NIS2 s’applique à votre entreprise si celle-ci est une entité d’un type visé à l’annexe I ou II, au moins de taille moyenne et active dans l’UE. La taille moyenne commence à 50 personnes, ou lorsque le chiffre d’affaires et le total du bilan dépassent tous deux 10 millions d’euros. Certaines entités relèvent de la directive quelle que soit leur taille, et quelques-unes sont exclues.
Ce guide présente le tableau de décision, les quatre étapes, les exclusions, ce que signifie le résultat, l’enregistrement, ce que la vérification laisse ouvert en pratique, et une liste de contrôle.
| Votre situation | Statut NIS2 | Directive |
|---|---|---|
| Type de l’annexe I, grande entreprise | Essentielle | Art. 2(1), 3(1)(a) |
| Type de l’annexe I, moyenne entreprise | Importante | Art. 2(1), 3(2) |
| Type de l’annexe II, moyenne ou grande entreprise | Importante | Art. 2(1), 3(2) |
| Type de l’annexe I ou II, petite entreprise ou microentreprise | Hors champ, sauf si un cas indépendant de la taille s’applique | Art. 2(1) à 2(4) |
| Prestataire de services de confiance qualifié, registre de TLD, fournisseur DNS, quelle que soit la taille | Essentielle | Art. 3(1)(b) |
| Fournisseur de communications électroniques publiques | Essentielle si moyenne ou grande entreprise, importante si petite | Art. 3(1)(a), (c) |
| Services d’enregistrement de noms de domaine, quelle que soit la taille | Dans le champ, recensée séparément | Art. 2(4), 3(3) |
| Entité critique au sens de la directive CER ou entité de l’administration publique centrale | Essentielle | Art. 3(1)(d), (f) |
| Identifiée par votre État membre | Essentielle ou importante, selon l’identification | Art. 2(2)(b) à (e) |
| Administration publique dans la sécurité nationale, la défense ou l’application de la loi | Exclue | Art. 2(7) |
Comment savoir si NIS2 s’applique à votre entreprise ? Les quatre étapes
- Secteur : l’entité est-elle d’un type visé à l’annexe I ou II ?
- Taille : est-elle au moins de taille moyenne ? Si oui, elle relève du champ d’application.
- Cas indépendants de la taille : sinon, est-elle couverte quelle que soit sa taille ?
- Présence dans l’UE : est-elle active dans l’UE, et quel droit national s’applique ?
Vérifiez ensuite les exclusions. Le vérificateur de champ d’application NIS2 donne une première réponse à partir de votre secteur, de votre effectif et de votre chiffre d’affaires.
Étape 1 : quels secteurs entrent dans le champ d’application de NIS2 ?
NIS2 couvre 18 secteurs répartis dans deux annexes. Le critère est le type d’entité, pas l’étiquette sectorielle de votre site web.
Annexe I, secteurs hautement critiques (11) : énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, par voie d’eau, routier), secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique, espace.
Annexe II, autres secteurs critiques (7) : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche.
Trois points règlent la plupart des cas limites :
- La plupart des entrées sont définies par d’autres textes de l’UE. Lisez la définition à laquelle renvoie l’annexe, pas votre propre description de votre activité.
- La plupart des services numériques figurent à l’annexe I : cloud, centres de données, réseaux de diffusion de contenu (CDN), DNS, registres de TLD, services de confiance, communications électroniques, fournisseurs de services gérés et fournisseurs de services de sécurité gérés. Les fournisseurs numériques de l’annexe II se limitent aux places de marché en ligne, aux moteurs de recherche et aux plateformes de réseaux sociaux.
- La fabrication est définie de façon étroite : dispositifs médicaux et dispositifs médicaux de diagnostic in vitro, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules automobiles et autres matériels de transport. Les produits chimiques et les denrées alimentaires sont des secteurs distincts ; les autres fabricants ne sont pas visés.
Écrire des logiciels n’est pas en soi un type visé par les annexes. Une entreprise qui installe, gère, exploite ou entretient des produits, réseaux, infrastructures ou applications TIC pour ses clients peut être un fournisseur de services gérés au sens de l’article 6(39). La limite est expliquée dans NIS2 pour les MSP et les MSSP.
