC managé ou l'intégrateur qui exploite l'infrastructure d'un tiers relèvent de l'annexe I. Beaucoup d'ESN françaises de taille moyenne n'ont pas encore intégré cette réalité, alors même que leur position dans la chaîne de valeur en fait des cibles privilégiées.

Administration publique et espace

L'administration publique vise les entités de l'administration centrale telles que définies par chaque État membre, ainsi que, selon les choix nationaux, les entités de l'administration au niveau régional. La marge d'appréciation laissée aux États sur l'inclusion du niveau local — communes, intercommunalités — explique que le périmètre exact applicable aux collectivités territoriales françaises soit l'un des points les plus scrutés de la transposition nationale.

Le secteur espace vise les exploitants d'infrastructures au sol, détenues, gérées et exploitées par des États membres ou par des parties privées, qui soutiennent la fourniture de services spatiaux. Il ne s'agit donc pas des opérateurs de satellites en tant que tels mais des segments sol : stations de réception, centres de contrôle, réseaux de télémesure.

Annexe II : les sept autres secteurs critiques

L'annexe II élargit le périmètre à des pans entiers de l'économie qui n'avaient jamais été soumis à une réglementation cyber sectorielle. Elle comprend :

• Services postaux et d'expédition : prestataires de services postaux et de services d'expédition, y compris les acteurs de la logistique du dernier kilomètre.
• Gestion des déchets : entreprises dont la gestion des déchets constitue l'activité économique principale.
• Fabrication, production et distribution de produits chimiques : entreprises qui fabriquent, produisent ou distribuent des substances et des mélanges chimiques.
• Production, transformation et distribution de denrées alimentaires : entreprises du secteur alimentaire engagées dans la distribution en gros ainsi que dans la production et la transformation industrielles.
• Fabrication (industrie manufacturière) : fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro, de produits informatiques, électroniques et optiques, d'équipements électriques, de machines et équipements non compris ailleurs, de véhicules automobiles, remorques et semi-remorques, et d'autres matériels de transport.
• Fournisseurs numériques : fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux.
• Recherche : organismes de recherche, entendus comme les entités dont l'objectif premier est de mener des activités de recherche appliquée ou de développement expérimental en vue d'exploiter les résultats à des fins commerciales.

Le sous-secteur « Fabrication » mérite une attention particulière : il représente à lui seul une part considérable du tissu industriel français. Un équipementier automobile de rang 1 ou 2, un fabricant de machines-outils, un producteur d'équipements électriques ou un industriel du dispositif médical relèvent de l'annexe II dès lors qu'ils dépassent les seuils de taille. Pour ces acteurs, dont beaucoup opèrent déjà sous exigences clients en matière de cybersécurité, la convergence avec des référentiels comme AirCyber dans la filière aéronautique ou TISAX dans l'automobile devient un levier de mutualisation évident.

Entités essentielles ou entités importantes : la règle réelle

Voici le point sur lequel se trompent la plupart des analyses rapides. La qualification en entité essentielle (EE) ou en entité importante (EI) ne découle pas de la seule annexe. Elle résulte du croisement de deux paramètres : l'annexe d'appartenance et la catégorie de taille.

• Annexe I + grande entreprise = entité essentielle.
• Annexe I + entreprise moyenne = entité importante.
• Annexe II + grande entreprise = entité importante.
• Annexe II + entreprise moyenne = entité importante.

Un hôpital privé de 120 salariés relève de l'annexe I mais sera qualifié d'entité importante, et non essentielle. Un équipementier industriel de 1 200 salariés relève de l'annexe II et sera également entité importante. Cette distinction n'est pas cosmétique : elle détermine le régime de supervision et le plafond des sanctions.

Les entités essentielles sont soumises à une supervision ex ante : l'autorité compétente peut procéder à des inspections sur site, des audits de sécurité réguliers, des contrôles aléatoires, des demandes de preuves, sans qu'un incident se soit produit. Les entités importantes relèvent d'une supervision ex post : les contrôles interviennent lorsque l'autorité dispose d'éléments laissant penser que l'entité ne respecte pas ses obligations, typiquement à la suite d'un incident ou d'un signalement.

