NIS2 : êtes-vous entité essentielle ou importante ? La méthode pas à pas

Avant d'engager le moindre chantier de mise en conformité NIS2, une question doit être tranchée : votre organisation est-elle concernée, et à quel titre ? De la réponse dépendent l'intensité des contrôles, le plafond des sanctions et l'ampleur du projet. Voici la démarche que nous appliquons avec nos clients.

Étape 1 — Votre activité relève-t-elle d'un secteur couvert ?

La directive NIS2 distingue deux annexes. L'annexe I regroupe les secteurs « hautement critiques » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace. L'annexe II couvre d'autres secteurs critiques : services postaux, gestion des déchets, produits chimiques, alimentation, fabrication (dont dispositifs médicaux, électronique, machines, automobile), fournisseurs numériques et recherche.

Si aucune de vos activités n'entre dans ces 18 secteurs, vous n'êtes pas directement soumis — mais vous pouvez l'être indirectement (voir l'étape 4).

Étape 2 — Franchissez-vous les seuils de taille ?

En règle générale, sont concernées les entreprises d'au moins 50 salariés, ou dont le chiffre d'affaires annuel et le total de bilan dépassent 10 millions d'euros. Certaines entités sont concernées quelle que soit leur taille : fournisseurs de services DNS, registres de noms de domaine, prestataires de services de confiance qualifiés, administrations et entités désignées comme critiques par l'État.

Étape 3 — Essentielle ou importante ?

Les entités essentielles (EE) sont, pour l'essentiel, les grandes entreprises des secteurs de l'annexe I (au moins 250 salariés, ou plus de 50 M€ de chiffre d'affaires et 43 M€ de bilan) et certaines entités désignées. Les entités importantes (EI) regroupent les autres : moyennes entreprises de l'annexe I et entreprises de l'annexe II.

Les obligations de sécurité sont identiques dans les deux cas. Ce qui change : les EE sont contrôlées a priori et a posteriori, avec des amendes jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial ; les EI sont contrôlées a posteriori, avec un plafond de 7 M€ ou 1,4 %.

Étape 4 — L'effet de chaîne

Même hors périmètre, vous pouvez être concerné en pratique : une entité régulée doit sécuriser sa chaîne d'approvisionnement et répercutera ses exigences dans vos contrats. Si vous fournissez un service à un acteur soumis à NIS2, attendez-vous à des questionnaires et à des clauses de sécurité.

En pratique

L'ANSSI met à disposition un test d'éligibilité sur son espace dédié. Nous recommandons de formaliser votre analyse par écrit — secteur, seuils, catégorie, entités du groupe concernées — car ce document servira de point de départ à toute la démarche et devra pouvoir être présenté.

Une fois votre statut établi, la suite logique est une analyse d'écart avec les mesures attendues, puis un plan d'action priorisé. Découvrez notre accompagnement NIS2 ou parlez-en avec un expert.