Entités essentielles et importantes NIS2 : comment votre entité est classée et ce qui change pour vous

Au sens de NIS2, une entité est essentielle principalement lorsqu’elle relève d’un secteur de l’annexe I et dépasse les plafonds de la moyenne entreprise : un effectif de 250 personnes ou plus, ou un chiffre d’affaires supérieur à 50 millions d’euros et un total du bilan supérieur à 43 millions d’euros. Toute entité des annexes I ou II relevant du champ d’application qui n’est pas essentielle est importante. Les deux ont les mêmes obligations ; ce qui diffère, c’est la supervision, l’exécution et le montant maximal des amendes.

Ce guide couvre le classement, les entités essentielles quelle que soit leur taille, ce qui est identique, la supervision, l’exécution, les amendes, les listes d’entités, la formation des dirigeants, le changement de catégorie et une liste de contrôle.

	Entité essentielle	Entité importante
Qui (article 3)	Annexe I au-delà des plafonds de la moyenne entreprise, plus les catégories de l’article 3, paragraphe 1	Toute autre entité des annexes I ou II relevant du champ d’application
Devoirs et formation des organes de direction (art. 20)	Oui	Identique
Mesures de gestion des risques (art. 21)	Dix mesures minimales	Identique
Notification des incidents (art. 23)	24 heures, 72 heures, un mois	Identique
Supervision	Sans déclencheur : inspections, contrôles aléatoires, audits réguliers, ciblés et ad hoc (art. 32)	Sur la base d’éléments de preuve, d’indications ou d’informations faisant état d’un manquement : audits ciblés, pas d’audits réguliers ni ad hoc (art. 33)
Responsable du contrôle, suspension d’autorisation, interdiction temporaire d’exercer des fonctions de direction	Possible (art. 32, par. 4, point g), et par. 5)	Non prévu
Responsabilité des représentants légaux	Art. 32, par. 6	Identique, via l’art. 33, par. 5
Amende maximale (art. 34)	Au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial	Au moins 7 millions d’euros ou 1,4 %

Comment NIS2 classe-t-elle les entités essentielles et importantes ?

Trois critères, dans l’ordre : secteur, taille, catégories particulières. Le détail du champ d’application figure dans le guide du champ d’application de NIS2.

Secteur. L’annexe I énumère 11 secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique et espace. L’annexe II énumère 7 autres secteurs critiques : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques et recherche.

Taille. La taille suit la recommandation 2003/361/CE de la Commission. Une moyenne entreprise occupe moins de 250 personnes et réalise un chiffre d’affaires n’excédant pas 50 millions d’euros et/ou affiche un total du bilan n’excédant pas 43 millions d’euros. Vous dépassez ces plafonds avec 250 personnes ou plus, ou lorsque le chiffre d’affaires et le total du bilan dépassent tous deux leur limite. L’effectif se compte en unités de travail par année (UTA), et les données des entreprises partenaires et liées sont agrégées. Le cas des entreprises plus petites est traité dans NIS2 pour les PME.

Pour les groupes, le considérant 16 permet aux États membres de tenir compte, lors de l’agrégation, de l’indépendance d’une entité vis-à-vis de son groupe pour ses systèmes et ses services. L’article 2, paragraphe 1, écarte la règle de la recommandation relative au contrôle public à 25 % : la seule détention publique ne suffit donc pas à faire d’une entreprise de services publics une grande entreprise.

CONTRÔLE DU CLASSEMENT NIS2 (directive (UE) 2022/2555, art. 2 et 3)

1. Secteur     Quels services correspondent à un secteur et à un
               sous-secteur des annexes I ou II ? Aucun -> hors champ,
               sauf CER, enregistrement de noms de domaine ou
               extension nationale (art. 2, par. 3, 4 et 5).
2. Taille      Effectif (UTA), chiffre d'affaires, total du bilan,
               entreprises partenaires et liées comprises.
3. Catégories  Prestataire de services de confiance qualifié, registre
               de TLD, fournisseur DNS, réseau ou service public de
               communications électroniques, gouvernement central,
               entité critique CER, identification par l'État membre ?
4. Résultat    Annexe I + au-delà des plafonds moyens ..... essentielle
               Annexe I + moyenne entreprise .............. importante *
               Annexe II + moyenne entreprise ou plus ..... importante *
               Petite ou microentreprise .................. hors champ *
               * sauf si l'étape 3 s'applique
5. Dossier     Date, chiffres, sources, auteur de la décision.

Quelles entités sont essentielles quelle que soit leur taille ?

L’article 3, paragraphe 1, ajoute ces catégories à la règle de taille de l’annexe I :

• les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
• les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public qui sont des moyennes entreprises (les grands fournisseurs sont déjà essentiels au titre de l’annexe I) ;
• les entités de l’administration publique relevant du gouvernement central ;
• les entités qu’un État membre identifie comme essentielles en vertu de l’article 2, paragraphe 2, points b) à e) : seuls prestataires d’un service essentiel, ou entités dont la perturbation pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique, engendrer un risque systémique, ou qui sont critiques au niveau national ou régional ;
• les entités critiques au sens de la directive (UE) 2022/2557 (directive CER) ;
• si l’État membre le prévoit, les opérateurs de services essentiels identifiés au titre de NIS1 avant le 16 janvier 2023.