Côté sanctions, la directive fixe des plafonds distincts : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé étant retenu) pour les entités essentielles ; jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total pour les entités importantes. S'y ajoute, pour les entités essentielles, la possibilité de mesures d'interdiction temporaire d'exercer des fonctions de direction à l'encontre des dirigeants en cas de manquement persistant. La responsabilité des organes de direction est un axe explicite du texte, ce qui déplace le sujet du service informatique vers le conseil d'administration.

Les seuils de taille : ce que recouvrent réellement « 50 salariés » et « 10 M€ »

La directive s'appuie sur la définition des catégories d'entreprises issue de la recommandation 2003/361/CE de la Commission européenne. Deux lignes de partage doivent être distinguées, et elles sont régulièrement confondues.

Le seuil d'entrée dans le périmètre correspond à la qualification d'entreprise moyenne. Il est atteint dès lors que l'entité emploie au moins 50 personnes, ou que son chiffre d'affaires annuel et son total de bilan dépassent 10 millions d'euros. En pratique, une entreprise de 55 salariés réalisant 6 millions d'euros de chiffre d'affaires dans un secteur listé est dans le champ. Une entreprise de 30 salariés réalisant 25 millions d'euros de chiffre d'affaires peut également l'être. Le critère d'effectif n'est pas le seul déclencheur.

Le seuil de qualification en grande entreprise, qui fait basculer une entité de l'annexe I en catégorie essentielle, correspond au dépassement des plafonds de l'entreprise moyenne : au moins 250 salariés, ou un chiffre d'affaires annuel supérieur à 50 millions d'euros associé à un total de bilan supérieur à 43 millions d'euros.

Deux subtilités méritent d'être signalées. D'abord, les données à considérer ne sont pas nécessairement celles de la seule entité juridique : la recommandation 2003/361/CE prévoit une consolidation des effectifs et des données financières pour les entreprises liées et partenaires. Une filiale de 40 salariés détenue à 100 % par un groupe de 3 000 personnes ne peut donc pas se prévaloir mécaniquement de sa taille individuelle. Ensuite, l'analyse doit être conduite entité juridique par entité juridique au sein d'un groupe, ce qui peut aboutir à des qualifications hétérogènes selon les sociétés et les activités.

Tableau de synthèse : les 18 secteurs, leur annexe et des exemples d'entités

Ce tableau fournit une première orientation, mais il ne remplace pas l'analyse d'assujettissement au cas par cas : la qualification dépend du service précisément fourni, de la structure capitalistique et, pour certains secteurs, d'exceptions et de précisions apportées par le droit national.

Les cas d'assujettissement indépendants de la taille

La règle des seuils connaît une série d'exceptions structurantes. La directive prévoit expressément que certaines entités sont assujetties quelle que soit leur taille, y compris lorsqu'elles emploient moins de dix personnes. C'est la disposition la plus fréquemment ignorée, et celle qui produit le plus de faux négatifs dans les auto-évaluations.

Sont concernés indépendamment de tout seuil :

• les fournisseurs de réseaux de communications électroniques publics et les fournisseurs de services de communications électroniques accessibles au public ;
• les prestataires de services de confiance ;
• les registres de noms de domaine de premier niveau et les fournisseurs de services DNS ;
• les entités d'administration publique relevant du champ défini par l'État membre ;
• les entités qui sont le seul prestataire dans un État membre d'un service essentiel au maintien d'activités sociétales ou économiques critiques ;
• les entités dont la perturbation du service pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique ;
• les entités dont la perturbation pourrait induire un risque systémique important, notamment dans des secteurs où elle pourrait avoir un impact transfrontière ;
• les entités critiques au niveau national ou régional en raison de leur importance particulière pour un secteur, un type de service ou d'autres secteurs interdépendants ;
• les entités identifiées comme entités critiques au titre de la directive (UE) 2022/2557 sur la résilience des entités critiques (REC).

