Compétence NIS2 : quel État membre vous supervise, et comment fonctionne la règle de l'établissement principal

La compétence au titre de NIS2 suit une règle par défaut, posée à l’article 26 : vous êtes supervisé par l’État membre où vous êtes établi. Trois exceptions s’appliquent. Les fournisseurs de télécommunications publiques relèvent de chaque État membre qu’ils desservent. Les fournisseurs de cloud, de centres de données, de DNS, de services gérés et de plateformes relèvent de l’État membre de leur établissement principal. L’administration publique relève de l’État membre qui l’a établie.

Ce guide présente la règle générale, les trois exceptions, le test de l’établissement principal, les fournisseurs de services gérés, les fournisseurs établis hors UE, l’assistance mutuelle, les groupes présents dans plusieurs pays, et une liste de contrôle.

Type d’entité	État membre compétent	NIS2
La plupart des entités essentielles et importantes	Chaque État membre où l’entité est établie	Art. 26, par. 1
Réseaux et services de communications électroniques publics	Chaque État membre où le fournisseur fournit ses services	Art. 26, par. 1, point a)
DNS, registres de TLD, enregistrement de noms de domaine, cloud, centres de données, CDN, MSP, MSSP, places de marché en ligne, moteurs de recherche, réseaux sociaux	Un seul : l’État membre de l’établissement principal dans l’UE	Art. 26, par. 1, point b), et par. 2
Entités de l’administration publique	L’État membre qui les a établies	Art. 26, par. 1, point c)
Ces fournisseurs numériques, s’ils ne sont pas établis dans l’UE	L’État membre où leur représentant dans l’UE est établi	Art. 26, par. 3

Quel État membre est compétent au titre de NIS2 ?

Selon l’article 26, paragraphe 1, les entités qui relèvent du champ d’application sont considérées comme relevant de la compétence de l’État membre dans lequel elles sont établies. Pour la plupart des entreprises, l’analyse s’arrête là.

Le considérant 114 précise que l’établissement suppose l’exercice effectif d’une activité au moyen d’une installation stable ; qu’il s’agisse d’une succursale ou d’une filiale, la forme juridique n’est pas déterminante. L’établissement ne dépend pas du lieu où se trouvent physiquement les réseaux et systèmes d’information : une salle serveurs à l’étranger ne suffit pas, à elle seule, à changer l’État membre compétent.

Une entité est une personne créée et reconnue comme telle en vertu du droit national de son lieu d’établissement (article 6, point 38), de sorte que chaque filiale est une entité à part entière. Lorsqu’une entité est établie ou fournit des services dans plusieurs États membres, le considérant 113 indique qu’elle devrait relever de la compétence distincte et concurrente de chacun de ces États membres.

Pour un fabricant, le site de production le plus important ne décide de rien : il n’existe pas de critère du « site de production principal ». La règle de l’établissement principal ne s’applique qu’aux fournisseurs numériques visés à l’article 26, paragraphe 1, point b).

Quelles sont les trois exceptions ?

Fournisseurs de communications électroniques publiques

Les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public relèvent de la compétence de chaque État membre dans lequel ils fournissent leurs services (article 26, paragraphe 1, point a)). Un opérateur mobile actif dans trois pays répond à trois autorités.

Infrastructures numériques et fournisseurs numériques

Les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les places de marché en ligne, les moteurs de recherche en ligne et les plateformes de services de réseaux sociaux relèvent de l’État membre de leur établissement principal dans l’Union (article 26, paragraphe 1, point b)). Le considérant 114 en donne la raison : leurs services sont transfrontières par nature, de sorte qu’un seul État membre devrait être compétent. Le détail sectoriel se trouve dans NIS2 pour le cloud, les centres de données et les infrastructures numériques.

Administration publique

Les entités de l’administration publique relèvent de la compétence de l’État membre qui les a établies (article 26, paragraphe 1, point c)), où qu’elles exercent leurs activités.

Comment l’établissement principal est-il déterminé ?

L’article 26, paragraphe 2, fixe trois critères, appliqués dans l’ordre :

1. L’État membre où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises.
2. Si cet État membre ne peut être déterminé, ou si ces décisions ne sont pas prises dans l’Union : l’État membre où les opérations de cybersécurité sont effectuées.
3. Si celui-ci ne peut pas non plus être déterminé : l’État membre où l’entité possède l’établissement qui compte le plus grand nombre de salariés dans l’Union.

Le premier critère porte sur la réalité, pas sur le siège social. En pratique, regardez qui approuve les mesures de l’article 21, où se trouve le responsable de la sécurité et où le budget est décidé. L’article 20 impose aux organes de direction d’approuver ces mesures : leurs procès-verbaux sont donc la première preuve. Le deuxième critère compte lorsque les décisions sont prises par une société mère située hors UE.

Où les fournisseurs de services gérés sont-ils supervisés au titre de NIS2 ?