Un État membre peut aussi identifier une telle entité comme importante (article 3, paragraphe 2). Aucun seuil de chiffre d’affaires ne rend essentielle une entité de l’annexe II, comme une place de marché en ligne ou un fabricant de machines.

Les exigences NIS2 diffèrent-elles pour les entités essentielles et importantes ?

Non. Les mêmes articles s’appliquent aux deux :

• Article 20 : l’organe de direction approuve les mesures de l’article 21, supervise leur mise en œuvre et peut être tenu responsable des violations de l’article 21.
• Article 21 : les mêmes dix mesures minimales de gestion des risques.
• Article 23 : alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident important, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois.
• Article 3, paragraphe 4 : les mêmes informations d’enregistrement.

La taille joue sur la profondeur des mesures, pas sur leur liste : l’article 21, paragraphe 1, les rend proportionnées à l’exposition aux risques, à la taille, ainsi qu’à la probabilité et à la gravité des incidents.

En quoi la supervision diffère-t-elle ?

Entités essentielles : article 32

Les autorités doivent pouvoir soumettre les entités essentielles au moins à des inspections et à une supervision à distance, y compris des contrôles aléatoires ; à des audits de sécurité réguliers, ciblés et ad hoc ; à des scans de sécurité ; à des demandes d’informations, y compris sur les politiques documentées ; à l’accès à des données ; et à des demandes de preuves de mise en œuvre, telles que les résultats d’audits de sécurité réalisés par un auditeur qualifié et les éléments de preuve sous-jacents correspondants.

Aucun déclencheur n’est nécessaire, mais la directive confère des pouvoirs, pas un calendrier : l’article 31, paragraphe 2, permet aux États membres d’autoriser une priorisation fondée sur les risques.

Entités importantes : article 33

Les autorités agissent lorsqu’elles reçoivent des éléments de preuve, des indications ou des informations selon lesquels une entité importante ne respecterait pas ses obligations, si nécessaire au moyen de mesures de supervision ex post. En pratique, le déclencheur est souvent un incident notifié ou une plainte. Les pouvoirs sont plus restreints : inspections, audits ciblés, scans de sécurité et les mêmes demandes d’informations et de preuves, mais pas de contrôles aléatoires, ni d’audits réguliers ou ad hoc.

Dans les deux régimes, l’entité auditée prend en charge le coût d’un audit ciblé réalisé par un organisme indépendant, sauf si l’autorité en décide autrement dans des cas dûment justifiés.

Quels pouvoirs d’exécution ne s’appliquent qu’aux entités essentielles ?

La plupart sont communs (article 32, paragraphe 4, et article 33, paragraphe 4) : avertissements, instructions contraignantes, injonctions de se conformer aux articles 21 et 23, d’informer les clients d’une cybermenace importante, de mettre en œuvre les recommandations d’audit ou de rendre publiques les violations, et amendes.

Deux n’existent que pour les entités essentielles :

1. Un responsable du contrôle (article 32, paragraphe 4, point g)), désigné pour une période déterminée afin de superviser le respect des articles 21 et 23.
2. L’article 32, paragraphe 5. Si ces mesures échouent et qu’un délai expire, l’autorité peut suspendre temporairement une certification ou une autorisation concernant les services, et demander à une juridiction ou à un organisme compétent d’interdire temporairement à une personne exerçant des responsabilités au niveau de directeur général ou de représentant légal d’exercer des fonctions de direction. Les deux mesures ne durent que jusqu’à ce que l’entité remédie à la situation, et aucune ne s’applique à l’administration publique.

La responsabilité personnelle est commune : en vertu de l’article 32, paragraphe 6, appliqué aux entités importantes par l’article 33, paragraphe 5, les personnes qui représentent l’entité, prennent des décisions en son nom ou la contrôlent peuvent être tenues responsables de ne pas en avoir assuré la conformité. Plus de détails dans la responsabilité de la direction au titre de NIS2.

Quelles sont les amendes maximales pour les entités essentielles et importantes ?

Pour les violations de l’article 21 ou 23, l’article 34 impose au droit national de fixer des amendes maximales d’au moins :

• entités essentielles : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ;
• entités importantes : 7 millions d’euros ou 1,4 %, le montant le plus élevé étant retenu.

Le droit national peut aller plus loin. Le chiffre d’affaires est celui de l’entreprise à laquelle l’entité appartient, ce qui peut désigner le groupe. Il n’existe pas de palier supérieur : 20 millions d’euros ou 4 % correspond au plafond du RGPD. Une amende RGPD pour le même comportement exclut une amende NIS2 (article 35). Les sanctions des autres violations, comme un enregistrement tardif, sont fixées au niveau national (article 36). Détails dans les amendes administratives NIS2.

Comment les États membres établissent-ils la liste des entités essentielles et importantes ?

