NIS2 : quelles entreprises sont concernées par la directive ?
La Directive NIS2 élargit les règles européennes de cybersécurité bien au-delà des opérateurs d’infrastructures traditionnellement surveillés. Adoptée en 2022, elle vise des organisations publiques et privées dont les activités touchent des secteurs critiques, des services essentiels ou des chaînes d’approvisionnement importantes.
Pour savoir si une entreprise entre dans son périmètre, il faut examiner à la fois son activité, sa taille et certaines règles nationales. Une société peut aussi subir des exigences indirectes lorsqu’elle fournit un service à une entité régulée, même si elle ne relève pas elle-même de la directive.
Entreprises concernées par NIS2 : secteurs et critères d’éligibilité
Activité, taille et exceptions : les trois vérifications à effectuer
Le premier critère est le secteur dans lequel l’organisation exerce réellement son activité, et non la seule formulation de son objet social. Une société de services informatiques travaillant pour des opérateurs énergétiques doit donc examiner ses prestations concrètes et son éventuelle appartenance aux catégories réglementées.
Le deuxième critère concerne la taille de l’organisation. La directive s’appuie généralement sur la notion européenne de moyenne entreprise : au moins 50 salariés et, selon les règles de calcul applicables, un chiffre d’affaires annuel ou un total de bilan dépassant le seuil de 10 millions d’euros.
Ces repères ne suffisent cependant pas à établir seuls le statut juridique. Des règles particulières peuvent s’appliquer aux entités désignées par les autorités, à certains fournisseurs numériques, aux administrations publiques ou aux organisations dont une interruption aurait des conséquences importantes.
Une entreprise doit aussi calculer sa taille en tenant compte, lorsque les règles européennes l’exigent, des entreprises partenaires ou liées. Une filiale de petite taille ne peut donc pas toujours se fonder uniquement sur ses propres effectifs et ses comptes pour déterminer son éligibilité.
Une méthode pratique pour qualifier son organisation
Pour éviter une décision approximative, une PME peut réunir ses activités, ses effectifs, ses données financières et les informations sur ses liens capitalistiques. Elle compare ensuite ses activités aux secteurs des annexes I et II de la directive, puis vérifie les règles nationales applicables.
Cette analyse doit être documentée : une fiche de qualification décrivant les activités, les seuils d’effectifs, le chiffre d’affaires, le bilan et les éventuelles exceptions facilitera les échanges avec les autorités ou les clients. En cas de doute, l’entreprise peut solliciter un conseil spécialisé ou consulter les ressources officielles de l’ANSSI.
Voici les vérifications qui permettent de construire un premier diagnostic sans confondre activité commerciale et statut réglementaire.
Vérifications initiales du périmètre :
- Identification des services réellement fournis et des secteurs concernés
- Calcul des effectifs et des indicateurs financiers pertinents
- Examen des liens avec les sociétés partenaires ou liées
- Contrôle des éventuelles règles nationales de désignation
Selon la directive (UE) 2022/2555, la classification dépend de catégories sectorielles et de critères de taille, avec des exceptions prévues par le texte. Cette première qualification conduit naturellement à examiner les activités concrètes couvertes.
Les 18 secteurs NIS2 : exemples d’entreprises visées
Les secteurs hautement critiques de l’annexe I
Une fois le secteur identifié, il faut distinguer les activités des annexes I et II. L’annexe I regroupe des domaines dont une perturbation pourrait affecter largement la population, l’économie ou le fonctionnement des services essentiels.
Elle couvre l’énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l’eau potable et les eaux usées. S’y ajoutent les infrastructures numériques, les services TIC interentreprises, l’administration publique, l’espace ainsi que certains services postaux et d’expédition.
Dans l’énergie, le périmètre peut concerner des producteurs d’électricité, des gestionnaires de réseaux, des opérateurs gaziers ou des infrastructures de stockage. Pour les transports, il peut inclure des compagnies aériennes, des aéroports, des gestionnaires ferroviaires, des ports et certains acteurs du transport routier.
La santé ne se limite pas aux hôpitaux : des laboratoires, des fabricants de dispositifs médicaux et certains acteurs pharmaceutiques peuvent également être concernés. Dans le numérique, les fournisseurs de services cloud, les centres de données, les registres de noms de domaine et les prestataires DNS font partie des catégories à examiner.
Les secteurs de l’annexe II et les frontières de périmètre
L’annexe II ajoute sept secteurs importants pour la continuité économique et sociale. Elle comprend les services postaux et d’expédition, la gestion des déchets, la production et la distribution de produits chimiques, ainsi que la production, la transformation et la distribution de denrées alimentaires.
Elle vise aussi certaines activités manufacturières, notamment la fabrication de dispositifs médicaux, d’équipements électriques, de produits informatiques ou de véhicules. Les fournisseurs numériques et les organismes de recherche complètent cette liste, sous réserve des définitions et critères applicables à chaque activité.
