NIS2 : êtes-vous une entité essentielle ou une entité importante ?

Pourquoi la distinction compte

Les deux catégories ont les mêmes obligations de fond (mesures de gestion des risques de l'article 21, notification des incidents de l'article 23, gouvernance de l'article 20). Elles diffèrent sur trois points :

Se tromper de catégorie n'est pas anodin : une entité essentielle qui se déclare importante s'expose à un manquement à l'obligation d'enregistrement, et inversement une entité importante qui se croit essentielle surinvestit. Les conséquences pour les dirigeants sont détaillées dans notre article sur la responsabilité du dirigeant sous NIS2.

Question 1 : votre activité relève-t-elle d'un secteur des annexes I ou II ?

Annexe I, secteurs hautement critiques (11) : énergie (électricité, chaleur et froid, pétrole, gaz, hydrogène) ; transports (aérien, ferroviaire, par voie d'eau, routier) ; secteur bancaire ; infrastructures des marchés financiers ; santé (établissements de soins, laboratoires de référence, fabricants de dispositifs médicaux critiques, industrie pharmaceutique) ; eau potable ; eaux usées ; infrastructure numérique (points d'échange internet, DNS, registres de noms de domaine, cloud, centres de données, CDN, services de confiance, réseaux et services de communications électroniques) ; gestion des services TIC interentreprises (services gérés et services de sécurité gérés) ; administration publique ; espace.

Annexe II, autres secteurs critiques (7) : services postaux et d'expédition ; gestion des déchets ; fabrication, production et distribution de produits chimiques ; production, transformation et distribution des denrées alimentaires ; fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules automobiles, autres matériels de transport) ; fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux) ; recherche.

Si aucune de vos activités n'entre dans ces listes, vous n'êtes pas directement soumis à NIS2 (mais lisez la question 5).

Question 2 : quelle est votre taille au sens de la recommandation 2003/361/CE ?

NIS2 renvoie à la définition européenne des PME. Les seuils s'apprécient au niveau de l'entreprise, en tenant compte des entreprises partenaires et liées (le groupe), ce qui rattrape de nombreuses filiales.

Règle générale : grande entreprise de l'annexe I = essentielle ; moyenne entreprise de l'annexe I ou II, et grande entreprise de l'annexe II = importante ; petite et micro-entreprise = hors périmètre, sauf cas de la question 3.

Question 3 : exercez-vous une activité concernée quelle que soit la taille ?

La directive (article 2, paragraphe 2, et article 3) retient certaines entités indépendamment de leur taille :

• prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau et fournisseurs de services DNS (essentielles) ;
• fournisseurs de réseaux ou de services de communications électroniques publics (essentielles si moyennes, importantes sinon) ;
• entités de l'administration publique centrale (essentielles) ;
• entités qui sont le seul prestataire d'un service essentiel dans un État membre, ou dont la perturbation aurait un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou un risque systémique ;
• entités identifiées comme critiques au titre de la directive REC (2022/2557).

Question 4 : êtes-vous établi en France ou y fournissez-vous vos services ?

Le principe est celui de l'État membre d'établissement. Pour les fournisseurs de services numériques (cloud, centres de données, CDN, services gérés, places de marché, moteurs de recherche, réseaux sociaux, DNS), c'est l'établissement principal dans l'Union qui compte ; une entité hors UE qui fournit ces services dans l'Union doit désigner un représentant. Un groupe étranger avec une filiale française de 60 salariés dans la chimie est donc concerné en France pour cette filiale.

Question 5 : êtes-vous fournisseur d'une entité essentielle ou importante ?

Même hors périmètre, vous pouvez être rattrapé par contrat. L'article 21 impose aux entités régulées de gérer « la sécurité de la chaîne d'approvisionnement », y compris les relations avec leurs fournisseurs directs. Concrètement, vos clients régulés vont vous demander des garanties de sécurité, des clauses de notification d'incident et des audits. Ce n'est pas NIS2 qui vous l'impose, c'est votre client, et refuser peut coûter le contrat. Voir aussi la notion de attaque de la chaîne d’approvisionnement dans notre glossaire.

Que faire une fois la catégorie déterminée ?

1. S'enregistrer auprès de l'ANSSI via MonEspaceNIS2 (préenregistrement ouvert depuis novembre 2025), en indiquant secteur, sous-secteur, taille et coordonnées du point de contact.
2. Informer l'organe de direction et faire acter la catégorie et les obligations qui en découlent (voir l'article sur la responsabilité du dirigeant).
3. Cartographier les systèmes d'information qui soutiennent les activités concernées ; le périmètre NIS2 n'est pas forcément tout le SI.
4. Lancer un diagnostic des 10 mesures de l'article 21 et un plan sur 12 à 36 mois, en cohérence avec le calendrier de montée en conformité de l'ANSSI. Notre fiche réglementation NIS2 en détaille le contenu.
5. Réaliser l'autodiagnostic NIS2 pour disposer d'une première mesure d'écart.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 26, 32 à 34 et annexes I et II, EUR-Lex.
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises.
• ANSSI, MesServicesCyber, « Directive NIS 2 » et plateforme MonEspaceNIS2.