La directive NIS 2 (directive (UE) 2022/2555) élargit considérablement le périmètre de la cybersécurité réglementée en Europe : là où NIS 1 ne visait qu'une poignée de grands opérateurs, NIS 2 couvre 18 secteurs et des milliers d'organisations en France. La première question que se pose tout dirigeant, DSI ou DPO est donc simple : mon entreprise est-elle concernée ? La réponse dépend de deux critères cumulatifs, le secteur d'activité et la taille, plus quelques exceptions. Ce guide détaille la méthode pour le déterminer.
NIS 2 n'est pas une réglementation de protection des données personnelles : c'est un texte de cybersécurité. Pour une vue d'ensemble (obligations, sanctions, calendrier), consultez le guide pilier Directive NIS 2 : le guide complet.
Qu'est-ce que NIS 2 et pourquoi vérifier votre assujettissement
NIS 2 impose aux entités concernées des obligations concrètes de gestion du risque cyber : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, signalement des incidents significatifs à l'ANSSI sous 24 heures. Les sanctions atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités les plus exposées, avec une responsabilité personnelle des dirigeants.
Vérifier son assujettissement n'est donc pas un exercice théorique. Une entité concernée qui ne s'identifie pas auprès de l'ANSSI et ne met pas en place les mesures de l'article 21 s'expose à ces sanctions. À l'inverse, une organisation hors champ qui surinvestit sur la base d'une mauvaise lecture du texte gaspille des ressources. La qualification doit être faite avec rigueur.
Les deux critères d'assujettissement : secteur et taille
Pour relever de NIS 2, une organisation doit en principe cumuler deux conditions : appartenir à l'un des 18 secteurs visés (annexes I et II de la directive) et dépasser les seuils de la moyenne entreprise. Les deux critères se combinent. Une entreprise de 2 000 personnes hors secteur listé n'est pas concernée ; une entreprise de 30 personnes dans un secteur listé ne l'est généralement pas non plus, sauf exception.
Le critère de taille : le seuil moyenne entreprise
Le texte s'appuie sur la définition européenne de la moyenne entreprise. Sont en principe concernées les entités qui atteignent au moins l'un de ces seuils :
- 50 salariés ou plus ;
- 10 millions d'euros ou plus de chiffre d'affaires annuel ET de total de bilan.
En dessous, les micro et petites entreprises sont en principe exclues. La distinction entre entité essentielle et entité importante (voir plus bas) ajoute un second seuil, à 250 salariés ou 50 millions d'euros de chiffre d'affaires, qui détermine le régime de supervision applicable.
Le critère sectoriel : 18 secteurs, deux annexes
La directive répartit les secteurs en deux annexes. L'annexe I regroupe les secteurs dits hautement critiques, l'annexe II les autres secteurs critiques.
Secteurs hautement critiques (annexe I) :
- énergie (électricité, gaz, pétrole, hydrogène, chauffage urbain) ;
- transports (aérien, ferroviaire, maritime, routier) ;
- secteur bancaire et infrastructures des marchés financiers ;
- santé (hôpitaux, fabricants de médicaments, laboratoires) ;
- eau potable et eaux usées ;
- infrastructures numériques (DNS, points d'échange internet, fournisseurs de cloud, datacenters, réseaux de diffusion de contenu) ;
- gestion des services TIC (fournisseurs de services managés, MSP et MSSP) ;
- administrations publiques (administration centrale et régionale) ;
- espace.
Autres secteurs critiques (annexe II) :
- services postaux et de messagerie ;
- gestion des déchets ;
- fabrication (produits chimiques, denrées alimentaires, dispositifs médicaux, électronique, machines, véhicules) ;
- fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux) ;
- recherche.
Entités essentielles ou entités importantes ?
Une fois l'assujettissement établi, NIS 2 distingue deux catégories qui conditionnent le niveau de supervision et le plafond des sanctions. Les obligations de fond de l'article 21 sont identiques pour les deux ; c'est le contrôle et le risque financier qui diffèrent.