Étape 2 : quel est le seuil de taille de NIS2 ?
NIS1 laissait l’identification aux États membres ; NIS2 applique ce que le considérant 7 décrit comme une règle de plafond de taille (voir NIS1 et NIS2 : les différences). Les catégories proviennent de la recommandation 2003/361/CE :
- Petite entreprise : moins de 50 personnes, et chiffre d’affaires ou total du bilan jusqu’à 10 millions d’euros. Microentreprise : moins de 10 personnes, jusqu’à 2 millions d’euros.
- Moyenne entreprise : moins de 250 personnes, et chiffre d’affaires jusqu’à 50 millions d’euros ou total du bilan jusqu’à 43 millions d’euros.
- Grande entreprise : au-delà des plafonds de la moyenne entreprise.
La limite de NIS2 est donc le haut de la catégorie « petite ». Vous relevez du champ d’application avec 50 personnes ou plus, ou lorsque le chiffre d’affaires et le total du bilan dépassent tous deux 10 millions d’euros. Une entreprise de 30 personnes, avec 14 millions d’euros de chiffre d’affaires et un bilan de 6 millions d’euros, reste une petite entreprise. Une grande entreprise, ce qui compte pour le statut d’entité essentielle, c’est 250 personnes ou plus, ou un chiffre d’affaires supérieur à 50 millions d’euros et un total du bilan supérieur à 43 millions d’euros.
Si vous êtes proche du seuil de 50 personnes, l’article NIS2 s’applique-t-elle aux PME ? décrit ce qui attend les petits fournisseurs.
Comment calculer la taille de l’entreprise pour NIS2 ?
- L’effectif se compte en unités de travail par année (UTA). Le travail à temps partiel et saisonnier compte en fractions ; les apprentis ne sont pas comptés.
- Utilisez les derniers comptes approuvés. Une entreprise nouvelle utilise une estimation de bonne foi.
- Une seule année ne change pas votre catégorie. Le statut ne change que lorsqu’un plafond est franchi sur deux exercices consécutifs.
- Les données du groupe s’additionnent. Les entreprises liées comptent en totalité, les entreprises partenaires (25 % ou plus) au prorata : une filiale de 30 personnes d’un grand groupe peut donc être une grande entreprise. Le considérant 16 permet aux États membres de tenir compte de l’indépendance de l’entité en matière de systèmes et de services.
- La détention publique ne change pas le critère. L’article 3(4) de la recommandation, qui refuse le statut de PME aux entreprises contrôlées à 25 % ou plus par des organismes publics, ne s’applique pas pour NIS2. Une entreprise n’est pas considérée comme grande du seul fait qu’une commune la détient.
Étape 3 : quelles entités relèvent de NIS2 quelle que soit leur taille ?
L’article 2(2) à (4) inclut, quelle que soit leur taille :
- les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public ;
- les prestataires de services de confiance, les registres des noms de domaine de premier niveau (TLD) et les fournisseurs de services DNS ;
- les entités fournissant des services d’enregistrement de noms de domaine ;
- les entités critiques identifiées en vertu de la directive CER, (UE) 2022/2557 ;
- les entités de l’administration publique centrale, et celles de niveau régional à l’issue d’une évaluation fondée sur les risques ;
- les entités d’un type visé par les annexes que l’État membre identifie comme fournisseur unique d’un service essentiel, comme critiques au niveau national ou régional, ou parce qu’une perturbation pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou engendrer un risque systémique important.
Le dernier groupe ne se prête pas à une auto-évaluation : votre autorité l’identifie et décide si l’entité est essentielle ou importante. Si l’État membre le prévoit, les opérateurs de services essentiels identifiés au titre de NIS1 avant le 16 janvier 2023 sont des entités essentielles. Les États membres peuvent aussi étendre la directive aux entités de l’administration publique locale et aux établissements d’enseignement.
Étape 4 : NIS2 vise-t-elle les entreprises hors de l’UE, et quel droit national s’applique ?
L’article 2(1) couvre les entités qui « fournissent leurs services ou exercent leurs activités au sein de l’Union », quel que soit leur lieu d’établissement.
