NIS2 vise les entreprises du secteur alimentaire qui exercent des activités de distribution en gros et de production et de transformation industrielles, si elles sont au moins de taille moyenne. Cela signifie 50 salariés ou plus, ou un chiffre d’affaires et un total du bilan dépassant tous deux 10 millions d’euros. Les grossistes, les transformateurs, les laiteries et les fabricants de boissons de cette taille sont normalement des entités importantes. Le commerce de détail, les restaurants et les exploitations agricoles ne sont pas cités.
Ce guide présente le texte qui fixe le champ d’application, le critère de taille, les cas limites par type d’entreprise, le statut d’entité essentielle ou importante, les obligations applicables, les systèmes en jeu et une liste de contrôle.
| Entreprise du secteur alimentaire | Concernée par NIS2 ? | Pourquoi |
|---|---|---|
| Grossiste ou distributeur alimentaire | Oui, si au moins de taille moyenne | Les activités « de distribution en gros » sont citées |
| Fabricant ou transformateur alimentaire | Oui, si au moins de taille moyenne | Les activités « de production et de transformation industrielles » sont citées |
| Transformateur laitier | Oui, si au moins de taille moyenne | Transformer le lait en produits laitiers est une transformation |
| Fabricant de boissons | Oui, si au moins de taille moyenne | En droit alimentaire de l’UE, les denrées alimentaires comprennent les boissons |
| Compléments alimentaires, produits nutritionnels | Même critère que les autres denrées | Denrées alimentaires, sauf s’il s’agit de médicaments |
| Supermarchés et magasins | Non pour le commerce de détail | Le commerce de détail n’est pas cité ; les centres de distribution sont une zone grise |
| Restaurants, groupes de restauration, traiteurs | Non pour la restauration | Le droit alimentaire les classe dans le commerce de détail |
| Exploitations agricoles, y compris laitières | Non citées | Le caractère industriel n’est pas défini |
| Logistique alimentaire, entrepôts frigorifiques | Non cités | Contrairement à la directive CER, NIS2 ne mentionne pas la logistique |
| Fabricants d’aliments pour animaux | Pas en tant que denrées alimentaires | Les aliments pour animaux sont exclus des denrées alimentaires |
Quelles entreprises agroalimentaires sont concernées par NIS2 ?
L’annexe II de NIS2 énumère les « autres secteurs critiques ». Son point 4, « Production, transformation et distribution des denrées alimentaires », ne comporte qu’un seul type d’entité :
« Entreprises du secteur alimentaire au sens de l’article 3, point 2), du règlement (CE) n° 178/2002 du Parlement européen et du Conseil qui exercent des activités de distribution en gros ainsi que de production et de transformation industrielles »
Le règlement (CE) n° 178/2002, la législation alimentaire générale, définit l’entreprise du secteur alimentaire comme toute entreprise, publique ou privée, à but lucratif ou non, qui exerce l’une des activités liées à une étape de la production, de la transformation et de la distribution de denrées alimentaires. C’est toute la chaîne. NIS2 la restreint à deux activités : la distribution en gros d’une part, la production et la transformation industrielles d’autre part.
Ce que la directive ne définit pas
NIS2 ne définit ni la distribution en gros ni ce qui est industriel, et contrairement à la plupart des entrées relatives à la fabrication, l’entrée consacrée à l’alimentation ne renvoie à aucun code NACE. Le seul filtre chiffré est le critère de taille. Près de la limite, ce sont le droit national et l’autorité compétente nationale qui tranchent. L’article 5 permet en outre aux États membres d’adopter des dispositions « assurant un niveau plus élevé de cybersécurité » : le droit national peut donc aller plus loin.
NIS2 s’applique-t-elle aux petites entreprises agroalimentaires ?
Normalement non. L’article 2(1) vise les entités des annexes I et II qui sont des moyennes entreprises au sens de la recommandation 2003/361/CE de la Commission, ou qui dépassent les plafonds applicables aux moyennes entreprises. Une petite entreprise compte moins de 50 salariés, et son chiffre d’affaires annuel et/ou le total de son bilan annuel n’excède pas 10 millions d’euros.
Trois points tranchent la plupart des cas du secteur alimentaire :
- Les deux chiffres financiers comptent. Avec moins de 50 salariés, une entreprise reste petite si l’un des deux chiffres est inférieur ou égal à 10 millions d’euros. Un grossiste de 30 personnes qui réalise un chiffre d’affaires de 40 millions d’euros avec un total du bilan de 8 millions d’euros est une petite entreprise. Le commerce de gros alimentaire combine souvent un chiffre d’affaires élevé et un effectif réduit : vérifiez les deux chiffres.
