NIS2 : qui est concerné ?

NIS2, de quoi parle-t-on ?

NIS2 désigne la directive (UE) 2022/2555 du 14 décembre 2022, relative aux mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’Union européenne. Elle remplace la directive NIS 1 de 2016 et son mécanisme d’opérateurs de services essentiels (OSE), jugé trop étroit et appliqué de façon trop hétérogène d’un État à l’autre. Le changement d’échelle est le cœur du texte : là où NIS 1 couvrait quelques centaines d’opérateurs en France, l’ANSSI attend environ 15 000 entités dans le périmètre de NIS2.

La directive est entrée en vigueur le 16 janvier 2023 et devait être transposée par les États membres au plus tard le 17 octobre 2024. La France est en retard : la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui porte aussi la directive REC sur la résilience des entités critiques et l’adaptation du droit national au règlement DORA. À la date de mise à jour de cet article, en août 2026, cette loi n’est pas encore promulguée : le Sénat a adopté le texte en mars 2025, la commission spéciale de l’Assemblée nationale a voté sa version en septembre 2025, et le parcours parlementaire se poursuit. Le périmètre décrit ci-dessous est celui de la directive, que le texte français reprend pour l’essentiel, avec quelques choix nationaux signalés plus loin.

Entités essentielles et entités importantes : deux régimes, des obligations communes

NIS2 classe les organisations concernées en deux catégories. Les entités essentielles regroupent, en règle générale, les grandes organisations des secteurs les plus critiques. Les entités importantes rassemblent le reste du périmètre.

Contrairement à une idée répandue, les obligations de fond sont pratiquement les mêmes pour les deux catégories : mesures de gestion des risques de cybersécurité, sécurité de la chaîne d’approvisionnement, continuité d’activité et gestion de crise, notification des incidents importants, implication et formation des organes de direction. Ce qui change, c’est le régime de contrôle et de sanction. Une entité essentielle peut être contrôlée à tout moment, y compris en l’absence d’incident. Une entité importante n’est contrôlée qu’a posteriori, sur indice de manquement ou après un incident. Les plafonds de sanction diffèrent aussi : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes.

Les 18 secteurs couverts par NIS2

L’annexe I de la directive liste onze secteurs hautement critiques : énergie (électricité, gaz, hydrogène, pétrole, réseaux de chaleur et de froid), transports (aérien, ferroviaire, par eau, routier), secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC entre entreprises, administration publique et espace.

L’annexe II ajoute sept autres secteurs critiques : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, informatique et électronique, équipements électriques, machines, véhicules et autres matériels de transport), fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux) et recherche.

Appartenir à l’un de ces secteurs est la première condition. Elle ne suffit pas : c’est la combinaison du secteur et de la taille qui détermine votre statut.

Les seuils de taille : la règle des 50 salariés et 10 millions d’euros

La règle générale est simple : NIS2 s’applique aux organisations des secteurs listés qui atteignent au moins la taille d’une moyenne entreprise au sens européen, c’est-à-dire 50 salariés ou plus, ou plus de 10 millions d’euros de chiffre d’affaires annuel ou de total de bilan.

La répartition entre les deux catégories découle ensuite du croisement de la taille et du secteur. Schématiquement, une grande entreprise (au moins 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions d’euros de bilan) relevant d’un secteur de l’annexe I est une entité essentielle. Une moyenne entreprise de l’annexe I, ou une entreprise moyenne ou grande de l’annexe II, est une entité importante. En dessous des seuils, une organisation est en principe hors périmètre, sauf cas particuliers.

Concernées quelle que soit leur taille : les exceptions

Certaines activités entrent dans le périmètre indépendamment de tout seuil, en raison de leur rôle systémique : fournisseurs de réseaux ou de services de communications électroniques accessibles au public, prestataires de services de confiance, registres de noms de domaine de premier niveau et fournisseurs de services DNS. La directive permet aussi de désigner une entité quelle que soit sa taille lorsqu’elle est le seul fournisseur national d’un service essentiel, ou lorsqu’une défaillance aurait un impact important sur la sécurité, la sûreté ou la santé publiques. Les administrations centrales sont couvertes d’office.

La France a par ailleurs fait un choix plus large que la directive pour ses collectivités : le projet de loi prévoit d’inclure les régions, les départements, les communes de plus de 30 000 habitants et certains groupements. Ce périmètre sera confirmé par la loi promulguée et ses décrets d’application.

Comment vérifier votre situation en pratique

Trois questions suffisent pour un premier tri. Votre activité relève-t-elle de l’un des 18 secteurs des annexes ? Franchissez-vous le seuil des 50 salariés ou des 10 millions d’euros ? Êtes-vous dans l’un des cas particuliers indépendants de la taille ?

Pour une réponse de référence, l’ANSSI a mis en ligne MonEspaceNIS2, qui permet de tester en quelques minutes si votre organisation est susceptible d’être régulée, et qui servira à l’enregistrement des entités concernées. Le site de l’agence consacre également une page complète à la directive NIS2.

Un dernier point, souvent négligé : ne pas être dans le périmètre ne signifie pas être à l’abri du sujet. NIS2 impose aux entités régulées de maîtriser la sécurité de leur chaîne d’approvisionnement. Si vos clients sont des entités essentielles ou importantes, leurs exigences de cybersécurité vont redescendre vers vous par la voie contractuelle : questionnaires, clauses de sécurité, audits. Beaucoup de PME rencontreront NIS2 par ce chemin plutôt que par la loi.

Vous êtes concerné : par où commencer ?

Le retard de la transposition française est une fenêtre de préparation, pas une dispense. Le périmètre et les grandes obligations sont connus depuis fin 2022, et une mise en conformité sérieuse demande des mois. Trois chantiers peuvent démarrer sans attendre les décrets : impliquer la direction, car NIS2 fait de la cybersécurité une responsabilité des organes de direction et pas seulement de la DSI, mesurer l’écart entre vos pratiques et les mesures de gestion des risques attendues, et structurer le volet continuité et gestion de crise, qui est au cœur du texte. Nous avons détaillé ce dernier point dans notre article sur ce que NIS 2 et DORA changent pour votre continuité d’activité : plan de continuité, plan de réponse à incident cyber et cellule de crise entraînée forment le socle attendu.

Nous sommes à votre écoute pour préciser votre besoin.

Nos experts et consultants indépendants vous aident à évaluer votre exposition à NIS2 et à bâtir le volet continuité et gestion de crise de votre mise en conformité.