NIS2 s'applique-t-elle aux filiales étrangères ?

Selon la directive, oui pour les filiales établies dans l’Union européenne. Chacune relève en principe de la loi NIS2 du pays où elle est établie, et sa taille se calcule avec celle du groupe. Exception : les fournisseurs de services numériques (cloud, infogérance, DNS, centres de données…) relèvent du pays de leur établissement principal dans l’UE. Les filiales hors UE ne sont pas soumises à NIS2.

Pour la méthode générale, voir NIS2 : qui est concerné ?.

La règle générale : le pays d’établissement

L’article 26 de la directive (UE) 2022/2555 pose le principe : une entité relève de la compétence de l’État membre dans lequel elle est établie. Une filiale étant une personne morale distincte, elle est soumise à la loi de transposition de son propre pays.

Appliquée à un groupe, cette règle conduit en principe au schéma suivant :

• une filiale établie en Allemagne relève de la loi allemande, une filiale établie en Espagne de la loi espagnole ;
• la filiale française d’un groupe américain ou suisse relève de la loi française, comme n’importe quelle entreprise établie en France.

Les critères de périmètre (secteurs, seuils) sont communs, car fixés par la directive. Mais les modalités varient d’un pays à l’autre : autorité compétente, plateforme d’enregistrement, montant des sanctions, éventuelles extensions de périmètre. Au 12 août 2026, la France n’a pas encore adopté sa loi, alors que la plupart des autres États membres l’ont fait.

L’exception des services numériques : l’établissement principal

Pour certains types d’entités, la directive applique une règle différente (article 26, paragraphe 1, point b). Sont rattachés à l’État de leur établissement principal dans l’Union :

• les fournisseurs de services DNS, registres de noms de domaine et services d’enregistrement de noms de domaine ;
• les fournisseurs de services d’informatique en nuage, de centres de données et de réseaux de diffusion de contenu ;
• les fournisseurs de services gérés (MSP) et de services de sécurité gérés (MSSP) ;
• les places de marché en ligne, moteurs de recherche en ligne et plateformes de réseaux sociaux.

L’établissement principal est l’État où sont principalement prises les décisions relatives aux mesures de gestion des risques de cybersécurité. À défaut, c’est celui où les opérations de cybersécurité sont menées, puis celui qui compte le plus de salariés dans l’Union (article 26, paragraphe 2).

Pour un groupe d’infogérance présent dans plusieurs pays, cela peut signifier un seul régulateur principal pour l’ensemble des activités visées.

Les opérateurs de communications électroniques suivent encore une autre règle : ils relèvent de chaque État où ils fournissent leurs services (article 26, paragraphe 1, point a).

Les entreprises hors UE qui servent le marché européen

L’article 26, paragraphe 3, prévoit qu’un fournisseur de services numériques de la liste ci-dessus, établi hors de l’Union mais qui propose ses services dans l’Union, désigne un représentant dans un État membre où il opère. Il relève alors de cet État.

La taille se calcule au niveau du groupe

C’est le point qui fait entrer de nombreuses petites filiales dans le périmètre. Les seuils NIS2 reprennent la définition européenne des PME, qui agrège les effectifs et montants des entreprises liées. Selon cette définition, une filiale de 20 salariés d’un groupe international de 5 000 salariés peut ainsi être comptée comme une grande entreprise.

Le considérant 16 de la directive permet aux États de tenir compte de l’indépendance de la filiale, notamment si ses systèmes d’information sont indépendants de ceux du groupe. L’application de cette nuance dépend de chaque loi nationale. Le détail du calcul est dans À partir de quelle taille NIS2 s’applique-t-elle ?.

Et les filiales hors de l’Union ?

Une filiale établie au Maroc, au Royaume-Uni ou aux États-Unis n’est pas soumise à NIS2. Mais si elle est connectée au système d’information du groupe, elle fait partie de la surface d’attaque des entités européennes régulées. En pratique, le groupe a donc intérêt à l’inclure dans ses mesures de sécurité et de détection. Les relations avec elle relèvent aussi de la sécurité de la chaîne d’approvisionnement : voir Mes sous-traitants sont-ils soumis à NIS2 ?.

Conseils pour un groupe multi-pays

1. Recenser chaque entité juridique du groupe, son pays, ses activités et sa catégorie probable.
2. Identifier les entités relevant de la règle de l’établissement principal.
3. Harmoniser un socle de mesures commun au niveau du groupe, puis ajuster aux exigences de chaque pays.
4. Organiser la notification des incidents : qui notifie, à quelle autorité, dans quel pays, en tenant compte des délais de l’article 23 (alerte précoce sous 24 heures).

Pour l’analyse de la situation de chaque entité, appuyez-vous sur votre conseil juridique : les lois de transposition peuvent différer sur des points de détail.

Bon à savoir : la proposition de modification de NIS2 publiée par la Commission le 20 janvier 2026 prévoit de clarifier les règles de compétence. Elle n’est pas adoptée à ce jour.

Faire le point avec un expert

Une surveillance unifiée de vos filiales simplifie la détection et la notification des incidents dans chaque pays. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Le siège peut-il notifier les incidents pour toutes les filiales ?

L'organisation peut être centralisée, mais la directive rattache chaque entité à l'autorité compétente de son pays, et c'est à cette autorité que les notifications sont adressées, dans les délais prévus par l'article 23. Il est utile de prévoir qui fait quoi, pays par pays, avec votre conseil juridique.

Une filiale française d'un groupe britannique est-elle concernée ?

Selon l'article 26 de la directive, une entité établie en France relève de la loi française, et la définition européenne des PME, reprise par NIS2, agrège la taille des entreprises liées, même si la société mère est hors de l'Union. L'analyse d'un cas précis relève de votre conseil juridique.