Les entités essentielles
Ce sont, schématiquement, les grandes entreprises (250 salariés ou plus, ou 50 millions d'euros de chiffre d'affaires) des secteurs de l'annexe I, ainsi que certains acteurs critiques quelle que soit leur taille. Elles font l'objet d'une supervision proactive de l'ANSSI : audits réguliers, inspections, demandes de preuves. Le plafond de sanction est de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé s'appliquant.
Les entités importantes
Ce sont les moyennes entreprises (50 à 249 salariés, ou 10 à 49 millions d'euros de chiffre d'affaires) des secteurs de l'annexe I, et les entités des secteurs de l'annexe II au-dessus des seuils. La supervision est a posteriori : l'ANSSI intervient à la suite d'un incident ou d'un signalement, pas de façon programmée. Le plafond de sanction est de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.
Les entités concernées quelle que soit leur taille
Certaines catégories sont assujetties indépendamment des seuils de taille, en raison de leur rôle systémique. C'est le cas notamment des fournisseurs de services DNS, des registres de noms de domaine de premier niveau, des fournisseurs de réseaux ou de services de communications électroniques, et de certaines administrations publiques. Une petite structure de quelques personnes qui opère l'un de ces services peut donc relever de NIS 2 alors même qu'elle est sous les seuils habituels.
Inversement, le statut d'entité critique au titre d'autres textes (comme la directive sur la résilience des entités critiques) peut entraîner une qualification d'entité essentielle quelle que soit la taille. Il faut donc lire NIS 2 en lien avec son écosystème réglementaire national.
Sous-traitants et chaîne d'approvisionnement : l'effet ricochet
Une organisation peut ne pas être directement assujettie à NIS 2 et subir malgré tout ses effets. L'article 21 impose en effet aux entités concernées de sécuriser leur chaîne d'approvisionnement et d'évaluer la sécurité de leurs fournisseurs et prestataires. Conséquence : un sous-traitant informatique, un éditeur de logiciel ou un prestataire d'infogérance qui travaille pour une entité essentielle se verra demander des garanties contractuelles, des preuves de mesures de sécurité et des engagements de notification d'incident.
Cet effet de cascade ressemble à celui que les DPO connaissent déjà avec le RGPD et l'encadrement des sous-traitants. Beaucoup d'organisations hors champ direct de NIS 2 devront donc élever leur niveau de sécurité pour rester des partenaires acceptables. La même logique de cartographie des prestataires que celle décrite dans notre guide sur la politique de sécurité informatique s'applique ici.
Cas pratique : suis-je concerné par NIS 2 ?
Prenons une ETI de 200 personnes, 60 millions d'euros de chiffre d'affaires, active dans le secteur de la santé (édition de logiciels pour établissements hospitaliers). Le raisonnement se déroule en trois temps.
- Secteur : la santé figure à l'annexe I (secteur hautement critique). Premier critère rempli.
- Taille : 200 salariés et 60 millions d'euros de chiffre d'affaires dépassent les seuils de la moyenne entreprise. Deuxième critère rempli.
- Catégorie : au-dessus de 250 salariés ou 50 millions d'euros, l'entité bascule en entité essentielle. Avec 60 millions d'euros de chiffre d'affaires, elle est donc une entité essentielle, soumise à la supervision proactive de l'ANSSI et au plafond de sanction de 10 millions d'euros.
Changez un paramètre et la conclusion change : la même société à 30 personnes et 4 millions d'euros de chiffre d'affaires resterait sous les seuils et ne serait pas directement assujettie, sauf à opérer un service critique listé sans condition de taille. D'où l'importance de tracer le raisonnement secteur puis taille puis catégorie.
Comment vérifier officiellement votre assujettissement
L'ANSSI, autorité nationale compétente pour NIS 2 en France, met à disposition un parcours d'auto-évaluation et d'identification des entités. C'est la source officielle à privilégier pour qualifier votre situation, au-delà de toute lecture générale comme celle de ce guide.
- Consultez le portail officiel de l'ANSSI dédié à NIS 2 : cyber.gouv.fr/nis2.
- Réalisez le test d'éligibilité et la démarche d'identification sur l'espace dédié : messervices.cyber.gouv.fr.
