La première question NIS2 n'est pas « quelles mesures mettre en place ? » mais « suis-je concerné, et à quel titre ? ». La directive NIS2 distingue deux statuts — entité essentielle et entité importante — et ce statut détermine le régime de supervision, le plafond des sanctions et, en pratique, l'urgence de votre mise en conformité.
Ce guide déroule le test de classification pas à pas. Il complète notre guide général NIS2 pour les PME.
Étape 1 — Votre secteur figure-t-il dans les annexes ?
NIS2 s'applique par secteur, listé dans deux annexes :
- Annexe I (secteurs hautement critiques) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique (DNS, cloud, datacenters, réseaux de diffusion de contenu…), gestion des services TIC (fournisseurs de services managés et de services de sécurité managés), administration publique, espace.
- Annexe II (autres secteurs critiques) : services postaux, gestion des déchets, produits chimiques, agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.
Si votre activité ne relève d'aucune annexe, vous êtes hors champ direct — mais vos clients régulés reporteront leurs exigences sur vous via l'article 21 (sécurité de la chaîne d'approvisionnement).
Étape 2 — Le seuil de taille
La règle générale (« size-cap ») : NIS2 vise les entreprises moyennes et grandes des secteurs listés, c'est-à-dire à partir de 50 salariés ou 10 M€ de chiffre d'affaires annuel.
- Grande entreprise (≥ 250 salariés, ou > 50 M€ de CA et > 43 M€ de bilan) dans un secteur de l'annexe I → entité essentielle.
- Moyenne entreprise (50–249 salariés) dans un secteur de l'annexe I → entité importante, sauf exceptions qui la font remonter en essentielle.
- Entreprise moyenne ou grande d'un secteur de l'annexe II → entité importante.
Étape 3 — Les cas particuliers qui ignorent la taille
Certaines activités sont couvertes quelle que soit la taille : fournisseurs de services DNS et registres de noms de domaine, prestataires de services de confiance, fournisseurs de réseaux ou de services de communications électroniques publics, ainsi que toute entité désignée comme critique par un État membre (entité unique fournissant un service essentiel, impact systémique potentiel…).
En France, l'ANSSI propose un test d'assujettissement en ligne, MonEspaceNIS2, qui applique la transposition nationale — c'est la référence à jour pour trancher votre cas.
Ce que la classification change concrètement
Les mesures de l'article 21 sont les mêmes pour les deux statuts. Ce qui diffère :
- Supervision : les entités essentielles sont supervisées ex ante (contrôles proactifs, audits, inspections) ; les entités importantes ex post (l'autorité intervient sur indice de manquement).
- Sanctions : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les essentielles ; 7 M€ ou 1,4 % pour les importantes.
- Responsabilité de la direction : dans les deux cas, les organes de direction approuvent les mesures, en supervisent la mise en œuvre et se forment — la conformité ne se délègue pas entièrement.
Les obligations de notification d'incident (alerte 24 h, notification 72 h, rapport final sous un mois) s'appliquent aux deux statuts.
Documenter votre classification
Que vous soyez essentiel, important ou hors champ, la conclusion mérite d'être écrite et justifiée : c'est la première pièce qu'un client, un assureur ou une autorité vous demandera. Le mémo doit tracer le secteur retenu, les effectifs et données financières, les cas particuliers examinés et la conclusion — datés et signés.
C'est exactement ce que produit Komplyo : notre évaluation inclut un questionnaire de classification NIS2 et génère le mémo d'assujettissement correspondant, aux côtés du tableau de couverture des mesures de l'article 21 et des procédures de notification 24 h/72 h. Le diagnostic NIS2 gratuit est le bon point de départ : en quelques minutes, vous savez où vous vous situez — et ce qui reste à faire.