Dans un seul État membre. Les MSP et les MSSP figurent à l’annexe I (gestion des services TIC, interentreprises) et suivent la règle de l’établissement principal de l’article 26, paragraphe 1, point b), où que se trouvent leurs clients. Savoir si vous entrez dans le champ, ce qui s’applique et quels sont les seuils d’incident pour les services gérés : tout cela est traité dans NIS2 pour les MSP et les MSSP.

Ces fournisseurs alimentent aussi le registre de l’ENISA à l’échelle de l’UE (article 27), avec notamment leur établissement principal et leurs autres établissements dans l’UE ou leur représentant, ainsi que les États membres où ils fournissent leurs services. La première échéance était le 17 janvier 2025 ; les modifications doivent être communiquées dans un délai de trois mois.

Que se passe-t-il si un fournisseur n’est pas établi dans l’UE ?

Un fournisseur d’un type énuméré à l’article 26, paragraphe 1, point b), qui n’est pas établi dans l’Union mais y propose des services doit désigner « un représentant dans l’Union » (article 26, paragraphe 3). Le représentant doit être établi dans l’un des États membres où les services sont proposés, et c’est cet État membre qui est compétent. Les autorités et les CSIRT peuvent s’adresser au représentant à la place de l’entité elle-même (article 6, point 34).

En l’absence de représentant, tout État membre dans lequel l’entité fournit des services peut engager une action en justice contre elle pour violation de la directive. La désignation d’un représentant ne protège pas l’entité : des actions en justice contre l’entité elle-même restent possibles (article 26, paragraphe 4).

Proposer des services est une question d’intention, pas de simple portée. Selon le considérant 116, un site internet simplement accessible dans l’Union ne suffit pas ; l’utilisation de la langue ou de la monnaie d’un État membre, avec la possibilité de commander dans cette langue, constitue un indice.

La proposition de la Commission du 20 janvier 2026, COM(2026) 13, étendrait l’obligation de désigner un représentant à toute entité essentielle ou importante non établie dans l’UE. Elle placerait aussi les transporteurs aériens sous la compétence de l’État membre dont l’autorité de délivrance des licences leur a accordé leur licence d’exploitation. Dans les deux cas, il s’agit de propositions, pas de droit en vigueur.

Un autre État membre peut-il encore vous superviser ?

Oui, par la voie de la coopération. Lorsqu’une entité fournit des services dans plusieurs États membres, ou que ses systèmes se trouvent dans l’un et qu’elle en dessert un autre, l’article 37 impose aux autorités de coopérer. Au minimum :

1. une autorité qui prend des mesures de supervision ou d’exécution informe et consulte les autres, par l’intermédiaire du point de contact unique ;
2. une autorité peut demander à une autre de prendre des mesures de supervision ou d’exécution ;
3. sur demande motivée, une autorité fournit une assistance mutuelle proportionnée à ses ressources, y compris des demandes d’informations, des inspections et des audits de sécurité ciblés.

Le refus n’est admis que pour des motifs limités, comme l’absence de compétence ou la sécurité nationale. Des actions de supervision conjointes sont possibles d’un commun accord (article 37, paragraphe 2).

Pour les fournisseurs numériques, l’article 26, paragraphe 5, va plus loin. Un État membre qui reçoit une demande d’assistance mutuelle peut, dans les limites de cette demande, prendre des mesures de supervision et d’exécution à l’égard d’un fournisseur qui propose des services ou dispose d’un réseau et système d’information sur son territoire. Le considérant 113 ajoute que les États membres ne devraient pas imposer plus d’une fois des mesures d’exécution ou des sanctions pour le même comportement.

Les notifications d’incident sont adressées au CSIRT ou à l’autorité compétente de l’État membre compétent (article 23, paragraphe 1). Lorsqu’un incident concerne deux États membres ou plus, cet organisme informe les autres et, le cas échéant, l’ENISA (article 23, paragraphe 6).

Comment fonctionne la compétence NIS2 pour les groupes présents dans plusieurs pays ?

NIS2 ne prévoit pas d’enregistrement au niveau du groupe. Le champ d’application et la compétence s’apprécient entité par entité, avec une nuance : pour les fournisseurs numériques visés à l’article 26, paragraphe 1, point b), le considérant 114 précise que, lorsque les services sont fournis par un groupe d’entreprises, l’établissement principal de l’entreprise qui exerce le contrôle est l’établissement principal du groupe. La taille se calcule au niveau du groupe : selon la recommandation 2003/361/CE, les données des entreprises liées et partenaires sont agrégées, si bien qu’une filiale de 40 personnes appartenant à un grand groupe n’est généralement pas une petite entreprise. Voir le guide du champ d’application de NIS2.