En vertu de l’article 26, la règle générale est celle de l’État membre d’établissement : une entreprise établie dans plusieurs pays peut donc relever de plusieurs lois nationales. Les fournisseurs de communications électroniques relèvent de chaque État membre dans lequel ils fournissent leurs services. Les fournisseurs de cloud, de centres de données, de CDN, de DNS, de TLD, d’enregistrement de noms de domaine, les MSP et les MSSP ainsi que les fournisseurs numériques de l’annexe II relèvent de l’État membre de leur établissement principal, et un fournisseur de ces services établi hors de l’UE doit désigner un représentant dans un État membre où il fournit ses services. Le détail figure dans compétence NIS2 et établissement principal.
Les lois nationales appliquent le même critère et peuvent le compléter. Tous les États membres n’ont pas transposé la directive dans le délai du 17 octobre 2024 : vérifiez que la loi de votre pays est en vigueur.
Qui est exclu de NIS2 ?
- L’administration publique dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi (article 2(7)).
- Les entités qu’un État membre exempte des articles 21 ou 23 pour leurs activités dans ces domaines ou pour des services fournis uniquement à ces administrations (article 2(8)), sauf les prestataires de services de confiance (article 2(9)).
- Les entités exemptées de DORA en vertu de son article 2(4) (article 2(10)).
- Les entités soumises à une législation sectorielle de l’UE équivalente. Lorsqu’un autre acte de l’UE impose des exigences de gestion des risques ou de notification d’incidents au moins équivalentes, les dispositions correspondantes de NIS2 ne s’appliquent pas (article 4(1)) ; le considérant 28 cite DORA pour les entités financières.
Entité essentielle ou importante : que signifie le résultat ?
Le champ d’application détermine si NIS2 s’applique. Le statut détermine la manière dont vous êtes supervisé. Toute entité des annexes I ou II relevant du champ d’application qui ne figure pas parmi les entités essentielles de l’article 3(1) est une entité importante. Les deux statuts emportent les mêmes mesures de l’article 21 et les mêmes obligations de notification d’incidents. Les entités essentielles font l’objet d’une supervision proactive et d’amendes maximales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu ; les entités importantes font l’objet d’une supervision a posteriori et d’amendes maximales d’au moins 7 millions d’euros ou 1,4 %. Voir entités essentielles et entités importantes.
Faut-il s’enregistrer au titre de NIS2 ?
En pratique, oui. Les États membres devaient établir la liste des entités essentielles et importantes au plus tard le 17 avril 2025 et la réexaminer au moins tous les deux ans. Pour l’établir, les entités doivent communiquer leur nom, leur adresse, leurs coordonnées, y compris leurs plages d’adresses IP, leur secteur et sous-secteur, et les États membres dans lesquels elles fournissent leurs services, puis signaler toute modification dans un délai de deux semaines. Les États membres peuvent organiser cette démarche sous forme d’auto-enregistrement. L’obligation pèse sur l’entité : n’attendez pas d’être contacté.
Ce que la vérification du champ d’application laisse ouvert en pratique
NIS2 attache ses obligations à l’entité, personne physique ou morale (article 6(38)), et l’article 21 couvre les réseaux et systèmes d’information qu’elle utilise dans le cadre de ses activités ou de la fourniture de ses services. Une activité visée repose rarement sur des systèmes séparés : l’identité, la messagerie, les ordinateurs portables et les environnements cloud sont partagés, attendez-vous donc à ce que le programme les englobe.
