Champ d'application matériel et territorial (NIS2)

Définition

Le champ d'application matériel et territorial de la directive NIS2 détermine quelles entités sont concernées par ses obligations, selon deux dimensions complémentaires. Le champ matériel repose sur la combinaison du secteur d'activité, listé dans les annexes de la directive selon qu'il est hautement critique ou simplement critique, et de la taille de l'entité, appréciée en effectifs et en chiffre d'affaires. Le champ territorial retient en principe le lieu d'établissement de l'entité au sein de l'Union européenne, mais prévoit des règles particulières pour certaines catégories de fournisseurs de services numériques, comme les opérateurs de DNS ou les plateformes en ligne, qui relèvent de la juridiction de l'État membre où se trouve leur établissement principal, déterminé selon des critères spécifiques lorsque l'entité n'est pas établie dans l'Union. Une entité peut ainsi se retrouver soumise aux obligations de plusieurs États membres si elle y possède des établissements distincts, chacun étant alors supervisé par l'autorité nationale compétente de son territoire. Cette architecture, plus précise que celle de la directive NIS de 2016, vise à réduire les zones d'incertitude sur l'applicabilité du texte, mais nécessite néanmoins une analyse juridique rigoureuse pour les groupes structurés en filiales multiples ou opérant via des prestations transfrontalières.