- Les données du groupe comptent. Les données des entreprises liées sont ajoutées en totalité, celles des entreprises partenaires au prorata de la participation. Une filiale contrôlée par un groupe plus grand est mesurée avec le groupe.
- Le personnel saisonnier compte. L’effectif s’exprime en unités de travail annuel (UTA), les salariés à temps partiel et saisonniers étant comptés comme des fractions d’UTA. Un changement de catégorie suppose que les plafonds soient franchis sur deux exercices consécutifs.
Le critère de taille peut aussi être écarté. L’article 2(2), points b) à e), permet d’inclure une entité plus petite, par exemple le seul prestataire d’un service essentiel dans un État membre. Le guide du champ d’application de NIS2 présente ces cas, et le vérificateur de périmètre NIS2 applique le critère.
Et le commerce de détail, les restaurants et la restauration collective ?
Le commerce de détail n’est pas cité à l’annexe II. Dans la législation alimentaire générale, la définition du commerce de détail inclut expressément les activités de traiteur, les cantines d’entreprise, la restauration collective, les restaurants et autres services de restauration similaires, les commerces, les centres de distribution des supermarchés et les points de vente en gros.
- Les restaurants, les groupes de restauration et les traiteurs sont des entreprises du secteur alimentaire, mais NIS2 ne cite pas la restauration, quelle que soit la taille du groupe. Une cuisine centrale qui approvisionne de nombreux sites pose la question de la production industrielle, qui relève des autorités nationales.
- Les chaînes de supermarchés ne sont pas concernées pour leurs magasins. Leurs centres de distribution constituent la zone grise : le droit alimentaire les range dans le commerce de détail, alors qu’au sens courant ils font de la distribution en gros. La directive ne tranche pas.
- Groupes mixtes. Un groupe de commerce de détail ou de restauration qui exploite aussi une activité de commerce de gros ou une usine de transformation peut être concerné au titre de cette activité.
Et les exploitations agricoles, l’agriculture et les laiteries ?
Les exploitations agricoles sont des entreprises du secteur alimentaire. Dans la législation alimentaire générale, la chaîne commence dès la production primaire d’une denrée alimentaire, celle-ci comprise. La production primaire inclut la récolte, la traite et la production d’animaux d’élevage avant l’abattage.
NIS2 ne cite pas la production primaire et ne dit pas si une grande exploitation de grandes cultures ou d’élevage exerce une activité de production industrielle. Le droit national et l’autorité tranchent. Ne présumez rien, ni dans un sens ni dans l’autre.
- Laiteries. Un transformateur laitier au moins de taille moyenne est une entité typiquement concernée. Une exploitation laitière relève de la production primaire, avec la question ouverte ci-dessus. Un petit fromager artisanal est hors champ du fait de sa taille ; une grande usine laitière est concernée du fait de son activité et de sa taille.
- Négoce agricole. Le commerce en vrac de récoltes destinées à la consommation humaine relève, au sens courant, du commerce de gros alimentaire. Le négoce d’aliments pour animaux, non : la législation alimentaire générale exclut les aliments pour animaux des denrées alimentaires.
Et les boissons, les produits nutritionnels et la logistique alimentaire ?
- Boissons. La législation alimentaire générale précise que les denrées alimentaires comprennent les boissons. Les brasseries, les distilleries et les fabricants de boissons sans alcool sont soumis au même critère que les transformateurs alimentaires.
- Les compléments alimentaires et les produits nutritionnels sont des denrées alimentaires, sauf s’il s’agit de médicaments, que la législation alimentaire générale exclut. Les fabricants de produits pharmaceutiques relèvent plutôt du secteur de la santé de l’annexe I.
- Logistique alimentaire. L’entreposage et le transport sont des étapes de la distribution des denrées alimentaires : un entrepôt frigorifique ou un transporteur de denrées alimentaires est donc une entreprise du secteur alimentaire. L’entrée de NIS2 consacrée à l’alimentation ne mentionne pas la logistique, alors que l’entrée alimentaire de la directive CER cite les « activités de logistique et de distribution en gros ». La lecture que votre autorité fait du texte de NIS2 est une question nationale. Dans tous les cas, vos clients soumis à NIS2 vous répercuteront leurs exigences de sécurité de la chaîne d’approvisionnement au titre de l’article 21(2)(d).
Une entreprise agroalimentaire est-elle une entité essentielle ou importante ?
Importante, dans presque tous les cas. L’article 3(2) fait de toute entité de l’annexe II une entité importante, sauf si l’article 3(1) en fait une entité essentielle. Pour une entreprise du secteur alimentaire, cela se produit principalement de deux façons :
- L’État membre l’identifie comme entité essentielle au titre de l’article 2(2), points b) à e).