En vertu de l’article 3, paragraphe 3, chaque État membre devait établir une liste des entités essentielles et importantes au plus tard le 17 avril 2025, et doit la réexaminer au moins tous les deux ans. Pour l’établir, l’article 3, paragraphe 4, impose aux entités de communiquer au moins :

1. leur nom ;
2. leur adresse et leurs coordonnées à jour, y compris les adresses électroniques, les plages d’adresses IP et les numéros de téléphone ;
3. le cas échéant, leur secteur et sous-secteur ;
4. le cas échéant, les États membres dans lesquels elles fournissent des services relevant du champ d’application.

Les modifications doivent être communiquées dans un délai de deux semaines. Les États membres peuvent mettre en place un mécanisme d’auto-enregistrement.

L’article 3 n’oblige pas l’autorité à vous indiquer votre catégorie : n’attendez donc pas de courrier, trouvez le canal d’enregistrement de votre autorité. Le vérificateur de périmètre NIS2 donne une première réponse sur le champ d’application. Le classement s’applique par le droit national, et le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de communication des mesures de transposition de NIS2.

Je suis une entité essentielle : quelle formation est obligatoire pour mes dirigeants ?

L’article 20, paragraphe 2, impose aux membres de l’organe de direction de suivre une formation, et la règle est identique pour les entités importantes. L’objectif est qu’ils acquièrent des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité.

NIS2 ne fixe ni programme, ni nombre d’heures, ni fréquence ; le droit national peut le faire. Les entités sont encouragées à proposer une formation similaire à leur personnel. En pratique, des sessions fondées sur votre propre registre des risques et votre plan de réponse aux incidents, avec une trace des participants, sont plus faciles à défendre qu’un cours générique. Plus de détails dans les exigences de formation NIS2.

Votre classement peut-il changer ?

Oui, de quatre façons.

1. Croissance. Une entité de l’annexe I qui dépasse les plafonds de la moyenne entreprise devient essentielle. La recommandation ne modifie le statut de taille que lorsqu’un plafond est franchi sur deux exercices consécutifs ; vérifiez comment votre autorité applique cette règle.
2. Nouveaux services. L’ajout d’une activité de l’annexe I, comme des services gérés pour des clients professionnels, peut faire passer une entreprise de l’annexe II à l’annexe I.
3. Identification nationale en vertu de l’article 2, paragraphe 2, avec des listes réexaminées au moins tous les deux ans.
4. La loi. La proposition COM(2026) 13 du 20 janvier 2026 ferait en principe des petites entreprises à moyenne capitalisation de l’annexe I (moins de 750 personnes, chiffre d’affaires jusqu’à 150 millions d’euros ou total du bilan jusqu’à 129 millions d’euros) des entités importantes. Il s’agit d’une proposition, non adoptée en septembre 2026.

Ce que la catégorie laisse ouvert

La catégorie détermine quand l’autorité peut demander, pas ce qu’elle demande : les articles 32 et 33 confèrent les mêmes pouvoirs en matière de preuves. Une entité importante est généralement sollicitée après un problème, soit la pire semaine pour rassembler deux ans d’historique.

La catégorie ne se transmet pas non plus le long de la chaîne d’approvisionnement. Un fournisseur d’entités essentielles est évalué par ses clients au titre de l’article 21, paragraphe 2, point d), et paragraphe 3, quelle que soit sa propre catégorie.

Une approche raisonnable consiste à constituer vos preuves comme si vous étiez une entité essentielle : couverture de l’authentification à plusieurs facteurs, délais d’application des correctifs, tests de restauration et approbations de la direction, collectés en continu depuis les systèmes qui les détiennent, avec une personne qui examine les exceptions. C’est ainsi que fonctionne la plateforme CloudSoul, et le programme complet est présenté sur la page conformité NIS2.

Liste de contrôle du classement NIS2

• Rattachez chaque service à un secteur et à un sous-secteur des annexes I ou II.
• Calculez la taille selon la recommandation 2003/361/CE, entreprises partenaires et liées comprises.
• Vérifiez les catégories indépendantes de la taille ainsi que toute identification au titre de la directive CER ou du droit national.
• Enregistrez-vous auprès de votre autorité compétente et signalez les modifications dans un délai de deux semaines.
• Consignez l’approbation des mesures de l’article 21 par l’organe de direction et la formation de ses membres.
• Testez la notification des incidents au regard des délais de 24 et 72 heures.
• Tenez les résultats d’audit et les preuves sous-jacentes prêts pour une demande d’informations.
• Refaites le classement après chaque clôture d’exercice et lorsque vous ajoutez des services.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 31, 32, 33, 34, 35 et 36, considérants 15 et 16, annexes I et II, EUR-Lex. Texte des articles : article 3, article 32, article 33, article 34.
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, annexe, articles 2 à 6, EUR-Lex.
• Recommandation (UE) 2025/1099 de la Commission concernant la définition des petites entreprises à moyenne capitalisation, EUR-Lex.
• Proposition COM(2026) 13 modifiant la directive (UE) 2022/2555, 20 janvier 2026, Commission européenne.
• La Commission saisit la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026, Commission européenne.

Questions fréquentes