Êtes-vous concerné par NIS2 ? Le test en 6 questions

Vous êtes concerné par NIS2 si deux conditions se cumulent : votre activité entre dans l'un des 18 secteurs listés aux annexes I et II de la directive (UE) 2022/2555, et votre structure dépasse le seuil de la moyenne entreprise. Ce seuil, c'est 50 salariésou 10 millions d'euros de chiffre d'affaires et de bilan.

En dessous de ce double seuil, la directive ne s'applique pas à vous. Sauf si vous figurez sur une courte liste d'exceptions, valables quelle que soit la taille. Le test qui suit reprend ces critères question par question, dans l'ordre où je les vérifie moi-même quand un client me demande si ça le concerne.

Le test en six questions

Répondez par oui ou par non à chacune. Le verdict arrive juste après.

1. Votre secteur figure-t-il dans l'annexe I ou l'annexe II ?

L'annexe I de la directive liste 11 secteurs dits hautement critiques : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC en B2B, administration publique, espace.

L'annexe II en ajoute 7, dits critiques :

• services postaux et de courrier ;
• gestion des déchets ;
• fabrication et distribution de produits chimiques ;
• production et distribution alimentaire ;
• fabrication : dispositifs médicaux, informatique, électronique, machines, véhicules ;
• fournisseurs numériques : places de marché, moteurs de recherche, réseaux sociaux ;
• recherche.

La liste complète figure aux annexes de la directive (UE) 2022/2555 du 14 décembre 2022. Si votre activité n'y est pas, passez directement à la question 4 : rien n'est réglé pour autant.

2. Votre effectif atteint-il 50 salariés ?

Le seuil de taille renvoie à la recommandation 2003/361/CE sur les catégories d'entreprises. À partir de 50 salariés, vous sortez de la catégorie des petites entreprises, et c'est cette sortie qui déclenche NIS2 si le secteur correspond.

En dessous de 50, la question 3 vous offre une seconde porte d'entrée. Les deux critères jouent en « ou », pas en « et ».

3. Votre chiffre d'affaires ou votre bilan dépasse-t-il 10 millions d'euros ?

Même logique que la question précédente, version financière. Un chiffre d'affaires annuel ou un total de bilan supérieur à 10 millions d'euros suffit, indépendamment de l'effectif.

Une structure de 30 salariés qui réalise 15 millions d'euros de chiffre d'affaires répond donc oui ici, même après un non à la question 2.

4. Êtes-vous concerné indépendamment de votre taille ?

L'article 3 de la directive fixe une liste d'entités couvertes quels que soient leur effectif et leur chiffre d'affaires :

• les prestataires de services de confiance qualifiés au sens d'eIDAS ;
• les fournisseurs de noms de domaine et les registres de premier niveau ;
• les administrations publiques centrales ;
• le fournisseur unique d'un service jugé critique dans un État membre ;
• toute entité dont la perturbation aurait un impact significatif sur l'ordre public, la sécurité ou la santé publiques.

Un oui ici suffit à vous rendre concerné, même après trois non aux questions précédentes.

5. Êtes-vous fournisseur critique d'une entité déjà régulée ?

Cette question ne dit pas si vous êtes soumis à NIS2, mais si vous allez le sentir passer. L'article 21 impose aux entités essentielles et importantes de sécuriser leur chaîne d'approvisionnement.

En pratique, cela descend chez leurs prestataires sous forme de clauses contractuelles, d'audits et d'exigences de notification. Dans les missions où j'accompagne des sous-traitants IT de collectivités, c'est ce canal contractuel qui déclenche la mise en conformité, souvent des mois avant toute obligation légale directe.

6. Fournissez-vous des services dans l'Union européenne ?

NIS2 couvre les entités établies dans l'Union, mais aussi celles établies hors Union dès lors qu'elles y offrent des services dans un secteur couvert. L'article 26 les oblige alors à désigner un représentant dans un État membre où le service est fourni.

