Vous êtes concerné par NIS2 si votre organisation exerce une activité listée dans l'une des deux annexes de la directive et atteint au moins la taille d'une moyenne entreprise, ou si elle relève d'un des cas visés quelle que soit sa taille 1. Vous êtes alors entité essentielle ou entité importante : la première catégorie regroupe surtout les grandes entreprises des secteurs hautement critiques, la seconde toutes les autres entités couvertes 1.
La différence entre entité essentielle et entité importante ne porte pas sur le fond des obligations : les mesures de gestion des risques de l'article 21 et la notification des incidents de l'article 23 s'appliquent aux deux 1. Elle porte sur l'intensité de la supervision et sur le plafond des sanctions. Bien qualifier chaque entité juridique de votre groupe reste néanmoins la première étape de tout programme NIS2, car c'est elle qui détermine l'enregistrement, le niveau d'exigence du référentiel national et l'exposition financière.
En France, le test « Suis-je concerné ? » de l'ANSSI donne une première réponse 3. Il ne dispense pas d'une analyse documentée, en particulier pour les groupes, les activités mixtes et les cas hors seuil décrits ci-dessous.
Étape 1 : votre activité relève-t-elle d'un secteur NIS2 ?
La directive raisonne par activité, pas par code NAF ni par statut. Elle distingue 18 secteurs répartis en deux annexes 13.
Annexe I : secteurs hautement critiques
Énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, par eau, routier), secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques (points d'échange internet, DNS, registres de domaines, cloud, centres de données, réseaux de diffusion de contenu, services de confiance, communications électroniques), gestion des services TIC entre entreprises (fournisseurs de services gérés et de services de sécurité gérés), administration publique et espace 1.
Annexe II : autres secteurs critiques
Services postaux et d'expédition, gestion des déchets, fabrication, production et distribution de produits chimiques, production, transformation et distribution de denrées alimentaires, fabrication (dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules et autres matériels de transport), fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux) et recherche 1.
Une même entreprise peut exercer plusieurs activités. Une ETI industrielle qui exploite aussi un centre de données pour des clients tiers, ou un distributeur qui assure de l'infogérance pour ses franchisés, peut relever de deux secteurs, dont l'un en annexe I. C'est l'activité la plus exigeante qui conditionne la qualification.
Étape 2 : appliquer les seuils de taille
NIS2 s'applique aux entités qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE 1. Cette recommandation définit la PME comme une entreprise de moins de 250 personnes dont le chiffre d'affaires annuel n'excède pas 50 millions d'euros ou dont le total du bilan n'excède pas 43 millions d'euros, et la petite entreprise comme une entreprise de moins de 50 personnes dont le chiffre d'affaires ou le bilan n'excède pas 10 millions d'euros 2. En pratique :
- Entité essentielle : entité de l'annexe I qui dépasse les plafonds de la moyenne entreprise, soit au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de bilan 13.
- Entité importante : entité de l'annexe I ou II qui n'est pas essentielle et compte au moins 50 salariés, ou dépasse 10 millions d'euros à la fois de chiffre d'affaires et de bilan 12.
- En dessous de ces seuils : hors champ, sauf cas particulier décrit à l'étape 3.
Le piège des groupes
Les seuils ne se calculent pas sur la seule entité juridique. La recommandation 2003/361/CE impose d'agréger les données des entreprises liées (contrôle majoritaire ou influence dominante) à 100 %, et celles des entreprises partenaires (participation d'au moins 25 %) au prorata de la participation 2. Une filiale de 40 salariés d'un groupe de 3 000 personnes ne sera donc généralement pas considérée comme une petite entreprise. La directive écarte toutefois la règle de la recommandation qui exclut des PME les entreprises contrôlées à 25 % ou plus par des organismes publics 1.
Les seuils NIS2 se calculent au niveau du groupe, pas de la seule filiale : c'est l'erreur de qualification la plus fréquente.
Étape 3 : les cas couverts quelle que soit la taille
Plusieurs catégories échappent à la logique de seuil 1 :
- Les fournisseurs de réseaux ou services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS ; les prestataires de services de confiance qualifiés, les registres et les fournisseurs DNS sont même entités essentielles sans condition de taille.
- L'entité unique fournisseur, dans un État membre, d'un service essentiel au maintien d'activités sociétales ou économiques critiques.
- L'entité dont la perturbation aurait un impact important sur la sécurité, la sûreté ou la santé publiques, ou engendrerait un risque systémique.
- L'entité d'importance critique au niveau national ou régional pour son secteur.
- Les entités désignées comme entités critiques au titre de la directive (UE) 2022/2557, dite CER, qui sont entités essentielles.
- Les administrations publiques de niveau central et, après évaluation des risques, de niveau régional.
Le projet de loi français traduit ces cas en une faculté de désignation par le Premier ministre, indépendamment de la taille, sur quatre critères : fournisseur unique, impact sur la sécurité publique, risque systémique et importance nationale (article 10) 4. Une PME qui opère un service de niche dont dépend un secteur entier doit donc anticiper une possible désignation.
Les cas particuliers : collectivités, secteur financier, sécurité nationale
Collectivités territoriales
La directive laisse aux États la faculté d'inclure les administrations locales 1. Selon la version de commission du projet de loi, régions, départements, communes de plus de 30 000 habitants, communautés urbaines, communautés d'agglomération, métropoles, SDIS et centres de gestion seraient entités essentielles, et les communautés de communes entités importantes ; la plupart des communes ne seraient concernées que par leur intercommunalité 5. Ce périmètre fait encore l'objet d'amendements 5.
