La directive NIS2 ne s'applique pas à toutes les organisations : elle vise 18 secteurs d'activité, répartis en 11 secteurs hautement critiques (annexe I) et 7 autres secteurs critiques (annexe II). Cet annuaire détaille, pour chaque secteur, les sous-secteurs visés, le type d'entités concernées et la catégorie (essentielle ou importante) qui en découle selon votre taille.
En bref
Un secteur de l'annexe I rend votre organisation entité essentielle si vous dépassez les seuils de la grande entreprise (250 salariés, ou 50 M€ de chiffre d'affaires et 43 M€ de bilan), et entité importante si vous êtes une moyenne entreprise. Un secteur de l'annexe II rend votre organisation entité importante dès le seuil de la moyenne entreprise (50 salariés, ou 10 M€ de chiffre d'affaires et de bilan). En dessous, vous êtes en principe hors périmètre — sauf activités visées quelle que soit la taille.
18 secteurs
11 secteurs dont la défaillance aurait un impact majeur sur l'économie ou la société. Supervision proactive : audits et contrôles réguliers, même sans incident.
Production, transport, distribution et stockage de l'énergie, y compris les nouveaux vecteurs comme l'hydrogène.
Sous-secteurs visés
Entités typiquement concernées
Gestionnaires de réseaux de transport et de distribution, producteurs, fournisseurs, opérateurs de marché désignés, exploitants de points de recharge, raffineries, opérateurs de stockage et de pipelines.
Opérateurs et gestionnaires d'infrastructures des quatre modes de transport.
Sous-secteurs visés
Entités typiquement concernées
Transporteurs aériens, exploitants d'aéroports et gestionnaires du contrôle de la circulation aérienne, gestionnaires d'infrastructure et entreprises ferroviaires, compagnies de transport maritime et fluvial, autorités portuaires, autorités routières et opérateurs de systèmes de transport intelligents.
Établissements de crédit, dont les exigences de gestion des risques TIC relèvent en priorité de DORA.
Sous-secteurs visés
Entités typiquement concernées
Banques et établissements de crédit agréés. Attention : pour les exigences de gestion des risques TIC et de notification d'incident, DORA s'applique en tant que lex specialis.
Opérateurs des plateformes et systèmes qui font fonctionner les marchés.
Sous-secteurs visés
Entités typiquement concernées
Opérateurs de marchés réglementés, systèmes multilatéraux de négociation, chambres de compensation. Là encore, DORA prime pour le volet TIC.
Du soin à la production de médicaments et de dispositifs médicaux critiques.
Sous-secteurs visés
Entités typiquement concernées
Hôpitaux et cliniques, centres de soins, laboratoires de biologie médicale et laboratoires de référence, industrie pharmaceutique, fabricants de dispositifs médicaux jugés critiques en situation d'urgence sanitaire, distributeurs en gros de médicaments.
Fourniture et distribution de l'eau destinée à la consommation humaine.
Sous-secteurs visés
Entités typiquement concernées
Régies et délégataires de production et de distribution d'eau potable, hors parties de la distribution non essentielles à l'activité principale.
Collecte, évacuation et traitement des eaux urbaines, domestiques et industrielles.
Sous-secteurs visés
Entités typiquement concernées
Exploitants de réseaux d'assainissement et de stations d'épuration, pour qui cette activité constitue une part essentielle de l'activité.
Les briques techniques qui font fonctionner Internet et le cloud — le secteur où la taille compte le moins.
Sous-secteurs visés
Entités typiquement concernées
Opérateurs de points d'échange, résolveurs et registres DNS, hébergeurs cloud et exploitants de datacenters, opérateurs CDN, prestataires de services de confiance (signature, horodatage), opérateurs télécoms et fournisseurs d'accès. Plusieurs de ces activités sont concernées quelle que soit la taille.
Les prestataires qui exploitent ou sécurisent les systèmes d'information de leurs clients.
Sous-secteurs visés
Entités typiquement concernées
ESN et infogéreurs qui administrent des systèmes d'information pour le compte de tiers, SOC externalisés, prestataires de supervision et de réponse à incident, opérateurs d'identité gérée.