En cas de doute sur la qualification (activité à cheval sur plusieurs secteurs, structure de groupe, filiales), un avis juridique spécialisé reste recommandé : la qualification engage la responsabilité des dirigeants.
NIS 2 et RGPD : deux périmètres à ne pas confondre
NIS 2 protège les réseaux et systèmes d'information ; le RGPD protège les données personnelles. Une organisation peut relever des deux, de l'un seulement, ou d'aucun. Un incident de cybersécurité touchant des données personnelles peut d'ailleurs déclencher simultanément les deux régimes de notification : alerte ANSSI sous 24 heures côté NIS 2, notification CNIL sous 72 heures côté RGPD.
Important : la mise en conformité NIS 2 relève du RSSI et de la direction générale, pas du seul DPO, et ne fait pas partie du périmètre de conformité couvert par Leto, centré sur le RGPD et l'AI Act. En revanche, sur le volet humain, Leto propose un module de sensibilisation des équipes aux enjeux de cybersécurité et de réglementation : voir l'offre de sensibilisation. Acculturer les collaborateurs aux réflexes de sécurité reste un préalable utile, quel que soit votre statut au regard de NIS 2.
Questions fréquemment posées
Quelles entreprises sont concernées par NIS 2 ?
Sont concernées les organisations qui appartiennent à l'un des 18 secteurs visés par les annexes I et II de la directive (UE) 2022/2555 et qui dépassent les seuils de la moyenne entreprise : 50 salariés ou plus, ou 10 millions d'euros de chiffre d'affaires et de bilan. Certains acteurs systémiques (DNS, registres de domaines, communications électroniques) sont concernés quelle que soit leur taille.
Quelle est la différence entre entité essentielle et entité importante ?
Les entités essentielles sont les grandes entreprises des secteurs hautement critiques (annexe I) et certains acteurs critiques sans condition de taille. Elles subissent une supervision proactive de l'ANSSI et risquent jusqu'à 10 millions d'euros d'amende. Les entités importantes sont les moyennes entreprises et les acteurs de l'annexe II : supervision a posteriori et plafond de 7 millions d'euros. Les obligations de fond de l'article 21 sont identiques pour les deux catégories.
Les PME sont-elles concernées par NIS 2 ?
En principe, les micro et petites entreprises (moins de 50 salariés et moins de 10 millions d'euros de chiffre d'affaires) sont exclues de NIS 2. Il existe toutefois des exceptions : les fournisseurs de services DNS, les registres de noms de domaine et certains opérateurs de communications électroniques sont concernés quelle que soit leur taille. Une PME peut aussi être indirectement impactée si elle est sous-traitante d'une entité concernée.
Mon entreprise n'est pas dans un secteur listé mais travaille pour un client NIS 2 : suis-je concerné ?
Vous n'êtes pas directement assujetti, mais vous subissez l'effet de cascade de l'article 21 : vos clients concernés par NIS 2 doivent sécuriser leur chaîne d'approvisionnement et vont vous demander des garanties contractuelles, des preuves de mesures de sécurité et des engagements de notification d'incident. En pratique, beaucoup de prestataires hors champ direct doivent élever leur niveau de sécurité pour rester des partenaires acceptables.
Comment savoir officiellement si je suis assujetti à NIS 2 ?
L'ANSSI est l'autorité nationale compétente en France. Elle met à disposition un parcours d'auto-évaluation et d'identification des entités sur cyber.gouv.fr/nis2 et sur l'espace messervices.cyber.gouv.fr. C'est la source officielle à privilégier. En cas de situation complexe (plusieurs secteurs, structure de groupe), un avis juridique spécialisé est recommandé, la qualification engageant la responsabilité des dirigeants.
NIS 2 concerne-t-elle les administrations publiques et collectivités ?
Oui. Les administrations publiques de l'administration centrale et régionale figurent à l'annexe I des secteurs hautement critiques. Le périmètre exact des collectivités concernées est précisé par la transposition française (loi de résilience). Les administrations relèvent ainsi des mêmes logiques d'obligations de sécurité et de signalement des incidents que les entreprises privées assujetties.