Banques, assurances et autres entités financières
L'article 4 de NIS2 prévoit que lorsqu'un acte sectoriel de l'Union impose des exigences de gestion des risques ou de notification au moins équivalentes, les dispositions correspondantes de NIS2 ne s'appliquent pas 1. C'est le cas du règlement DORA pour les entités financières qu'il couvre. Une entité financière peut donc figurer dans le périmètre sectoriel de NIS2 tout en appliquant DORA pour ses obligations opérationnelles ; les activités non couvertes par l'acte sectoriel restent soumises à NIS2 1.
Défense, sécurité nationale et répression
La directive ne s'applique pas aux administrations publiques qui exercent principalement des activités de sécurité nationale, de sécurité publique, de défense ou de répression pénale, et les États peuvent exempter certaines entités de ces domaines 1.
Entité essentielle ou entité importante : ce que change la qualification
Une entité essentielle fait l'objet d'une supervision ex ante et ex post : l'autorité peut l'auditer et l'inspecter sans incident préalable. Une entité importante relève d'une supervision ex post, déclenchée par des éléments laissant supposer un manquement 1. Les plafonds de sanction diffèrent : au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour la première, au moins 7 millions d'euros ou 1,4 % pour la seconde 1. En France, le ReCyF distingue aussi les exigences applicables aux entités essentielles et aux entités importantes 3.
Le périmètre peut encore bouger au niveau européen : la Commission a proposé en janvier 2026 une catégorie de « petites entreprises à capitalisation moyenne » (moins de 750 salariés et moins de 150 millions d'euros de chiffre d'affaires), qui seraient généralement traitées comme entités importantes 6. Cette proposition n'est pas adoptée à la date de rédaction 6.
Checklist de qualification pour un groupe
- Lister toutes les entités juridiques du groupe, y compris établissements à l'étranger, et leurs activités réelles.
- Rapprocher chaque activité des annexes I et II, en retenant l'activité la plus exigeante.
- Calculer effectifs, chiffre d'affaires et bilan en consolidant entreprises liées et partenaires selon la recommandation 2003/361/CE 2.
- Vérifier les cas hors seuil : communications électroniques, services de confiance, DNS, entité critique, fournisseur unique.
- Identifier les activités relevant d'un acte sectoriel équivalent, comme DORA.
- Passer le test « Suis-je concerné ? » de l'ANSSI pour chaque entité et archiver le résultat 3.
- Formaliser une note de qualification validée par la direction juridique et la direction générale, à réviser à chaque opération de croissance externe.
Conclusion
Savoir si l'on est entité essentielle ou importante relève d'un raisonnement en trois temps : secteur, taille consolidée, cas particuliers. Le résultat conditionne la supervision et les sanctions, mais pas l'existence des obligations de fond, qui s'appliquent dans les deux cas. DATASWING aide les groupes à cartographier leurs entités et leurs systèmes pour objectiver cette qualification.
— Questions fréquentes
Ce qu'on nous demande souvent
Quelle est la différence entre entité essentielle et entité importante NIS2 ?+
Les deux catégories doivent appliquer les mêmes mesures de gestion des risques et notifier leurs incidents importants. Les entités essentielles sont supervisées ex ante et ex post, avec une amende maximale d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Les entités importantes sont supervisées ex post, avec un plafond d'au moins 7 millions d'euros ou 1,4 %.
Une PME de moins de 50 salariés est-elle concernée par NIS2 ?+
En principe non, sauf si elle appartient à un groupe dont les données consolidées dépassent les seuils, si elle fournit des services de communications électroniques, de confiance ou DNS, ou si elle est désignée par l'autorité, par exemple comme fournisseur unique d'un service essentiel. Elle peut aussi être indirectement concernée comme fournisseur d'une entité régulée.
Comment calculer les seuils NIS2 pour une filiale ?+
On applique la recommandation 2003/361/CE : les effectifs, le chiffre d'affaires et le bilan des entreprises liées sont ajoutés à 100 %, ceux des entreprises partenaires détenues à 25 % ou plus au prorata de la participation. Une petite filiale d'un grand groupe dépasse donc souvent les seuils d'une moyenne entreprise.
Les collectivités territoriales sont-elles soumises à NIS2 en France ?+
Oui, en partie. Selon la version adoptée en commission à l'Assemblée nationale, régions, départements, grandes communes, métropoles et communautés d'agglomération seraient entités essentielles, les communautés de communes entités importantes. Les collectivités seraient exclues des amendes. Ce périmètre peut encore évoluer lors de l'examen en séance.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union (directive NIS 2) ↗EUR-Lex, Journal officiel de l'Union européenne · 2022-12
-
[2]
Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises ↗EUR-Lex, Journal officiel de l'Union européenne · 2003-05
-
[3]
NIS 2 : suis-je concerné, pré-enregistrement, ReCyF et ressources ↗ANSSI, MesServicesCyber · 2026
- [4]
- [5]
-
[6]
European Commission Proposes Targeted Amendments to NIS2 to Simplify Compliance and Align with Proposed Cybersecurity Act 2 ↗Covington & Burling, Inside Privacy · 2026-01