Par ailleurs, certaines catégories sont qualifiées d'entités essentielles sans considération de taille : c'est notamment le cas des prestataires de services de confiance qualifiés, des registres de noms de domaine de premier niveau, des fournisseurs de services DNS, et des entités identifiées comme critiques au titre de la directive REC. Un prestataire de services de confiance qualifié de quinze personnes peut ainsi relever du régime le plus exigeant du dispositif.

Collectivités territoriales et administrations : un périmètre à part

Le sujet des collectivités territoriales concentre une grande part des interrogations françaises, et pour une bonne raison : la directive laisse aux États membres le soin de définir précisément quelles entités de l'administration publique entrent dans le champ, en distinguant le niveau central — obligatoire — et le niveau régional ou local, dont l'inclusion relève d'un choix national assorti d'une analyse de risque.

Dans les faits, les collectivités françaises sont déjà, indépendamment de leur qualification juridique au titre de l'administration publique, largement concernées par d'autres entrées sectorielles : la gestion de l'eau potable, l'assainissement, les réseaux de chaleur, la collecte et le traitement des déchets, les transports urbains, les établissements sanitaires et médico-sociaux rattachés. Une communauté d'agglomération qui exploite une régie d'eau et un réseau de transport public peut se trouver assujettie par deux voies distinctes, sans avoir à trancher la question de son statut d'administration publique.

Pour les collectivités, l'enjeu concret est moins la qualification que la capacité opérationnelle : mettre en place une gouvernance de la sécurité, une gestion des incidents et un dispositif de notification en 24 heures suppose des ressources dont beaucoup de structures ne disposent pas en interne. C'est un cas d'usage typique du RSSI externalisé, qui permet de mutualiser une compétence rare sur un périmètre multi-entités.

Vérifier concrètement votre assujettissement

L'ANSSI met à disposition un service en ligne dédié, MonEspaceNIS2, qui permet à toute organisation de conduire un test d'assujettissement guidé puis, le cas échéant, de procéder aux démarches d'enregistrement auprès de l'autorité nationale. C'est le point d'entrée officiel, et il doit constituer la première étape de toute démarche sérieuse. Le portail institutionnel cyber.gouv.fr centralise par ailleurs les publications, guides et actualités relatifs au dispositif.

Nous recommandons la séquence suivante pour une analyse d'assujettissement solide :

1. Cartographier les entités juridiques du groupe et, pour chacune, décrire les services réellement fournis à des tiers — et non l'objet social déclaré.
2. Confronter chaque service aux annexes I et II de la directive, sous-secteur par sous-secteur, en documentant les raisons d'inclusion comme d'exclusion.
3. Tester les cas d'assujettissement indépendants de la taille avant d'appliquer les seuils.
4. Calculer les seuils de taille en appliquant les règles de consolidation des entreprises liées et partenaires.
5. Qualifier chaque entité assujettie en entité essentielle ou importante selon la matrice annexe × taille.
6. Formaliser une note d'assujettissement datée et signée, conservée comme preuve de la diligence conduite, y compris pour les entités conclues hors périmètre.

Ce dernier point est souvent négligé et pourtant déterminant. Une conclusion de non-assujettissement non documentée est indéfendable en cas de contrôle ou de contentieux post-incident. La note d'assujettissement est le premier livrable d'un projet NIS 2 sérieux ; c'est aussi celui que nous produisons systématiquement en ouverture de nos missions d'accompagnement à la mise en conformité NIS 2.

Sous-traitants et fournisseurs : l'effet de ruissellement

Même hors périmètre direct, une entreprise peut se retrouver soumise à des exigences NIS 2 par contrat. La directive impose en effet aux entités assujetties de maîtriser la sécurité de leur chaîne d'approvisionnement, en tenant compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale de ses pratiques de cybersécurité. Cette obligation se traduit mécaniquement par des clauses contractuelles, des questionnaires d'évaluation, des exigences de notification d'incident et parfois des droits d'audit répercutés sur les fournisseurs.