Les intitulés sectoriels ne permettent pas toujours de trancher pour une entreprise diversifiée. Un fabricant de pièces peut relever d’une catégorie différente selon les produits, la fonction de ses sites et la définition précise retenue par les textes nationaux.
Selon la directive, les États membres peuvent aussi identifier certaines entités en dehors des seuils ordinaires lorsqu’elles jouent un rôle déterminant. L’application doit donc tenir compte de la réalité du service et des règles de transposition en vigueur dans le pays où l’entité est établie.
Le tableau ci-dessous donne des exemples d’activités à vérifier ; il ne remplace pas la qualification juridique de chaque organisation.
Exemples d’activités par secteur :
| Famille d’activités | Exemples à examiner | Annexe |
|---|---|---|
| Énergie et transports | Réseaux électriques, aéroports, infrastructures ferroviaires | I |
| Santé et eau | Hôpitaux, laboratoires, fournisseurs d’eau potable | I |
| Numérique et TIC | Cloud, centres de données, services DNS ou TIC managés | I |
| Déchets et alimentation | Traitement des déchets, transformation alimentaire | II |
| Industrie et recherche | Fabrication ciblée, organismes de recherche | II |
Ces distinctions prennent tout leur sens lorsqu’on les relie à la catégorie réglementaire : essentielle ou importante. Cette catégorie conditionne notamment la supervision et les sanctions susceptibles de s’appliquer.
Entités essentielles et entités importantes : seuils et différences
Comprendre les seuils d’effectifs et les critères de taille
La distinction entre entités essentielles et entités importantes n’est pas un simple classement de vocabulaire. Elle influence les modalités de contrôle, les obligations de notification et les plafonds de sanctions, mais ne modifie pas le besoin de gérer sérieusement les risques cyber.
Dans les secteurs de l’annexe I, les organisations de grande taille peuvent relever de la catégorie des entités essentielles. Les repères européens associés aux grandes entreprises comprennent généralement au moins 250 salariés, un chiffre d’affaires supérieur à 50 millions d’euros ou un total de bilan supérieur à 43 millions d’euros, selon les règles applicables.
Les entités de taille moyenne relevant des secteurs visés sont généralement susceptibles d’être classées comme entités importantes. Pour apprécier la taille, les critères de salariés et de données financières doivent être calculés selon la définition européenne des PME : les seuils financiers ne s’interprètent pas comme une simple alternative universelle détachée des règles de calcul.
Il serait donc trompeur de conclure qu’une entreprise est automatiquement concernée dès qu’elle dépasse l’un des seuils, ou qu’elle est automatiquement exclue lorsqu’elle reste en dessous. Le secteur, les liens capitalistiques, les dispositions nationales et les exceptions prévues par NIS2 doivent être examinés ensemble.
Supervision et sanctions : ce que change la catégorie
Les entités essentielles peuvent faire l’objet d’une supervision plus proactive, tandis que le contrôle des entités importantes est généralement davantage déclenché par des incidents ou des indices de non-conformité. Les autorités disposent néanmoins de pouvoirs de contrôle à l’égard des deux catégories.
Les plafonds prévus par la directive sont également différenciés. Pour une entité essentielle, l’amende administrative maximale peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ; pour une entité importante, le plafond est de 7 millions d’euros ou 1,4 %.
Ces montants sont des maximums européens, non des pénalités automatiques. La nature du manquement, sa durée, ses conséquences et les règles nationales d’application interviennent dans la détermination d’une sanction concrète.
Selon la directive, les organes de direction doivent approuver et superviser les mesures de gestion des risques. Pour les dirigeants, cette responsabilité suppose de comprendre les risques majeurs, d’allouer des moyens et de suivre les décisions de sécurité sans déléguer entièrement le sujet aux équipes techniques.
| Repère | Entité essentielle | Entité importante |
|---|---|---|
| Secteurs concernés | Principalement catégories de l’annexe I et cas désignés | Catégories des annexes I ou II selon taille et règles |
| Supervision | Approche généralement proactive | Approche souvent déclenchée par un événement ou un signalement |
| Amende maximale prévue | 10 millions d’euros ou 2 % du chiffre d’affaires mondial | 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial |
| Responsabilité de direction | Approbation et surveillance des mesures de cybersécurité | Approbation et surveillance des mesures de cybersécurité |
Connaître son statut permet de dimensionner l’effort, mais la conformité repose ensuite sur des mesures opérationnelles suivies et vérifiables.
Obligations réglementaires NIS2 : cybersécurité et notification
Gouvernance, gestion des risques et sécurité des systèmes
Pour les organisations concernées, NIS2 exige des mesures adaptées aux risques plutôt qu’une collection uniforme d’outils. L’analyse doit couvrir les systèmes informatiques, les processus métier, les prestataires et les conséquences possibles d’une interruption de service.
La directive prévoit notamment des politiques de gestion des risques, la réponse aux incidents, la continuité des activités et la reprise après sinistre. Elle traite aussi de la sécurité de la chaîne d’approvisionnement, du contrôle d’accès, de la cryptographie et de la formation à la cybersécurité.