Le champ d’application évolue aussi avec deux bonnes années, une acquisition qui vous rattache à un groupe plus grand, ou une nouvelle ligne de services, comme l’exploitation d’infrastructures de clients. Une approche raisonnable consiste à refaire la vérification à chaque clôture des comptes et après tout changement de groupe ou de services, et à en conserver une trace datée :
FICHE DE DÉCISION : CHAMP D'APPLICATION NIS2
Entité juridique : [nom, numéro d'immatriculation]
Date / revu par : [date] / [nom, fonction]
Groupe : [entreprises liées et partenaires (25 % ou plus)]
1. Type d'annexe : [annexe I ou II, secteur, type d'entité, définition]
2. Taille, exercice : effectif (UTA) [ ] CA [ ] total du bilan [ ]
Exercice précédent : effectif (UTA) [ ] CA [ ] total du bilan [ ]
Catégorie : [micro / petite / moyenne / grande]
3. Cas hors taille : [aucun / 2(2)(a) / 2(2)(f) / 2(3) / 2(4) / identifiée]
4. Présence UE : [États membres desservis, base de compétence]
Exclusions vérifiées : [art. 2(7) à 2(10), art. 4]
Résultat : [hors champ / importante / essentielle]
Enregistrement : [autorité, date, référence]
Prochaine revue : [prochaine clôture ou changement de services]Les données d’enregistrement sont celles qui se périment le plus vite. Sur la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle, la fiche de champ d’application et les données d’enregistrement se trouvent à côté des mesures et des preuves qu’elles déterminent, et les changements sont signalés pour revue. Le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle du champ d’application NIS2
- Rattachez chaque activité de chaque entité juridique à un type de l’annexe I ou II, en vous fondant sur la définition juridique.
- Calculez la taille à partir des derniers comptes approuvés, en ajoutant les données des entreprises liées et partenaires.
- Vérifiez deux exercices consécutifs avant de conclure que vous avez franchi un plafond.
- Vérifiez les cas indépendants de la taille et toute identification par votre autorité.
- Listez les États membres dans lesquels vous fournissez vos services et confirmez lequel est compétent.
- Vérifiez les exclusions et toute législation sectorielle de l’UE équivalente.
- Enregistrez-vous, signalez les modifications dans un délai de deux semaines et refaites la vérification à chaque clôture des comptes.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 4, 6, 21, 26 et 32 à 34, considérants 7, 16 et 28, annexes I et II, EUR-Lex.
- Recommandation 2003/361/CE de la Commission (définition des PME), annexe, articles 2 à 6, EUR-Lex.
- Directive (UE) 2022/2557 (directive CER), EUR-Lex.
- Commission européenne, page consacrée à la directive NIS2.
Questions fréquentes
NIS2 s'applique-t-elle à mon entreprise ?
Elle s'applique si votre entreprise est une entité d'un type visé à l'annexe I ou II de la directive, si elle est au moins une moyenne entreprise au sens de la définition de l'UE et si elle fournit des services ou exerce des activités dans l'UE. La taille moyenne commence à 50 personnes, ou lorsque le chiffre d'affaires et le total du bilan dépassent tous deux 10 millions d'euros.
Quelles entités relèvent de NIS2 quelle que soit leur taille ?
Les fournisseurs de réseaux ou de services de communications électroniques publics, les prestataires de services de confiance, les registres des noms de domaine de premier niveau, les fournisseurs de services DNS, les services d'enregistrement de noms de domaine, les entités critiques au sens de la directive CER, les entités de l'administration publique centrale, et les entités qu'un État membre identifie en raison de leur rôle, par exemple comme fournisseur unique d'un service essentiel.
NIS2 s'applique-t-elle aux entreprises situées hors de l'UE ?
Seulement si elles fournissent des services ou exercent des activités dans l'UE. Les fournisseurs établis hors de l'UE qui proposent dans l'UE certains services numériques, notamment des services de cloud, de centre de données, des services gérés et des services de sécurité gérés, doivent désigner un représentant dans un État membre où ils fournissent ces services.
Quelle est la différence entre le champ d'application de NIS2 et le statut d'entité essentielle ou importante ?
Le champ d'application détermine si la directive s'applique ou non. Le statut détermine le régime de supervision et le plafond des amendes. Les grandes entités de l'annexe I et quelques catégories expressément désignées sont essentielles ; toutes les autres entités des annexes I et II qui relèvent du champ d'application sont importantes.
L'autorité me dira-t-elle si je relève de NIS2 ?
Ne l'attendez pas. Les États membres devaient établir la liste des entités essentielles et importantes au plus tard le 17 avril 2025, et la directive impose aux entités de communiquer elles-mêmes leurs informations, comme leurs coordonnées, leurs plages d'adresses IP, leur secteur et les États membres dans lesquels elles opèrent, et de signaler toute modification dans un délai de deux semaines.
