NIS2 : qui est concerné en France

Le test en une phrase

L’article 2 de la directive donne la règle : une entité publique ou privée est concernée lorsqu’elle relève d’un type listé à l’annexe I ou à l’annexe II et qu’elle est une entreprise de taille moyenne, ou dépasse les plafonds d’une telle entreprise, au sens de la définition européenne des PME (recommandation 2003/361/CE). Tout le reste de la directive, les mesures, les horloges de notification, la responsabilité de l’organe de direction, découle de cette phrase. Le test est donc le secteur d’abord, la taille ensuite, et une courte liste d’exceptions enfin.

La taille se lit à la manière des PME, ce qui surprend beaucoup d’entreprises. Une entreprise est petite lorsqu’elle emploie moins de 50 personnes et que son chiffre d’affaires annuel ou son total de bilan n’excède pas 10 millions d’euros. Franchissez l’une des deux lignes, 50 salariés ou plus, ou à la fois un chiffre d’affaires et un bilan supérieurs à 10 millions, et l’entreprise est de taille moyenne ou plus, donc concernée si son secteur est listé. L’effectif se compte en unités de travail annuel : temps partiels et saisonniers pèsent au prorata.

La définition des PME agrège aussi les entreprises partenaires et liées : une filiale est en général dimensionnée avec son groupe. La directive laisse les États membres apprécier l’indépendance des réseaux et systèmes d’information de l’entité vis-à-vis de ceux de son groupe ; une petite filiale française d’un grand groupe étranger ne doit donc pas se supposer hors champ. Elle doit se supposer concernée, puis vérifier auprès de l’autorité.

Question 1 : le secteur est-il listé ?

L’annexe I liste les secteurs hautement critiques, l’annexe II les autres secteurs critiques. Les mots comptent moins que l’activité : un hôpital relève du secteur de la santé quelle que soit sa forme juridique, un grossiste alimentaire du secteur alimentaire, un fabricant de dispositifs médicaux ou de machines de l’industrie manufacturière. Les 18 secteurs sont listés ci-dessous ; chacun est précisé par des sous-secteurs et des types d’entités dans les annexes elles-mêmes, là où vivent les cas limites.

• Annexe I : énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène) ; transports (aérien, ferroviaire, par voie d’eau, routier) ; secteur bancaire ; infrastructures des marchés financiers ; santé ; eau potable ; eaux usées ; infrastructure numérique (points d’échange internet, DNS, registres de noms de domaine de premier niveau, informatique en nuage, centres de données, réseaux de diffusion de contenu, services de confiance, communications électroniques publiques) ; gestion des services TIC interentreprises (fournisseurs de services gérés et de services de sécurité gérés) ; administration publique ; espace.
• Annexe II : services postaux et d’expédition ; gestion des déchets ; fabrication, production et distribution de produits chimiques ; production, transformation et distribution de denrées alimentaires ; fabrication (dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules automobiles, autres matériels de transport) ; fournisseurs numériques (places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux) ; organismes de recherche.

Question 2 : l’organisation est-elle de taille moyenne ou plus ?

Prenez les derniers comptes approuvés et l’effectif moyen de l’exercice. Moins de 50 personnes et un chiffre d’affaires ou un bilan n’excédant pas 10 millions d’euros : l’entreprise est petite, hors champ sauf si la question 3 la rattrape. Au-delà : concernée. Placez-la ensuite sur la seconde ligne : 250 personnes ou plus, ou un chiffre d’affaires supérieur à 50 millions d’euros et un bilan supérieur à 43 millions, en font une grande entreprise, ce qui sépare les entités essentielles des entités importantes dans les secteurs de l’annexe I.

Deux pièges pratiques. Les organismes publics n’ont pas de chiffre d’affaires : leur périmètre repose sur l’entrée « administration publique » de l’annexe et sur la loi nationale, qui en France atteint aussi les collectivités au-delà de seuils que la loi fixera. Et les chiffres d’un groupe suivent l’entreprise des comptes, pas le site : un centre de données de 30 personnes détenu par un groupe de 3 000 est dimensionné avec le groupe.

Question 3 : l’entité est-elle concernée quelle que soit sa taille ?

L’article 2, paragraphe 2, maintient dans le champ un ensemble d’entités quelle que soit leur taille, parce que leur défaillance pèserait sans rapport avec leur effectif. Les fournisseurs de réseaux ou de services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS sont concernés quelle que soit leur taille. Le sont aussi les entités seul fournisseur dans un État membre d’un service essentiel au maintien d’activités sociétales ou économiques critiques, celles dont la perturbation pourrait avoir un effet important sur la sécurité publique, la sûreté publique ou la santé publique, celles qui pourraient induire un risque systémique transfrontière, celles qui sont critiques en raison de leur importance pour un secteur ou des secteurs interdépendants, les administrations publiques centrales, et les entités identifiées comme critiques au titre de la directive sur la résilience des entités critiques, ce qui recouvre en France les opérateurs d’importance vitale.

La question 3 est celle à laquelle une organisation ne peut pas répondre seule : plusieurs de ces catégories sont identifiées par l’État membre. Dans le régime français, l’identification appartient à l’autorité, et la lecture prudente pour un petit opérateur d’une niche critique est de se préparer comme s’il était identifié.

