NIS 2 : comment savoir si votre entreprise est concernée
Vous êtes concerné par NIS 2 si deux conditions sont réunies : votre organisation relève d'un des 18 secteurs des annexes I et II de la directive (UE) 2022/2555 du 14 décembre 2022, et elle atteint au moins la taille d'une « moyenne entreprise » au sens de la recommandation 2003/361/CE, soit 50 personnes ou plus, ou un chiffre d'affaires et un bilan annuels supérieurs à 10 millions d'euros chacun. Quelques types d'entités sont visés quelle que soit leur taille, et le sort des collectivités dépend d'une loi française toujours pas votée au 19 octobre 2026.
La réponse en une phrase : secteur, taille, exceptions
L'article 2, paragraphe 1, de la directive vise les entités « d'un type visé à l'annexe I ou II » qui sont au moins des « entreprises moyennes » au sens de la recommandation 2003/361/CE. D'où quatre questions :
- Mon activité relève-t-elle d'un des 18 secteurs ?
- Mon organisation correspond-elle à un « type d'entité » listé dans ce secteur ? Chaque secteur liste des types d'entités, parfois regroupés en sous-secteurs (pour l'électricité, par exemple, les gestionnaires de réseau de distribution).
- Ai-je au moins la taille « moyenne » ?
- Suis-je dans un cas où la taille ne compte pas ?
Oui aux questions 1, 2 et 3, ou oui à la question 4 : vous êtes dans le champ, et il reste à savoir si vous êtes entité essentielle ou entité importante.
Les 18 secteurs des annexes I et II
La directive distingue onze « secteurs hautement critiques » (annexe I) et sept « autres secteurs critiques » (annexe II). L'ANSSI reprend ce décompte, 11 plus 7, sur MonEspaceNIS2 (messervices.cyber.gouv.fr/nis2, consulté le 19 octobre 2026).
| Annexe I : secteurs hautement critiques | Annexe II : autres secteurs critiques |
|---|---|
| 1. Énergie | 1. Services postaux et d'expédition |
| 2. Transports | 2. Gestion des déchets |
| 3. Secteur bancaire | 3. Fabrication, production et distribution de produits chimiques |
| 4. Infrastructures des marchés financiers | 4. Production, transformation et distribution des denrées alimentaires |
| 5. Santé | 5. Fabrication |
| 6. Eau potable | 6. Fournisseurs numériques |
| 7. Eaux usées | 7. Recherche |
| 8. Infrastructure numérique | |
| 9. Gestion des services TIC (interentreprises) | |
| 10. Administration publique | |
| 11. Espace |
Les seuils de taille : moyenne et grande entreprise
L'article 2 de l'annexe de la recommandation 2003/361/CE du 6 mai 2003 définit la PME (moins de 250 personnes, et chiffre d'affaires n'excédant pas 50 millions d'euros ou bilan n'excédant pas 43 millions d'euros) et la petite entreprise (moins de 50 personnes, et chiffre d'affaires ou bilan n'excédant pas 10 millions d'euros). NIS 2 commence à la moyenne entreprise, lecture confirmée par l'ANSSI et par les articles 8 et 9 du texte du Sénat :
| Taille de l'organisation | Secteur de l'annexe I | Secteur de l'annexe II |
|---|---|---|
| Moins de 50 personnes, et chiffre d'affaires ou bilan inférieur ou égal à 10 millions d'euros | Hors champ, sauf cas particulier | Hors champ, sauf cas particulier |
| Au moins 50 personnes, ou chiffre d'affaires et bilan supérieurs à 10 millions d'euros, sans atteindre la grande entreprise | Entité importante | Entité importante |
| Au moins 250 personnes, ou chiffre d'affaires supérieur à 50 millions d'euros et bilan supérieur à 43 millions d'euros | Entité essentielle | Entité importante |
Deux pièges : l'effectif et les montants s'apprécient avec les entreprises partenaires (25 % ou plus du capital ou des droits de vote, article 3 de la même annexe) et liées, si bien qu'une filiale de 30 personnes peut être comptée avec son groupe ; et pour franchir un seuil par les montants, chiffre d'affaires et bilan doivent être dépassés tous les deux.
Exemple fictif : une entreprise agroalimentaire de 120 personnes, 18 millions d'euros de chiffre d'affaires et 12 millions d'euros de bilan est une entité importante (annexe II, taille moyenne) ; avec 40 personnes et 9 millions d'euros de chiffre d'affaires, elle reste hors champ, sauf désignation.