- Elle est identifiée comme entité critique au sens de la directive CER, la directive (UE) 2022/2557, qui couvre aussi l’alimentation. Les États membres devaient recenser leurs entités critiques au plus tard le 17 juillet 2026. Une entité critique est essentielle au sens de NIS2, quelle que soit sa taille.
Un État membre peut aussi considérer comme essentielle une entité qu’il avait identifiée comme opérateur de services essentiels avant le 16 janvier 2023 au titre de NIS1 ou du droit national (article 3(1)(g)). L’alimentation n’était pas un secteur de NIS1 : ce cas ne joue que là où le droit national allait plus loin. La catégorie change la supervision et les amendes, pas les mesures :
| Importante (par défaut pour l’alimentation) | Essentielle | |
|---|---|---|
| Supervision | A posteriori, sur la base d’éléments de preuve ou d’indications de non-conformité (art. 33) | Comprend des audits de sécurité réguliers et ciblés (art. 32) |
| Amende maximale, au moins | 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu | 10 millions d’euros ou 2 %, le montant le plus élevé étant retenu |
| Mesures et notification | Articles 20, 21 et 23 | Les mêmes |
La comparaison complète figure dans entités essentielles et entités importantes au sens de NIS2.
Qu’exige NIS2 d’une entreprise agroalimentaire ?
La même chose que de toute entité concernée, par l’intermédiaire de votre droit national :
- Gouvernance, article 20. L’organe de direction approuve les mesures de gestion des risques en matière de cybersécurité, supervise leur mise en œuvre et peut être tenu responsable des violations. Ses membres doivent suivre une formation. Voir la responsabilité des organes de direction au titre de NIS2.
- Mesures, article 21. Des mesures appropriées et proportionnées, fondées sur une approche « tous risques ». Au moins dix mesures sont énumérées, de l’analyse des risques et de la gestion des incidents à la sécurité de la chaîne d’approvisionnement et à l’authentification à plusieurs facteurs (MFA), le cas échéant. Voir les 10 mesures de l’article 21.
- Notification, article 23. Les incidents importants sont notifiés au CSIRT ou à l’autorité compétente. Alerte précoce dans les 24 heures, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois après la notification. Voir le calendrier de notification des incidents NIS2.
- Enregistrement, article 3(4). Vos informations, dont le secteur et les plages d’adresses IP, sont transmises à l’autorité selon une procédure nationale.
Un incident est important s’il a causé ou peut causer une perturbation opérationnelle grave ou des pertes financières, ou un dommage considérable à d’autres personnes. Il n’existe pas d’acte d’exécution de l’UE propre au secteur alimentaire : le règlement d’exécution (UE) 2024/2690 ne vise qu’une liste de types de services numériques, comme les fournisseurs de services DNS, de services d’informatique en nuage et de services gérés.
Quels systèmes sont en jeu dans une entreprise agroalimentaire ?
Il s’agit ici de pratique, pas de droit. Dans une entreprise agroalimentaire, l’article 21 porte généralement sur quatre groupes de systèmes :
- Lignes de production et OT. Automates programmables, SCADA et gestion des recettes sur les lignes de remplissage, de cuisson, de pasteurisation et de conditionnement. Souvent anciens, souvent maintenus à distance par le fournisseur de l’équipement.
- Surveillance de la chaîne du froid. Capteurs et alarmes dans les entrepôts frigorifiques, les camions et les chambres froides. S’ils ne répondent plus, vous perdez la preuve que les denrées sont restées à des températures sûres, et des stocks risquent d’être détruits.
- ERP, commandes et gestion d’entrepôt. Prise de commande, EDI et listes de préparation. Les produits frais n’attendent pas qu’une sauvegarde soit restaurée.
- Registres de traçabilité. L’article 18 de la législation alimentaire générale impose aux entreprises du secteur alimentaire d’être en mesure d’identifier leurs fournisseurs et les entreprises qu’elles ont approvisionnées, et de communiquer ces informations aux autorités à leur demande. Si un rançongiciel chiffre ces registres, un rappel se fait à l’aveugle.
Un seul incident peut déclencher deux régimes. Si une denrée alimentaire que vous avez fournie peut être préjudiciable à la santé, l’article 19 de la législation alimentaire générale vous impose d’en informer immédiatement les autorités compétentes en matière alimentaire. Rédigez une seule procédure d’incident pour les deux, et intégrez la sécurité des aliments et l’informatique dans la même analyse des risques.
Ce que NIS2 laisse ouvert pour les entreprises agroalimentaires
L’article 21 est rédigé en termes de résultats et ne mentionne ni l’OT, ni les lignes de production, ni l’enregistrement des températures. Son approche « tous risques » couvre aussi l’« environnement physique » de vos systèmes : une coupure de courant dans un entrepôt frigorifique compte, pas seulement un attaquant.
