À partir de quelle taille NIS2 s'applique-t-elle ?
À partir de quelle taille NIS2 s'applique-t-elle ? Seuils de 50 salariés et 10 millions d'euros, calcul des effectifs, groupes et filiales : exemples chiffrés.
NIS2 s’applique, dans les 18 secteurs visés, à partir de la moyenne entreprise : 50 salariés ou plus, ou plus de 10 millions d’euros de chiffre d’affaires et plus de 10 millions d’euros de bilan. Les effectifs et montants incluent les entreprises liées du groupe. Au-delà de 250 salariés, une entité de l’annexe I devient en principe entité essentielle.
Ce critère de taille s’applique après celui du secteur. Pour la méthode complète, voir NIS2 : qui est concerné ?.
La règle : les seuils de la recommandation européenne sur les PME
L’article 2, paragraphe 1, de la directive (UE) 2022/2555 renvoie aux définitions de la recommandation 2003/361/CE. Trois tailles comptent :
| Catégorie | Effectif | Et l’un des deux montants | Statut NIS2 (si secteur visé) |
|---|---|---|---|
| Petite entreprise | Moins de 50 | Chiffre d’affaires ou bilan inférieur ou égal à 10 M€ | Hors périmètre, sauf cas particuliers |
| Moyenne entreprise | Moins de 250 | Chiffre d’affaires inférieur ou égal à 50 M€ ou bilan inférieur ou égal à 43 M€ | Dans le périmètre, en principe entité importante |
| Grande entreprise | 250 ou plus | Ou chiffre d’affaires supérieur à 50 M€ et bilan supérieur à 43 M€ | Dans le périmètre : entité essentielle si annexe I, importante si annexe II |
Lecture pratique : selon ces définitions, une entreprise d’un secteur visé sort de la catégorie « petite entreprise », et entre donc en principe dans le périmètre, dès qu’elle a 50 salariés ou plus, ou dès que son chiffre d’affaires et son bilan dépassent tous les deux 10 millions d’euros.
Comment se calcule l’effectif
La recommandation compte l’effectif en unités de travail annuel (UTA) :
- un salarié à temps plein présent toute l’année compte pour 1 ; un temps partiel ou un salarié présent une partie de l’année compte au prorata ;
- sont inclus les salariés, les dirigeants-propriétaires et les associés exerçant une activité régulière ;
- les apprentis et les étudiants en formation professionnelle ne sont pas comptés.
Les données retenues sont celles du dernier exercice comptable clôturé. Le changement de catégorie n’est acquis que si le seuil est franchi deux exercices consécutifs (article 4 de l’annexe de la recommandation).
Le piège des groupes : entreprises liées et partenaires
C’est là que se jouent la plupart des erreurs. La recommandation prévoit d’agréger :
- 100 % des effectifs et montants des entreprises liées, en pratique celles que vous contrôlez ou qui vous contrôlent (détention de plus de 50 % des droits de vote, notamment) ;
- au prorata ceux des entreprises partenaires, détenues entre 25 % et 50 %.
Conséquence, selon cette règle : une filiale de 30 salariés d’un groupe de 600 salariés est en principe considérée comme une grande entreprise. Si elle exerce une activité de l’annexe I, elle entre en principe dans le périmètre.
La directive apporte une nuance. Son considérant 16 permet aux États membres de tenir compte du degré d’indépendance d’une entité vis-à-vis de son groupe, notamment lorsque ses réseaux et systèmes d’information sont indépendants. La manière dont la France l’appliquera dépendra de la loi de transposition, encore en discussion au 8 août 2026. Pour les groupes internationaux, voir aussi NIS2 s’applique-t-elle aux filiales étrangères ?.
Trois exemples
Ces exemples fictifs illustrent la lecture des seuils de la recommandation. Ils ne remplacent pas l’analyse d’une situation réelle, qui dépend aussi de la loi nationale de transposition et mérite d’être validée avec un conseil juridique.
| Entreprise | Secteur | Chiffres | Lecture selon les seuils |
|---|---|---|---|
| Fabricant d’équipements électriques indépendant | Annexe II | 40 salariés, CA 12 M€, bilan 8 M€ | Petite entreprise (bilan inférieur à 10 M€) : hors périmètre |
| Infogérant indépendant | Annexe I | 40 salariés, CA 15 M€, bilan 12 M€ | Moyenne entreprise : entité importante |
| Distributeur alimentaire en gros, filiale à 100 % d’un groupe | Annexe II | 30 salariés seul, 600 avec le groupe | Grande entreprise : entité importante |
Quand la taille ne compte pas
Certaines entités sont dans le périmètre même en dessous de 50 salariés : opérateurs de communications électroniques, prestataires de services de confiance, fournisseurs DNS, fournisseur unique d’un service essentiel, entités critiques désignées. Ces cas sont détaillés dans NIS2 PME : une PME est-elle concernée par NIS2 ?.
Et après la taille ?
Une fois le périmètre confirmé, la taille sert aussi à fixer votre catégorie. Voir Quelle est la différence entre entité essentielle et entité importante ?.
Bon à savoir : la proposition de modification de NIS2 publiée par la Commission européenne le 20 janvier 2026 prévoit une catégorie de « petites entreprises de taille intermédiaire » traitées comme entités importantes. Elle n’est pas adoptée à ce jour et ne change pas les seuils actuels.
Faire le point avec un expert
Vous êtes juste au-dessus des seuils et vous vous demandez comment répondre aux exigences de détection et de notification sans équipe dédiée ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Les intérimaires et les prestataires comptent-ils dans l'effectif ?
La recommandation compte les personnes qui travaillent pour l'entreprise et sont considérées comme salariées au regard du droit national. Les prestataires externes facturés par un autre employeur ne sont en principe pas comptés. En cas de doute, faites valider le calcul par votre expert-comptable.
Je viens de dépasser 50 salariés : suis-je concerné tout de suite ?
Selon l'article 4 de l'annexe de la recommandation 2003/361/CE, le changement de catégorie n'est acquis qu'après deux exercices consécutifs au-dessus du seuil. Votre conseil juridique peut confirmer votre situation. Anticipez néanmoins : les mesures de sécurité demandent plusieurs mois de mise en place.
Mon chiffre d'affaires dépasse 10 millions mais pas mon bilan : suis-je concerné ?
Pas sur ce seul critère, selon la recommandation européenne : avec moins de 50 salariés, une entreprise ne sort de la catégorie « petite entreprise » que si son chiffre d'affaires et son bilan dépassent tous les deux 10 millions d'euros.
Une association compte-t-elle comme une entreprise ?
Oui. La recommandation européenne considère comme entreprise toute entité exerçant une activité économique, quelle que soit sa forme juridique.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.