Quelle est la différence entre entité essentielle et entité importante dans NIS2 ?
Entité essentielle ou importante dans NIS2 : comment se fait le classement, ce qui change pour la supervision et les sanctions, et ce qui reste identique.
Une entité essentielle est en règle générale une grande entreprise d’un secteur hautement critique (annexe I de NIS2), ou une entité désignée comme telle. Toutes les autres entités du périmètre sont des entités importantes. Les mesures de sécurité et les obligations de notification sont les mêmes. Ce qui diffère : la supervision, préventive ou seulement a posteriori, et le plafond des amendes.
Pour savoir d’abord si vous êtes dans le périmètre, voir NIS2 : qui est concerné ?.
Comment se fait le classement
L’article 3 de la directive (UE) 2022/2555 définit les entités essentielles :
- les entités de l’annexe I qui dépassent les plafonds des moyennes entreprises, c’est-à-dire en pratique 250 salariés ou plus, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions d’euros de bilan ;
- les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
- les fournisseurs de communications électroniques publics qui sont des moyennes entreprises ;
- les entités de l’administration publique centrale ;
- les entités désignées comme essentielles par l’État au titre des cas particuliers de l’article 2 ;
- les entités critiques désignées au titre de la directive REC (2022/2557) ;
- si l’État le prévoit, les anciens opérateurs de services essentiels désignés sous NIS1.
Sont entités importantes toutes les autres entités des annexes I et II qui entrent dans le périmètre. Concrètement :
- une moyenne entreprise d’un secteur de l’annexe I (par exemple un infogérant de 80 salariés) relève en principe, selon ces critères, des entités importantes ;
- une grande entreprise d’un secteur de l’annexe II (par exemple un industriel de l’agroalimentaire de 2 000 salariés) relève elle aussi, en principe, des entités importantes.
Ces exemples illustrent la lecture des critères de l’article 3 ; ils ne remplacent pas l’analyse d’une situation particulière, qui relève de l’autorité nationale et du conseil juridique de l’entité.
Ce qui est identique
| Obligation | Entité essentielle | Entité importante |
|---|---|---|
| Mesures de gestion des risques (article 21) | Oui | Oui |
| Responsabilité et formation des dirigeants (article 20) | Oui | Oui |
| Notification des incidents importants : alerte en 24 h, notification en 72 h, rapport final sous un mois (article 23) | Oui | Oui |
| Communication de ses informations à l’autorité (article 3, paragraphe 4) | Oui | Oui |
C’est le point le plus souvent mal compris : la directive ne prévoit pas de mesures de sécurité allégées pour les entités importantes.
Ce qui change
| Sujet | Entité essentielle | Entité importante |
|---|---|---|
| Supervision | Préventive et a posteriori : inspections sur place, audits réguliers et ciblés, scans de sécurité (article 32) | A posteriori uniquement, en cas d’indice de manquement (article 33) |
| Amende maximale | Au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 34) | Au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial |
| Mesures les plus lourdes | Suspension temporaire d’une certification ou d’une autorisation, interdiction temporaire d’exercer des fonctions de direction (article 32, paragraphe 5) | Non prévues |
Les montants d’amende sont des plafonds minimaux fixés par la directive : chaque loi nationale peut aller au-delà. En France, ils seront fixés par la loi de transposition, toujours en discussion au 7 août 2026.
Pourquoi la distinction compte en pratique
Pour une entité essentielle, la directive prévoit une supervision qui peut intervenir sans incident préalable. D’où l’intérêt de pouvoir montrer à tout moment que les mesures sont en place : politiques, journaux, preuves de détection et de traitement des incidents.
Pour une entité importante, le contrôle intervient le plus souvent après un incident ou un signalement. La capacité à montrer comment l’incident a été détecté, contenu et notifié devient alors décisive.
Dans les deux cas, une approche pragmatique est la même : documenter ce qui est fait, et chercher à détecter les incidents assez tôt pour être en mesure de respecter le délai de 24 heures prévu par le texte.
Peut-on changer de catégorie ?
Oui. Le classement dépend de la taille et de l’activité de l’entité, qui évoluent. L’article 3, paragraphe 3, prévoit que les États membres réexaminent leur liste d’entités au moins tous les deux ans. Une croissance, un rachat ou une nouvelle activité peuvent faire passer une entité d’une catégorie à l’autre. Les seuils sont détaillés dans À partir de quelle taille NIS2 s’applique-t-elle ?.
Faire le point avec un expert
Que vous soyez entité essentielle ou importante, détecter un incident à temps pour l’alerte précoce de 24 heures passe en pratique par une surveillance continue. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Qui décide de ma catégorie ?
Dans la plupart des cas, ce sont les critères de la directive qui la déterminent, et l'entité la renseigne lors de son enregistrement auprès de l'autorité. L'État peut aussi désigner une entité comme essentielle dans les cas particuliers de l'article 2. Le test d'éligibilité de l'ANSSI donne une indication de la catégorie probable ; pour un cas précis, votre conseil juridique reste la référence.
Une entité importante peut-elle être contrôlée sans incident ?
Le contrôle d'une entité importante est déclenché par des éléments indiquant un manquement (article 33). Un signalement, une plainte ou des informations issues d'un incident chez un tiers peuvent suffire.
Les dirigeants d'une entité importante sont-ils responsables ?
L'article 20 de la directive vise les deux catégories : il prévoit que la direction approuve les mesures, en supervise la mise en œuvre et suive une formation. L'interdiction temporaire d'exercer des fonctions de direction, prévue à l'article 32, ne concerne que les entités essentielles.
La catégorie change-t-elle les délais de notification ?
Non. L'article 23 prévoit les mêmes délais pour les deux catégories : alerte précoce en 24 heures, notification en 72 heures et rapport final sous un mois.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.