Il ne dit pas comment sécuriser une ligne pilotée par des automates vieux de dix ans. En pratique, un équipement ancien que vous ne pouvez pas corriger est confiné, pas remplacé. Segmentez-le, contrôlez et journalisez l’accès à distance des fournisseurs, conservez des copies hors ligne des programmes d’automates et des recettes, et testez la reconstruction d’un automate.
Les preuves doivent ensuite exister lorsque l’autorité les demande : MFA sur chaque compte d’accès à distance des fournisseurs, segmentation telle que réalisée, dernier test de restauration. Rassemblées à la main une fois par an, elles sont périmées dès leur arrivée. Collectées en continu à partir des systèmes, avec une personne qui examine les exceptions, elles restent prêtes pour l’audit. C’est ainsi que fonctionne la plateforme CloudSoul : une plateforme automatisée, avec une expertise humaine dans la boucle. Le programme complet se trouve sur la page conformité NIS2.
Liste de contrôle NIS2 pour le secteur agroalimentaire
- Confrontez votre activité à l’annexe II, point 4 : distribution en gros, ou production et transformation industrielles.
- Calculez la taille avec les données du groupe : effectif en unités de travail annuel, chiffre d’affaires et total du bilan.
- Vérifiez le droit national pour les zones grises : centres de distribution, cuisines centrales, exploitations agricoles et logistique.
- Enregistrez-vous auprès de l’autorité compétente comme l’exige votre droit national.
- Faites approuver les mesures de l’article 21 par l’organe de direction et faites suivre à ses membres la formation requise.
- Cartographiez l’OT de production, la surveillance de la chaîne du froid, l’ERP et les systèmes de traçabilité, chacun avec un responsable.
- Rédigez une seule procédure d’incident couvrant les délais de NIS2 et la notification en matière de sécurité des aliments.
- Contrôlez et journalisez l’accès à distance des fournisseurs aux lignes de production.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 5, 20, 21, 23, 32, 33 et 34 et annexe II, point 4, EUR-Lex.
- Règlement (CE) n° 178/2002 (législation alimentaire générale), articles 2, 3, 18 et 19, EUR-Lex.
- Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, annexe, articles 2 à 6, EUR-Lex.
- Directive (UE) 2022/2557 (directive CER), article 6 et annexe, point 11, EUR-Lex.
- Directive (UE) 2016/1148 (NIS1), annexe II, legislation.gov.uk.
- Règlement d’exécution (UE) 2024/2690 de la Commission, EUR-Lex.
Questions fréquentes
NIS2 s'applique-t-elle au secteur agroalimentaire ?
Oui. L'annexe II, point 4, vise les entreprises du secteur alimentaire au sens du règlement (CE) n° 178/2002 qui exercent des activités de distribution en gros et de production et de transformation industrielles. Elles doivent aussi être au moins de taille moyenne, sauf si un État membre les inclut quelle que soit leur taille.
Les restaurants et les supermarchés sont-ils concernés par NIS2 ?
Pas pour leurs magasins ni pour leur activité de restauration. Le commerce de détail et la restauration ne sont pas cités à l'annexe II, et le droit alimentaire de l'UE classe les restaurants et les traiteurs dans le commerce de détail. Un groupe qui exerce aussi une activité de distribution en gros ou de production industrielle peut être concerné au titre de cette activité.
Les exploitations agricoles sont-elles concernées par NIS2 ?
Les exploitations agricoles sont des entreprises du secteur alimentaire au sens du droit alimentaire de l'UE, mais NIS2 ne cite pas la production primaire et ne définit pas ce qui est industriel. C'est au droit national et à l'autorité nationale de décider si une grande exploitation agricole relève de la production industrielle.
Une entreprise agroalimentaire est-elle une entité essentielle ou importante au sens de NIS2 ?
Importante, par défaut. L'alimentation est un secteur de l'annexe II : une entreprise du secteur alimentaire qui entre dans le champ est importante, sauf si son État membre l'identifie comme essentielle au titre de l'article 2(2), si elle est identifiée comme entité critique au sens de la directive CER, ou si le droit national la maintient comme ancien opérateur de services essentiels.
NIS2 s'applique-t-elle aux petites entreprises agroalimentaires ?
Normalement non. NIS2 s'applique aux moyennes entreprises et aux entreprises plus grandes : 50 salariés ou plus, ou un chiffre d'affaires annuel et un total du bilan dépassant tous deux 10 millions d'euros. Les entreprises liées et partenaires sont prises en compte, et un État membre peut inclure une entité plus petite dans les cas énumérés à l'article 2(2) ou en l'identifiant comme entité critique au sens de la directive CER.