Un siège hors Union ne vous met donc pas hors périmètre si votre clientèle, elle, y est.

Le verdict : hors périmètre, entité importante, ou entité essentielle

Reprenez vos réponses, le classement tient en trois cas.

• Non aux questions 1 et 4: vous êtes probablement hors périmètre direct aujourd'hui. Regardez quand même la question 5, parce qu'un client régulé peut vous imposer une partie des exigences par contrat.
• Oui à la question 1, et oui à la question 2 ou 3 : vous êtes concerné, et le régime dépend du secteur et de la taille.
• Oui à la question 4 : vous êtes concerné indépendamment du reste, et le plus souvent classé entité essentielle malgré une taille modeste.

Dans le deuxième cas, la ligne de partage est nette. Secteur de l'annexe I avec au moins 250 salariés, ou un chiffre d'affaires supérieur à 50 millions d'euros, ou un bilan supérieur à 43 millions d'euros : vous êtes une entité essentielle. En dessous de ces seuils, ou dans un secteur de l'annexe II : vous êtes une entité importante.

La distinction n'a rien de cosmétique. Une entité essentielle est soumise à une supervision proactive de l'ANSSI, avec des contrôles possibles sans déclencheur particulier. Une entité importante n'est contrôlée qu'a posteriori, après un incident ou un signalement.

Les sanctions suivent la même hiérarchie (article 34). Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, jusqu'à 7 millions ou 1,4 % pour une entité importante. Dans les deux cas, c'est le montant le plus élevé qui est retenu.

Ce que ça change concrètement si vous êtes concerné

Trois obligations structurent le régime. Aucune ne dépend du texte français, qui reste à ce jour non promulgué.

• Article 21: dix mesures de gestion des risques, de la politique de sécurité et du traitement des incidents jusqu'à la cryptographie, l'authentification multifacteur et la sécurité de la chaîne d'approvisionnement.
• Article 23: une alerte précoce sous 24 heures après la détection d'un incident significatif, une notification complète sous 72 heures, un rapport final sous un mois.
• Article 20 : la responsabilité des organes de direction. Ils approuvent les mesures, suivent une formation, et peuvent être tenus pour responsables des manquements.

J'en détaille la traduction concrète dans le socle cyber bâti sur les recommandations PA-102 de l'ANSSI, qui recouvre une bonne partie de ces dix mesures pour les systèmes embarquant de l'IA.

Pourquoi je recommande de commencer avant le vote de la loi française

Le délai de transposition fixé par l'article 41 de la directive expirait le 17 octobre 2024. La France ne l'a toujours pas transposée à ce jour.

Le projet de loi Résilience, qui porte NIS2 en même temps que DORA et la directive REC, reste bloqué en première lecture à l'Assemblée nationale, après son adoption par le Sénat en mars 2025. Le tableau des mesures nationales de transposition tenu par la Commission européenne confirme ce retard mois après mois.

Le scénario que je vois revenir chez mes clients ETI, c'est l'attentisme : attendre le vote pour bouger, puis découvrir un délai d'enregistrement de quelques semaines une fois la loi promulguée, sans rien avoir préparé. Les dix mesures de l'article 21 ne dépendent pourtant pas du texte français, seulement du texte européen déjà en vigueur.

L'ANSSI propose d'ailleurs un service de préfiguration, MonEspaceNIS2, pour clarifier votre périmètre et préparer votre dossier avant l'entrée en vigueur du texte français.

Si votre système d'information touche d'autres textes, deux briques se recoupent largement avec NIS2. Elles portent sur la maîtrise de la sous-traitance et sur la juridiction applicable à vos données : la feuille de route AI Act en 6 étapes et le choix d'un hébergement en Union européenne.

Si le test vous classe entité importante ou essentielle, la première chose que je fais avec un client, c'est un état des lieux court pour prioriser les dix mesures de l'article 21 selon ce qui existe déjà. Prenez 30 minutes pour en parler: c'est suffisant pour cadrer le périmètre exact et la première action à mener.