NIS2 : Quelles Entreprises Concernées ?

1. Qui est concerné par NIS2 ? Les critères d'éligibilité

La directive NIS2 représente un changement d'échelle majeur pour la cybersécurité européenne et française. Là où la première directive NIS ne concernait qu'environ 500 Opérateurs de Services Essentiels (OSE) en France, NIS2 élargit considérablement son périmètre pour toucher plus de 15 000 entités. Cette multiplication par 30 du nombre d'organisations régulées traduit la volonté européenne de renforcer la résilience cyber à l'échelle du continent.

1.1 Les critères de taille déterminants

L'éligibilité à NIS2 repose principalement sur deux facteurs : le secteur d'activité et la taille de l'organisation. Les seuils dimensionnels sont clairement définis par la directive et constituent le premier filtre d'identification des entités concernées.

Pour être qualifiée d'entité essentielle, une organisation doit opérer dans un secteur hautement critique (Annexe I de la directive) ET répondre à au moins un des critères suivants : employer 250 salariés ou plus, réaliser un chiffre d'affaires annuel supérieur à 50 millions d'euros, ou présenter un bilan annuel dépassant 43 millions d'euros.

Les entités importantes regroupent les organisations de taille intermédiaire : entre 50 et 249 employés, un chiffre d'affaires compris entre 10 et 50 millions d'euros, ou un bilan annuel situé entre 10 et 43 millions d'euros. Ces entités peuvent relever soit des secteurs hautement critiques (Annexe I) soit des secteurs critiques (Annexe II).

1.2 L'auto-évaluation obligatoire

Contrairement à NIS1 où l'ANSSI désignait directement les OSE, NIS2 impose aux organisations de s'auto-évaluer pour déterminer leur éligibilité. Cette responsabilité incombe à chaque entité, qui doit analyser ses activités au regard des critères sectoriels et dimensionnels de la directive.

L'ANSSI a déployé le portail MonEspaceNIS2 pour faciliter cette démarche. En quelques minutes, le simulateur d'éligibilité permet d'obtenir une première indication sur votre statut potentiel. Le pré-enregistrement volontaire est d'ores et déjà possible, permettant aux organisations d'anticiper leurs obligations futures.

2. Les 18 secteurs couverts par la directive

NIS2 structure les secteurs concernés en deux annexes distinctes, reflétant leur niveau de criticité pour le fonctionnement de la société et de l'économie européennes. Cette classification détermine directement le statut des entités (essentielle ou importante) et donc le niveau d'exigences applicables.

2.1 Les secteurs hautement critiques (Annexe I)

Les 11 secteurs hautement critiques de l'Annexe I peuvent abriter des entités essentielles. Leur compromission aurait des conséquences systémiques sur le fonctionnement national ou européen.

Complètent cette liste l'espace (opérateurs d'infrastructures terrestres de soutien aux services spatiaux) et les services postaux et d'expédition pour certaines catégories.

2.2 Les autres secteurs critiques (Annexe II)

Les 7 secteurs de l'Annexe II ne peuvent abriter que des entités importantes, jamais des entités essentielles (sauf cas particuliers de désignation nationale). Ces secteurs présentent une criticité moindre mais restent stratégiques.

• Services postaux et d'expédition : prestataires de services postaux et de courrier express
• Gestion des déchets : collecte, traitement, recyclage des déchets
• Produits chimiques : fabrication, production et distribution de substances chimiques
• Denrées alimentaires : production, transformation et distribution alimentaire à grande échelle
• Fabrication : dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules automobiles
• Fournisseurs numériques : places de marché en ligne, moteurs de recherche, réseaux sociaux
• Recherche : organismes de recherche (selon définition nationale)

3. Entités essentielles vs entités importantes : les différences clés

La distinction entre entités essentielles (EE) et entités importantes (EI) ne se limite pas à une simple classification administrative. Elle détermine le niveau de supervision, l'intensité des contrôles et le montant des sanctions applicables. Comprendre cette différence est crucial pour calibrer correctement votre programme de conformité.

3.1 Tableau comparatif des deux catégories

3.2 La supervision différenciée

La principale différence opérationnelle réside dans le mode de supervision. Les entités essentielles font l'objet d'une surveillance proactive par l'ANSSI : audits de conformité planifiés, inspections sur site, demandes d'information régulières. Cette supervision continue vise à garantir un niveau de sécurité constant.

Les entités importantes bénéficient d'une approche plus légère, dite a posteriori. L'ANSSI n'intervient qu'en cas d'incident significatif, de signalement tiers ou d'indice de non-conformité. Cette différence de traitement ne doit cependant pas être interprétée comme une moindre exigence : les obligations de fond restent substantielles.

3.3 Les sanctions graduées

Le régime de sanctions reflète la criticité différenciée des deux catégories. Pour les entités essentielles, les amendes administratives peuvent atteindre 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce niveau de sanction s'aligne sur le RGPD et témoigne de la volonté du législateur européen d'imposer une pression dissuasive forte.

Les entités importantes s'exposent à des sanctions maximales de 7 millions d'euros ou 1,4% du chiffre d'affaires mondial. Si ces montants restent conséquents, l'écart avec les EE traduit une graduation proportionnelle à l'impact potentiel d'une défaillance.

4. Les obligations de conformité NIS2

L'ANSSI élabore un référentiel national traduisant les articles 20 et 21 de la directive en objectifs de sécurité concrets. Ce référentiel prévoit 20 objectifs pour les entités essentielles et 15 pour les entités importantes, organisés autour de mesures proportionnées aux risques identifiés.

4.1 Les mesures de gouvernance

La directive place la gouvernance cyber au niveau stratégique de l'organisation. Les organes de direction doivent approuver et superviser activement les mesures de gestion des risques cyber. Cette responsabilisation des dirigeants constitue un changement culturel majeur pour de nombreuses organisations.