Question 4 : essentielle ou importante ?

L’article 3 répartit les entités concernées en deux statuts. Les entités essentielles sont, en résumé, les grandes entreprises des secteurs de l’annexe I, plus les prestataires de services de confiance, les registres de premier niveau et les fournisseurs DNS, les fournisseurs de communications électroniques publiques de taille moyenne, les administrations centrales, les entités identifiées comme critiques et les opérateurs qui étaient déjà opérateurs de services essentiels sous la première directive NIS. Toute autre entité concernée est une entité importante : les entreprises moyennes de l’annexe I et toutes les entreprises, moyennes et grandes, de l’annexe II.

Le statut change le régime, pas les obligations. Les deux catégories doivent les mesures de gestion des risques de l’article 21 et la notification des incidents de l’article 23. Les entités essentielles sont supervisées ex ante et ex post (audits, inspections, demandes d’information à tout moment) et encourent des amendes administratives jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ; les entités importantes sont supervisées ex post, sur indice de manquement, avec des amendes jusqu’à 7 millions d’euros ou 1,4 %. Dans les deux cas, l’organe de direction approuve les mesures, supervise leur mise en œuvre, peut voir sa responsabilité engagée et doit suivre une formation.

Régimes sectoriels : banques, assureurs et DORA

L’article 4 fait de NIS2 le socle que des actes sectoriels de l’Union peuvent écarter lorsqu’ils imposent des exigences au moins équivalentes. Pour le secteur financier, cet acte est DORA : banques, assureurs, entreprises d’investissement et les autres entités financières qu’il couvre appliquent la gestion du risque TIC et la notification des incidents de DORA à la place des articles 21 et 23 de NIS2. Elles restent dans les secteurs bancaire et des infrastructures de marché de l’annexe I pour le reste, notamment la coopération entre autorités. Le RSSI d’une banque lit donc DORA pour les mesures et NIS2 pour la carte.

L’autre recouvrement est la directive sur la résilience des entités critiques, transposée en France dans le même projet de loi que NIS2 par la refonte des opérateurs d’importance vitale. Une entité identifiée comme critique à ce titre est une entité essentielle au sens de NIS2 par construction.

Où en est la France

NIS2 devait être transposée dans toute l’UE avant le 17 octobre 2024. En septembre 2026, la loi française de transposition (le projet de loi résilience, qui refond aussi le régime OIV) est encore devant le Parlement, et la Commission européenne a saisi la Cour de justice contre la France en juillet 2026. En l’état du projet de loi, les régions, départements, métropoles, communes les plus peuplées et leurs groupements entrent dans le périmètre ; les seuils sont fixés par la loi et ses décrets. Deux conséquences. Les obligations de la directive ne lient pas une entité privée française tant que la loi nationale et ses décrets ne sont pas en vigueur : aucune sanction à craindre aujourd’hui ; et le contenu de ces obligations est déjà connu, puisque la loi transpose la directive et que les secteurs, les seuils et les deux statuts viennent du texte européen. La préparation est la lecture rationnelle du délai, pas le report.

L’ANSSI, autorité nationale de cybersécurité, a été désignée pour conduire le régime et a publié un outil d’auto-évaluation, MonEspaceNIS2, sur lequel une organisation répond aux questions de secteur et de taille ci-dessus et obtient un périmètre indicatif. Le résultat est indicatif : la loi et les décisions d’identification trancheront les cas limites, et l’outil le dit. Il reste le moyen le plus rapide d’obtenir une première réponse et d’enregistrer l’organisation lorsque l’enregistrement ouvrira.

Si la réponse est oui : les quatre premiers gestes

La question du périmètre s’arrête là où le programme commence. Les organisations prêtes le jour où un superviseur demande ont fait quatre choses avant ce jour.

• Fixé le périmètre par écrit : les entités juridiques concernées, leur secteur et leur statut, les entités du groupe qui partagent leurs systèmes, et la personne responsable de l’enregistrement et des notifications.
• Mis l’organe de direction au travail : une décision approuvant les mesures de gestion des risques, une session de formation consignée, et une cadence de reporting qui lui apporte le registre des risques et l’état des mesures.
• Rapproché les mesures de l’article 21 des contrôles et des preuves existants, avec les écarts en actions datées : analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement, développement sécurisé, évaluation de l’efficacité, hygiène informatique, cryptographie, contrôle d’accès et authentification multifacteur.
• Répété les horloges de notification : qui décide qu’un incident est important, qui dépose l’alerte précoce sous 24 heures, la notification sous 72 heures et le rapport final sous un mois, avec quel modèle et à quelle adresse.

Ce que Mindlapse fait de la réponse

Sur la plateforme, le périmètre, les mesures et les preuves vivent au même endroit : les mesures de l’article 21 sont rapprochées de contrôles dont le statut est calculé sur des preuves vivantes, les horloges de notification sont des workflows avec des responsables, les tiers portent une note qui bouge avec leurs signaux, et l’organe de direction lit un cockpit construit sur les mêmes faits. La page du cas d’usage NIS2 le déroule obligation par obligation.