Le phénomène est déjà observable dans plusieurs filières françaises. Un sous-traitant de rang 2 ou 3 de 25 salariés, hors périmètre au sens strict, se voit demander par son donneur d'ordre des engagements de sécurité alignés sur les mesures de l'article 21 : gestion des incidents, continuité d'activité, sécurité des ressources humaines, contrôle d'accès, chiffrement, authentification multifacteur. Pour ces entreprises, la question n'est pas « suis-je assujetti ? » mais « comment répondre à mes clients sans construire un dispositif surdimensionné ? ».

La réponse pragmatique passe généralement par l'adossement à un référentiel reconnu. Une démarche de certification ISO 27001 couvre une part substantielle des attentes de NIS 2 et fournit un élément de preuve immédiatement opposable à des donneurs d'ordre. Dans les filières industrielles structurées, un label sectoriel comme AirCyber joue le même rôle avec un coût d'entrée plus adapté aux PME.

Ce que l'assujettissement implique réellement

Déterminer que l'on est dans le périmètre n'est que le point de départ. Les obligations attachées à la qualification se répartissent en trois blocs.

Les mesures de gestion des risques répondent à une approche tous risques et couvrent notamment : les politiques d'analyse des risques et de sécurité des systèmes d'information ; la gestion des incidents ; la continuité des activités, incluant la gestion des sauvegardes et la reprise après sinistre ; la sécurité de la chaîne d'approvisionnement ; la sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités ; les politiques d'évaluation de l'efficacité des mesures ; les pratiques d'hygiène cyber et la formation ; les politiques relatives à la cryptographie et au chiffrement ; la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs ; l'authentification multifacteur, les communications sécurisées et les communications d'urgence sécurisées.

Les obligations de notification suivent un calendrier en trois temps pour les incidents importants : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification d'incident dans les 72 heures comportant une évaluation initiale de la gravité et des indicateurs de compromission, puis un rapport final au plus tard un mois après la notification. Ce rythme suppose une organisation de crise préparée, testée et disponible en dehors des heures ouvrées.

Les obligations de gouvernance visent directement les organes de direction, qui doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, suivre des formations dédiées et peuvent être tenus responsables des manquements. C'est un déplacement volontaire du centre de gravité du sujet : NIS 2 n'est pas une réglementation technique, c'est une réglementation de gouvernance.

Transposition française : quel impact sur votre calendrier ?

Le périmètre matériel décrit dans cet article — les dix-huit secteurs, la matrice annexe × taille, les exceptions de seuil — découle directement de la directive européenne et ne varie pas d'un État membre à l'autre. C'est le socle stable sur lequel construire votre analyse.

Les modalités nationales, en revanche, relèvent de la loi de transposition et de ses textes d'application : périmètre exact retenu pour les administrations et les collectivités, autorité compétente et articulation avec les dispositifs OIV existants, calendrier d'enregistrement, échéances de mise en conformité, modalités de contrôle et barème de sanctions. Le véhicule législatif français porte sur la résilience des infrastructures critiques et le renforcement de la cybersécurité, et couvre conjointement les transpositions NIS 2, REC et l'adaptation à DORA. Nous vous invitons à vérifier l'état d'avancement exact du texte et de ses décrets d'application au moment où vous lisez ces lignes, sur cyber.gouv.fr et sur Légifrance, plutôt que de vous fier à une date figée dans un article.

Une chose est certaine, et elle vaut quelle que soit la date d'application retenue : les délais de mise en conformité sont courts au regard du chantier réel. Construire une analyse de risques défendable, structurer une gestion des incidents opérationnelle 24 heures sur 24, sécuriser une chaîne d'approvisionnement de plusieurs centaines de fournisseurs et former les organes de direction représente entre douze et vingt-quatre mois de travail pour une organisation partant d'un niveau de maturité moyen. Attendre la publication du dernier arrêté sectoriel pour démarrer, c'est garantir d'être en retard.

Questions fréquentes

Mon entreprise compte moins de 50 salariés : suis-je vraiment hors périmètre ?