Les exigences de gouvernance comprennent la désignation d'un responsable de la sécurité des systèmes d'information, la définition d'une politique de sécurité formalisée, l'allocation de ressources dédiées à la cybersécurité, et la mise en place d'indicateurs de pilotage remontés au comité de direction.

4.2 Les mesures techniques et organisationnelles

Le référentiel ANSSI couvre l'ensemble du spectre de la sécurité des systèmes d'information. Les principales familles de mesures incluent l'analyse des risques documentée et régulièrement mise à jour, la gestion des incidents avec capacités de détection, réponse et journalisation, la continuité d'activité via PCA/PRA et sauvegardes immuables.

S'ajoutent la sécurité de la chaîne d'approvisionnement avec évaluation des fournisseurs critiques, le contrôle d'accès basé sur les rôles (RBAC), l'authentification multifacteurs obligatoire pour les accès sensibles, le chiffrement des données sensibles au repos et en transit, et la formation continue du personnel aux bonnes pratiques cyber.

4.3 La notification d'incidents : des délais stricts

Le régime de notification constitue l'une des obligations les plus contraignantes de NIS2. Les délais sont impératifs et s'appliquent dès la détection d'un incident significatif.

L'alerte précoce sous 24 heures doit être transmise à l'ANSSI après détection. Elle précise la nature de l'incident, les impacts perçus et toute suspicion d'acte malveillant. La notification détaillée sous 72 heures met à jour les informations initiales, évalue la gravité et fournit les indicateurs de compromission identifiés. Le rapport final sous 1 mois documente la cause probable, les mesures d'atténuation déployées et l'éventuel impact transfrontalier.

5. Calendrier et étapes de mise en conformité

La transposition française de NIS2 a pris du retard. La loi Résilience (PRMD2412608L), qui transpose conjointement NIS2, la directive REC et le volet DORA, a été adoptée par le Sénat en mars 2025 et validée en commission à l'Assemblée en septembre 2025, mais reste bloquée en attente d'inscription à l'ordre du jour. Ce retard a valu à la France un avis motivé de la Commission européenne en mai 2025.

5.1 Le calendrier prévisionnel français

5.2 Les 5 étapes de votre feuille de route

5.3 Les coûts de mise en conformité

L'ANSSI estime les coûts de mise en conformité initiale entre 100 000 et 200 000 euros pour les entités importantes, et entre 450 000 et 880 000 euros pour les entités essentielles. Ces montants varient selon la maturité cyber existante, la complexité du SI et le secteur d'activité.

Au-delà de l'investissement initial, prévoyez environ 10% de ces montants en coûts annuels de maintien : mises à jour des outils, formations, audits périodiques, veille réglementaire. L'investissement anticipé reste néanmoins la stratégie la plus rationnelle face à des sanctions pouvant atteindre 2% du chiffre d'affaires mondial.

6. Outils et ressources pour se préparer

Malgré le retard de transposition, l'ANSSI a déployé un écosystème complet d'outils pour accompagner les entités dans leur préparation. Ces ressources sont accessibles gratuitement et permettent d'anticiper efficacement la conformité.

6.1 MonEspaceNIS2 : le portail de référence

Accessible depuis le 24 novembre 2025 à l'adresse monespacenis2.cyber.gouv.fr, ce portail constitue le point d'entrée officiel pour toutes les entités concernées par NIS2. Il propose un simulateur d'éligibilité permettant en 5-10 minutes d'obtenir une première indication sur votre statut, un formulaire de pré-enregistrement volontaire pour anticiper l'enregistrement obligatoire, et une FAQ détaillée répondant aux questions les plus fréquentes.

6.2 MesServicesCyber : la plateforme unifiée

Lancée en avril 2025, la plateforme MesServicesCyber (messervices.cyber.gouv.fr) centralise l'ensemble des services de l'ANSSI destinés aux organisations.

• MonAideCyber : diagnostic cyber gratuit de 2 heures avec un prestataire référencé
• SILENE : cartographie d'exposition externe de votre surface d'attaque
• ADS : audit automatisé de la sécurité Active Directory
• CERT-FR : déclaration d'incidents et alertes de sécurité

6.3 Le dispositif 17CYBER

Lancé le 17 décembre 2024 en partenariat avec la Police et la Gendarmerie, le guichet 17CYBER oriente les victimes de cyberattaques vers l'assistance technique et judiciaire appropriée. Ce service est particulièrement utile pour les ETI et PME ne disposant pas de RSSI dédié.

6.4 Formations et certifications

Le Campus Cyber à La Défense propose plusieurs programmes certifiants : NIS2 Lead Implementer HS2 (5 jours), formations De Vinci Executive Education (2 jours), parcours CNPP, Clusif et IFACI. Le CESIN rapporte dans son 11e baromètre de janvier 2026 que 59% des entreprises citent NIS2 comme réglementation structurante.

6.5 Articulation avec les autres réglementations

NIS2 s'inscrit dans un cadre réglementaire européen plus large qu'il convient de maîtriser. Pour le secteur financier, DORA constitue une lex specialis : les 21 types d'entités financières appliquent ce règlement (en vigueur depuis le 17 janvier 2025) plutôt que NIS2. DORA impose d'ailleurs des délais plus stricts avec une alerte initiale sous 4 heures.

Un incident impliquant des données personnelles nécessite une double notification : à l'ANSSI sous 24h/72h au titre de NIS2, et à la CNIL sous 72h au titre du RGPD. Le Cyber Resilience Act (CRA), applicable le 11 décembre 2027, complète NIS2 en ciblant la sécurité des produits connectés.