Entités publiques, avec un traitement spécifique selon le niveau d'administration.
Sous-secteurs visés
Entités typiquement concernées
Ministères, agences et opérateurs de l'État, entités régionales désignées par la loi de transposition. L'administration publique centrale est concernée quelle que soit sa taille.
Exploitation des infrastructures au sol qui soutiennent les services spatiaux.
Sous-secteurs visés
Entités typiquement concernées
Opérateurs de stations sol, centres de contrôle de satellites et fournisseurs de services de positionnement, navigation et datation, détenus ou exploités par des acteurs privés ou publics.
7 secteurs soumis à une supervision réactive : contrôles a posteriori, sur indices de manquement.
Acheminement du courrier et des colis, y compris les opérateurs de messagerie express.
Sous-secteurs visés
Entités typiquement concernées
Opérateurs postaux, messagers et transporteurs de colis, plateformes de tri et opérateurs du dernier kilomètre.
Collecte, traitement et valorisation des déchets, lorsque c'est l'activité principale.
Sous-secteurs visés
Entités typiquement concernées
Collecteurs, exploitants de centres de tri, d'incinération, de méthanisation et de stockage, pour lesquels la gestion des déchets constitue l'activité principale.
Fabrication, production et distribution de substances et de mélanges chimiques.
Sous-secteurs visés
Entités typiquement concernées
Industriels de la chimie de base et de spécialité, distributeurs et négociants de substances et de mélanges, y compris les sites soumis à la réglementation Seveso.
Production, transformation et distribution en gros des denrées alimentaires.
Sous-secteurs visés
Entités typiquement concernées
Entreprises agroalimentaires, coopératives, plateformes logistiques et grossistes assurant une distribution en gros et une production industrielle.
Industries manufacturières désignées comme critiques par la directive.
Sous-secteurs visés
Entités typiquement concernées
Fabricants de dispositifs médicaux, électroniciens, équipementiers électriques, constructeurs de machines, constructeurs et équipementiers automobiles, constructeurs ferroviaires, navals et aéronautiques.
Les grandes plateformes de l'économie numérique, hors infrastructure.
Sous-secteurs visés
Entités typiquement concernées
Opérateurs de marketplaces, moteurs de recherche grand public, réseaux sociaux et plateformes de partage de contenu. Le rattachement se fait à l'établissement principal dans l'Union.
Organismes de recherche, hors établissements d'enseignement selon les modalités nationales.
Sous-secteurs visés
Entités typiquement concernées
Instituts et centres de recherche dont l'activité principale est la recherche appliquée ou le développement expérimental en vue d'une exploitation commerciale des résultats.
18 secteurs au total : 11 secteurs hautement critiques à l'annexe I et 7 autres secteurs critiques à l'annexe II de la directive (UE) 2022/2555.
Seulement si vous atteignez le seuil de la moyenne entreprise (50 salariés, ou 10 millions d'euros de chiffre d'affaires et de bilan). Une grande entreprise de l'annexe II reste entité importante : l'annexe II ne produit pas d'entité essentielle, sauf cas particuliers prévus à l'article 3.
Oui lorsqu'ils relèvent de l'infrastructure numérique ou de la gestion des services TIC interentreprises (services gérés, services de sécurité gérés) à l'annexe I. En dehors de ces cas, ils peuvent être soumis contractuellement par leurs clients régulés au titre de la sécurité de la chaîne d'approvisionnement.
L'administration publique figure à l'annexe I. Les entités de l'administration publique centrale sont essentielles quelle que soit leur taille ; le traitement des collectivités territoriales est précisé par la loi de transposition française.
Auprès de l'ANSSI, via la plateforme MonEspaceNIS2, en déclarant votre secteur, votre sous-secteur, votre taille et les coordonnées de votre point de contact.
Faites le test en 5 questions, puis mesurez votre écart sur les 10 mesures de l'article 21.
This page is also available in English.
View in English