Quatre exemples, avec les États membres A, B et C :

• Fabricant de machines. Société mère en A, filiale en B, succursale commerciale de la société mère en C. La société mère s’enregistre en A, la filiale en B. La succursale est une installation stable de la société mère : le considérant 113 conduit donc aussi à une compétence concurrente de C. Vérifiez les règles d’enregistrement de C.
• Fournisseur de services gérés, une seule société, bureaux en A, B et C. Le conseil d’administration en A approuve la politique de sécurité, l’équipe des opérations de sécurité est en B, la majorité du personnel en C. L’établissement principal est en A, qui assure la supervision. B et C peuvent agir sur demande d’assistance mutuelle.
• Opérateur de télécommunications desservant A, B et C. Les trois États sont compétents.
• Fournisseur de cloud établi hors UE, qui vend dans la langue et la monnaie de A. Il doit désigner un représentant dans un État membre où il propose ses services. Tant qu’il ne l’a pas fait, chacun de ces États peut agir.

Les lois nationales reprennent ces règles : voir NIS2 en Allemagne et NIS2 en Belgique.

La transposition est inégale. Le 8 juillet 2026, la Commission a saisi la Cour de justice à l’encontre de l’Irlande, de l’Espagne, de la France et des Pays-Bas, faute de communication des mesures de transposition. Si l’une de vos entités y est établie, vérifiez la situation actuelle sur la page de la Commission consacrée à la transposition et auprès de l’autorité nationale.

Ce que l’article 26 laisse ouvert, et comment y remédier

L’article 26 repose sur des faits dont il ne dit pas comment les prouver : le texte ne définit pas quand des décisions sont principalement prises. Un groupe qui mène un seul programme de sécurité doit tout de même montrer à chaque autorité que son entité a approuvé et mis en œuvre les mesures, car l’article 20 fait peser cette obligation sur les organes de direction de chaque entité.

Une approche raisonnable consiste à tenir une fiche de compétence par entité juridique, revue à chaque changement d’organisation :

FICHE DE COMPÉTENCE NIS2 (une par entité juridique)

Dénomination et numéro d'immatriculation :
État membre de constitution :
Autres établissements (succursales, bureaux), par État membre :
États membres où les services sont fournis :
Secteur, sous-secteur et type d'entité (annexe I ou II) :
Taille, entreprises liées et partenaires comprises :
Essentielle ou importante :
Règle appliquée :
  [ ] art. 26, par. 1           établissement
  [ ] art. 26, par. 1, point a) lieu de fourniture des services
  [ ] art. 26, par. 1, point b) établissement principal
  [ ] art. 26, par. 1, point c) administration publique
  [ ] art. 26, par. 3           représentant dans l'UE
Test de l'établissement principal (art. 26, par. 1, point b), seulement) :
  1. Où les décisions de l'art. 21 sont principalement prises :
     Preuves (procès-verbaux du conseil, approbations, rôles) :
  2. Où les opérations de cybersécurité sont effectuées :
  3. Établissement comptant le plus de salariés dans l'UE :
Autorité compétente et CSIRT, par État membre :
Référence et date d'enregistrement, par État membre :
Responsable et date de la prochaine revue :

Le plus difficile, ce sont les preuves. En pratique, rattachez chaque mesure et chaque élément de preuve à l’entité et au pays qu’il couvre, afin qu’un seul programme réponde à chaque autorité. La plateforme CloudSoul collecte ces preuves en continu depuis les systèmes, avec une personne qui examine les exceptions. Si vous ne savez pas encore quelles entités entrent dans le champ, commencez par le vérificateur de périmètre NIS2. Le programme complet est présenté sur la page conformité NIS2.

Liste de contrôle de la compétence NIS2

• Listez chaque entité juridique du groupe, ses établissements et les pays où elle fournit des services.
• Évaluez le champ d’application entité par entité, en comptant les entreprises liées et partenaires pour la taille.
• Consignez la règle de l’article 26 qui s’applique à chaque entité, et pourquoi.
• Pour les fournisseurs numériques, documentez le test de l’établissement principal avec les procès-verbaux du conseil d’administration et les rôles.
• Enregistrez chaque entité auprès de son autorité ; les fournisseurs énumérés établis hors UE désignent un représentant.
• Indiquez dans votre procédure d’incident le CSIRT de chaque État membre compétent.
• Revoyez la fiche après toute réorganisation, toute acquisition ou tout déplacement de l’équipe sécurité.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 3, 6, 20, 23, 26, 27 et 37 et considérants 113 à 116, EUR-Lex.
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, EUR-Lex.
• Proposition de directive modifiant la directive (UE) 2022/2555, COM(2026) 13, 20 janvier 2026, EUR-Lex.
• Commission européenne, saisine de la Cour de justice à l’encontre de l’Irlande, de l’Espagne, de la France et des Pays-Bas, 8 juillet 2026, Digital Strategy.
• Commission européenne, transposition de NIS2 dans les pays de l’UE, Digital Strategy.

Questions fréquentes