Concrètement, une entreprise peut commencer par cartographier ses systèmes et ses fournisseurs critiques. Elle peut ensuite déterminer quels services doivent être restaurés en priorité, vérifier ses sauvegardes et tester la capacité des équipes à réagir lorsqu’un compte ou un serveur est compromis.
La sécurité des fournisseurs mérite une attention particulière : un prestataire qui héberge des données ou administre le réseau peut devenir un point d’entrée vers les opérations essentielles. Les contrats, les contrôles d’accès et les procédures de notification doivent donc correspondre au niveau de risque réel.
Signalement des incidents et organisation de la réponse
Lorsqu’un incident significatif survient, les entités concernées doivent respecter le dispositif de notification prévu par la directive et sa mise en œuvre nationale. Le calendrier européen prévoit une alerte précoce dans les 24 heures, puis une notification plus détaillée dans les 72 heures.
Un rapport final est ensuite attendu, en principe dans le mois suivant la notification de l’incident. Les délais commencent à courir selon les conditions prévues par le texte ; l’organisation doit donc définir à l’avance qui qualifie l’événement, qui contacte l’autorité compétente et qui rassemble les éléments techniques.
Une panne importante chez un opérateur de transport, une attaque par rançongiciel contre un hôpital ou une compromission d’un fournisseur cloud peuvent nécessiter une coordination rapide. Sans procédure préparée, les responsables risquent de perdre du temps à établir les faits alors que les systèmes restent exposés.
Planification des mesures de sécurité :
- Cartographie des services essentiels et des actifs numériques
- Analyse des risques et priorisation des scénarios d’incident
- Procédures de détection, d’escalade et de notification
- Tests réguliers des sauvegardes et de la continuité d’activité
- Évaluation des fournisseurs et sensibilisation des équipes
Selon le texte européen, la notification comprend plusieurs étapes afin de communiquer rapidement une première alerte, puis des informations plus complètes. Les entreprises doivent vérifier les modalités françaises applicables auprès des autorités compétentes, notamment de l’ANSSI.
Se préparer à NIS2 en France : diagnostic, calendrier et fournisseurs
Construire une feuille de route sans attendre une crise
Le calendrier juridique européen fixe au 17 octobre 2024 la date limite de transposition, avec une application des mesures nationales à partir du 18 octobre 2024. Pour une entreprise française, les obligations concrètes dépendent aussi des textes nationaux en vigueur et des précisions de l’autorité compétente.
La transposition française et les modalités de mise en œuvre ont connu des évolutions législatives. Les organisations ne devraient donc pas reprendre sans vérification des calendriers prévisionnels publiés auparavant : elles doivent consulter les textes officiels et les informations récentes de l’ANSSI.
Une démarche pragmatique commence par la qualification de l’entité, puis par un diagnostic des écarts entre les pratiques existantes et les exigences applicables. Le plan d’action peut prioriser les risques élevés, désigner des responsables, fixer des échéances réalistes et prévoir les moyens budgétaires nécessaires.
Les petites équipes peuvent avancer par étapes : inventorier les comptes à privilèges, protéger les accès distants, sécuriser les sauvegardes, formaliser le signalement interne et organiser un exercice de crise. Ces actions renforcent la résilience même si l’organisation n’est finalement pas directement assujettie.
Effet sur les sous-traitants et chaîne d’approvisionnement
Une société qui ne satisfait pas directement les critères de NIS2 peut néanmoins être touchée par les obligations de ses clients. Les entités régulées doivent intégrer la sécurité de leurs fournisseurs dans leur gestion des risques et peuvent demander des preuves de mesures, des délais de signalement ou des audits contractuels.
Par exemple, un éditeur de logiciel utilisé par un réseau de santé peut recevoir des questionnaires de sécurité, des clauses de notification d’incident et des exigences sur les mises à jour. Ces demandes ne signifient pas nécessairement que le fournisseur devient lui-même une entité NIS2 ; elles traduisent souvent une exigence contractuelle liée à la chaîne d’approvisionnement.
Il est utile de conserver des éléments concrets pour répondre aux clients : politique de sécurité, procédure d’incident, gestion des correctifs, inventaire des prestataires et résultats d’exercices. Des preuves proportionnées rassurent les partenaires et évitent de traiter chaque demande comme un chantier entièrement nouveau.
Les étapes suivantes offrent une base de travail adaptable à la taille et au niveau de risque de l’organisation.
Étapes de préparation des entreprises :
- Qualifier l’activité, la taille et le statut réglementaire
- Évaluer les risques sur les services et les systèmes prioritaires
- Attribuer les responsabilités à la direction et aux équipes opérationnelles
- Prioriser les mesures, les fournisseurs et les moyens de réponse
- Réviser les procédures après chaque test ou incident
La préparation gagne en efficacité lorsqu’elle relie conformité, continuité opérationnelle et attentes des clients. Une qualification documentée et des mesures testées donnent à l’entreprise une base solide pour répondre aux évolutions réglementaires.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
