La Directive 2022/2555 (NIS2) élargit considérablement le périmètre de son prédécesseur NIS1. Là où NIS1 ne couvrait que 7 secteurs et les opérateurs de services essentiels désignés par les États membres, NIS2 s'applique automatiquement à toute entité répondant aux critères de taille dans 18 secteurs définis. Voici la liste exhaustive, accompagnée de la méthode pour déterminer si vous êtes concerné.
La Distinction Fondamentale : Essentielles vs Importantes
NIS2 organise les entités en deux catégories aux obligations quasi identiques mais aux niveaux de supervision et de sanctions différents.
Entités essentielles : supervision proactive (l'autorité peut contrôler sans attendre un incident), amendes jusqu'à 10 M€ ou 2 % du CA mondial.
Entités importantes : supervision réactive (contrôle déclenché après incident ou plainte), amendes jusqu'à 7 M€ ou 1,4 % du CA mondial.
Les obligations techniques de sécurité (article 21) sont les mêmes pour les deux catégories.
Les 11 Secteurs Hautement Critiques (Entités Essentielles)
Ces secteurs figurent à l'Annexe I de la Directive 2022/2555 :
| # | Secteur | Exemples d'entités concernées |
|---|---|---|
| 1 | Énergie | Électricité (production, transport, distribution), gaz naturel, hydrogène, chauffage urbain, pétrole |
| 2 | Transports | Aérien, ferroviaire, fluvial, routier (gestionnaires d'infrastructure, opérateurs) |
| 3 | Secteur bancaire | Établissements de crédit au sens de la directive 2013/36/UE |
| 4 | Infrastructures des marchés financiers | Opérateurs de places de marché, contreparties centrales |
| 5 | Santé | Prestataires de soins, laboratoires de référence, fabricants de dispositifs médicaux critiques, recherche pharmaceutique |
| 6 | Eau potable | Fournisseurs et distributeurs d'eau destinée à la consommation humaine |
| 7 | Eaux usées | Entreprises collectant, traitant ou rejetant les eaux urbaines résiduaires |
| 8 | Infrastructure numérique | Points d'échange Internet (IXP), fournisseurs DNS (hors racine), registres de noms TLD, fournisseurs cloud, CDN, MSSP, data centers |
| 9 | Gestion des services TIC | Fournisseurs de services TIC B2B (MSP, MSSP) |
| 10 | Espace | Opérateurs d'infrastructures terrestres soutenant les services spatiaux |
| 11 | Administration publique | Administrations centrales et régionales (selon transposition nationale) |
Focus Secteur 8 : Infrastructure Numérique
Ce secteur mérite une attention particulière pour les PME tech. Sont concernés :
- Les fournisseurs de services cloud (IaaS, PaaS, SaaS) à partir d'une certaine taille
- Les centres de données (data centers commerciaux)
- Les fournisseurs de services de sécurité gérés (MSSP)
- Les fournisseurs DNS (résolution de noms de domaine)
- Les registres de noms de domaine TLD
Un éditeur SaaS hébergeant ses propres serveurs ou opérant une infrastructure cloud pour ses clients peut entrer dans cette catégorie.
Les 7 Secteurs Critiques (Entités Importantes)
Ces secteurs figurent à l'Annexe II de la Directive 2022/2555 :
| # | Secteur | Exemples d'entités concernées |
|---|---|---|
| 1 | Services postaux et de messagerie | Opérateurs postaux, services de livraison express |
| 2 | Gestion des déchets | Collecte, traitement et recyclage des déchets dangereux et non-dangereux |
| 3 | Fabrication de produits critiques | Équipements médicaux, ordinateurs, appareils électroniques, véhicules à moteur, machines industrielles, produits chimiques |
| 4 | Fournisseurs numériques | Places de marché en ligne, moteurs de recherche, réseaux sociaux |
| 5 | Denrées alimentaires | Entreprises de production, transformation et distribution alimentaire à grande échelle |
| 6 | Produits chimiques | Fabrication, production et distribution de substances chimiques |
| 7 | Organismes de recherche | Entités dont les activités de recherche sont critiques pour l'économie ou la société |
Les Critères de Taille : Qui Est Réellement Concerné ?
NIS2 applique le critère de l'entreprise moyenne de la recommandation européenne 2003/361/CE :
Règle Générale
Vous êtes concerné si votre entreprise :
- Emploie 50 personnes ou plus, ET/OU
- Réalise un chiffre d'affaires annuel supérieur à 10 M€, ET/OU
- Possède un total de bilan supérieur à 10 M€
Exceptions : Taille Non Requise
Certaines entités sont soumises à NIS2 quelle que soit leur taille :
- Fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public
- Prestataires de services de confiance (au sens du règlement eIDAS)
- Registres de noms de domaine TLD et fournisseurs DNS (hors DNS récursif)
- Entités dont une défaillance pourrait avoir un impact significatif sur la sécurité publique, la sûreté publique ou la santé publique
- Entités désignées par un État membre comme critiques
Test Pratique : Suis-Je Concerné par NIS2 ?
Répondez à ces 4 questions :
Question 1 : Mon secteur d'activité principal figure-t-il dans l'Annexe I ou II de la Directive 2022/2555 ?
Question 2 : Mon entreprise emploie-t-elle 50 personnes ou plus, OU réalise-t-elle plus de 10 M€ de CA annuel ?
Question 3 : Mon entreprise est-elle établie dans l'Union européenne (siège social ou filiale opérant dans l'UE) ?
Question 4 : Mon entreprise entre-t-elle dans l'une des catégories d'exemption de taille (fournisseur DNS, prestataire de confiance, etc.) ?
Résultat : Si vous répondez OUI aux questions 1, 2 et 3, vous êtes soumis à NIS2. Si vous répondez OUI à la question 4, vous l'êtes également quelle que soit votre taille.
Cas Particuliers Fréquents pour les PME
Le Sous-Traitant d'une Entité Critique
Si votre entreprise fournit des services TIC à une entité essentielle ou importante, vous pouvez être directement concerné en tant que fournisseur TIC (secteur 9 de l'Annexe I) ou indirectement via les obligations de gestion de la chaîne d'approvisionnement de votre client.
L'Entreprise Multi-Secteurs
Si votre activité couvre plusieurs secteurs (ex : une entreprise de logistique opérant dans les transports et la gestion des déchets), c'est le secteur qui vous place dans la catégorie la plus contraignante qui s'applique.
Les Groupes de Sociétés
Le calcul des seuils de taille tient compte des entreprises liées et partenaires au sens de la recommandation 2003/361/CE. Une filiale de 30 salariés appartenant à un groupe de 200 salariés est considérée comme une entreprise moyenne.
WarDek : Auto-Évaluation NIS2 en 5 Minutes
Déterminer avec précision si votre entité est soumise à NIS2 et dans quelle catégorie elle tombe nécessite d'analyser votre activité principale, vos activités secondaires, votre structure juridique et vos seuils de taille consolidés.
Le module d'auto-évaluation NIS2 de WarDek pose les 12 questions structurantes, analyse vos réponses et vous délivre une conclusion claire : non concerné, entité importante ou entité essentielle, avec les obligations qui en découlent. Le rapport généré est exportable pour votre dossier de conformité.
Pour connaître les montants des amendes en cas de non-conformité, consultez notre guide sur les sanctions NIS2. Pour comprendre les bases de la directive, rendez-vous sur notre guide NIS2 pour les PME.