Pas nécessairement. Le seuil de 50 salariés — ou de 10 millions d'euros de chiffre d'affaires et de bilan — est une condition d'entrée qui souffre de nombreuses exceptions. Les fournisseurs de services de communications électroniques accessibles au public, les prestataires de services de confiance, les fournisseurs de services DNS, les registres de TLD et les entités d'administration publique sont assujettis sans condition de taille. Il en va de même des entités qui sont le seul prestataire d'un service essentiel dans un État membre, de celles dont l'interruption aurait un impact important sur la sécurité ou la santé publiques, et de celles désignées comme critiques au titre de la directive REC. Vérifiez d'abord la nature de votre service, puis seulement votre taille.

Quelle différence concrète entre entité essentielle et entité importante ?

Les obligations de sécurité et de notification sont identiques. Ce qui diffère, c'est le régime de contrôle et le niveau de sanction. Les entités essentielles font l'objet d'une supervision proactive — inspections sur site, audits réguliers, contrôles aléatoires — indépendamment de tout incident, avec des amendes plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Les entités importantes sont contrôlées a posteriori, sur indices de manquement, avec un plafond de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. Les mesures d'interdiction temporaire d'exercer des fonctions dirigeantes visent spécifiquement les entités essentielles.

Comment savoir à quel secteur NIS 2 mon entreprise appartient ?

Ne partez pas de votre code NAF ou de votre objet social : ils ne sont pas les critères retenus. La directive raisonne par type d'entité et par service effectivement fourni. Listez vos activités opérationnelles et confrontez-les une à une aux libellés des annexes I et II, en descendant au niveau du sous-secteur. Une même entreprise peut relever de plusieurs entrées sectorielles ; dans ce cas, c'est la qualification la plus exigeante qui s'applique. Le test d'assujettissement proposé par l'ANSSI sur MonEspaceNIS2 constitue un excellent point de départ pour structurer cette analyse.

Une filiale française d'un groupe étranger est-elle concernée ?

Oui, dès lors qu'elle fournit ses services ou exerce ses activités dans l'Union européenne et remplit les critères sectoriels et de taille. La règle générale rattache l'entité à l'État membre où elle est établie. Certaines catégories — fournisseurs de services DNS, registres de TLD, fournisseurs de services d'informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés et de services gérés de sécurité, places de marché en ligne, moteurs de recherche et plateformes de réseaux sociaux — relèvent en revanche de la compétence de l'État membre de leur établissement principal dans l'Union, avec obligation de désigner un représentant lorsqu'elles n'y sont pas établies. Par ailleurs, le calcul des seuils intègre les données consolidées des entreprises liées, y compris étrangères.

Que se passe-t-il si je ne m'enregistre pas alors que je suis assujetti ?

L'enregistrement auprès de l'autorité nationale est une obligation à part entière, distincte des obligations de sécurité. Ne pas s'enregistrer ne met pas hors de portée du dispositif : l'assujettissement découle des critères objectifs de la directive, pas d'une inscription volontaire. Une entité non enregistrée reste soumise aux mesures de gestion des risques, aux obligations de notification et au régime de sanctions, et le défaut d'enregistrement constitue en lui-même un manquement susceptible d'être sanctionné. En cas d'incident majeur devenu public, l'absence de démarche documentée devient une circonstance très défavorable.

NIS 2 remplace-t-il ISO 27001 ou les autres référentiels de sécurité ?

Non, les logiques sont complémentaires. NIS 2 est une obligation légale qui fixe des objectifs de sécurité et de notification sans prescrire de méthode ; ISO 27001 est un référentiel de management de la sécurité de l'information qui fournit précisément la méthode, l'organisation documentaire et le mécanisme d'amélioration continue permettant de démontrer l'atteinte de ces objectifs. Un système de management certifié ISO 27001 couvre une large part des mesures attendues par l'article 21 et fournit des preuves directement mobilisables en cas de contrôle. Il ne dispense toutefois d'aucune obligation propre à NIS 2, en particulier les délais de notification et les obligations de gouvernance pesant sur les dirigeants.

Pour aller plus loin

• Directive NIS 2 : guide complet et obligations
• NIS 2 et opérateurs vitaux : spécificités OT/SCADA
• NIS2, DORA et RGPD : obligations croisées
• Sanctions NIS 2 : premières décisions ANSSI 2026
• ReCyF ANSSI : NIS 2 en pratique pour les entreprises