Les cas où la taille ne compte pas
L'article 2, paragraphe 2, s'applique « quelle que soit leur taille » aux entités des annexes dans six situations : fournisseurs de réseaux ou services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine de premier niveau et fournisseurs DNS ; seul prestataire d'un service essentiel dans un État membre ; impact important sur la sécurité ou la santé publiques ; risque systémique ; importance nationale ou régionale ; administration publique centrale, ou régionale après évaluation des risques. Les paragraphes 3 et 4 y ajoutent les entités critiques de la directive (UE) 2022/2557 et les prestataires d'enregistrement de noms de domaine.
En France, l'article 10 du texte du Sénat permet au Premier ministre de désigner par arrêté une entité « quelle que soit sa taille » selon quatre de ces critères ; en cas de doute, consultez la FAQ de MonEspaceNIS2.
Les collectivités et leurs groupements
L'article 2, paragraphe 5, de la directive laisse chaque État décider d'appliquer le texte « aux entités de l'administration publique au niveau local ». Le texte adopté par le Sénat le 12 mars 2025 classe en entités essentielles (article 8) les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines, les communautés d'agglomération comprenant une commune de plus de 30 000 habitants, les centres de gestion de la fonction publique territoriale, les services départementaux d'incendie et de secours et, s'ils exercent dans un secteur listé, les syndicats de plus de 30 000 habitants et les institutions interdépartementales ; en entités importantes (article 9) les autres communautés d'agglomération et les communautés de communes. Les communes de 30 000 habitants ou moins n'y figurent pas.
Ce découpage peut changer : transmis à l'Assemblée nationale le 13 mars 2025 (texte n° 1112), le projet a été modifié par la commission spéciale (rapport n° 1779 du 10 septembre 2025), qui classe toutes les communautés d'agglomération en entités essentielles, puis retiré de l'ordre du jour des séances des 7 et 9 octobre 2026 (relevé de la Conférence des présidents du 6 octobre 2026), sans nouvelle date au relevé du 13 octobre 2026, alors que l'article 41 de la directive imposait une transposition au plus tard le 17 octobre 2024.
Que faire une fois la réponse connue
- Passer le test de l'ANSSI. MonEspaceNIS2 propose un test en ligne (« Débuter le test ») ; gardez une copie datée du résultat.
- Pré-enregistrer l'entité sur le même portail. L'article 3, paragraphe 4, liste les informations attendues (nom, coordonnées, plages IP, secteur).
- Documenter la qualification : secteur, type d'entité, effectif, chiffre d'affaires, bilan, périmètre du groupe, date.
- Mesurer l'écart avec une auto-évaluation sur les dix mesures de l'article 21, puis un plan d'action sur 90 jours.
Questions fréquentes
Mon entreprise compte 45 personnes mais réalise 15 millions d'euros de chiffre d'affaires : est-elle concernée ?
Tout dépend du bilan : sous 50 personnes, vous n'êtes moyenne entreprise que si le chiffre d'affaires et le bilan dépassent tous deux 10 millions d'euros (recommandation 2003/361/CE, annexe, article 2). Sinon, hors champ sauf cas particulier ou désignation.
Nous sommes fournisseur d'une entité essentielle sans appartenir à un secteur listé : sommes-nous soumis ?
Pas directement. Mais l'article 21, paragraphe 2, point d), impose à vos clients de traiter « la sécurité de la chaîne d'approvisionnement », y compris avec leurs fournisseurs directs : attendez-vous à des exigences contractuelles, sans supervision de l'ANSSI.
La loi française n'est pas votée : faut-il attendre ?
Non. Les obligations et leurs délais dépendront de la loi et de ses décrets d'application, mais le test et le pré-enregistrement de l'ANSSI sont déjà ouverts et les dix mesures de l'article 21 relèvent d'une hygiène que tout dirigeant peut engager.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022, articles 2, 3, 21 et 41, annexes I et II ; recommandation 2003/361/CE du 6 mai 2003, annexe, articles 2 et 3 (EUR-Lex).
- ANSSI, MonEspaceNIS2 (messervices.cyber.gouv.fr/nis2, consulté le 19 octobre 2026).
- Sénat, texte adopté n° 78 du 12 mars 2025, articles 7 à 10 ; Assemblée nationale, texte de la commission spéciale du 10 septembre 2025 (rapport n° 1779), article 8, et relevés de la Conférence des présidents des 6 et 13 octobre 2026.