Que faire si je ne sais pas si je suis concerné par NIS2 ?
Pas sûr d'être concerné par NIS2 ? Les étapes pour trancher : méthode en quatre questions, test de l'ANSSI, interlocuteurs et décision à documenter.
Commencez par la méthode en quatre questions : secteur, taille, cas particuliers, catégorie. Faites ensuite le test d’éligibilité de l’ANSSI sur sa plateforme MesServices. Si le doute persiste, sollicitez l’ANSSI via ses canaux de contact, votre conseil juridique ou votre fédération professionnelle. Dans tous les cas, documentez votre analyse et commencez à mettre en place les mesures de sécurité de base.
Cet article clôt notre série sur le périmètre de NIS2. La méthode complète est détaillée dans NIS2 : qui est concerné ?.
Étape 1 : rassembler les bonnes informations
La plupart des doutes viennent d’informations incomplètes. Avant toute analyse, réunissez :
- la liste de toutes vos activités, y compris secondaires, avec leurs codes NAF ;
- vos effectifs en équivalent temps plein, votre chiffre d’affaires et votre total de bilan des deux derniers exercices ;
- la structure de votre groupe : sociétés qui vous détiennent, sociétés que vous détenez, pourcentages ;
- les pays dans lesquels vous fournissez vos services.
Étape 2 : appliquer la méthode en quatre questions
- Une de vos activités figure-t-elle dans les annexes ? Voir Quels secteurs sont couverts par NIS2 ?.
- Dépassez-vous les seuils, groupe compris ? Voir À partir de quelle taille NIS2 s’applique-t-elle ?.
- Êtes-vous dans un cas visé quelle que soit la taille ? Voir NIS2 PME : une PME est-elle concernée par NIS2 ?.
- Quelle serait votre catégorie ? Voir Quelle est la différence entre entité essentielle et entité importante ?.
Étape 3 : faire le test d’éligibilité de l’ANSSI
L’ANSSI propose sur sa plateforme MesServices (anciennement MonEspaceNIS2) un test qui indique si votre entité est régulée et dans quelle catégorie. Il prend quelques minutes si vous avez préparé les informations de l’étape 1. Conservez le résultat.
Étape 4 : identifier la source du doute
Les doutes qui résistent au test relèvent presque toujours d’un de ces cas :
| Source du doute | Qui peut vous aider |
|---|---|
| Activité à la frontière d’un sous-secteur | L’ANSSI, via ses canaux de contact ; votre fédération professionnelle |
| Calcul des seuils dans un groupe complexe | Votre expert-comptable ; votre conseil juridique |
| Entité de plusieurs pays de l’UE | Votre conseil juridique ; l’autorité du pays concerné. Voir NIS2 s’applique-t-elle aux filiales étrangères ? |
| Ancien OSE ou OIV | L’ANSSI, qui vous connaît déjà. Voir NIS2 remplace-t-elle la LPM ? |
| Dépendance à la loi française non encore votée | Aucune réponse définitive avant l’adoption du texte : suivez le dossier législatif |
Votre infogérant peut aussi vous aider à rassembler les informations techniques et à préparer la suite.
Étape 5 : décider et documenter
Une fois l’analyse faite, rédigez une note courte : informations utilisées, raisonnement, conclusion, date. Faites-la valider par la direction. Elle vous servira si l’autorité ou un client vous interroge, et à refaire l’exercice quand votre situation évolue (croissance, rachat, nouvelle activité).
Si vous concluez que vous êtes concerné, l’ANSSI propose un pré-enregistrement sur la même plateforme. Voir Comment savoir si je suis déjà enregistré pour NIS2 ?.
Et si le doute persiste ?
Au 16 août 2026, la loi française n’est pas encore adoptée. Certaines réponses ne seront définitives qu’à sa publication. En attendant, une approche raisonnable consiste à se préparer comme si vous étiez concerné, sur les mesures de base :
- savoir détecter un incident et réagir vite ;
- sécuriser les accès, avec l’authentification multifacteur ;
- disposer de sauvegardes testées et d’un plan de continuité.
Ces mesures sont utiles quelle que soit la réponse finale. Elles répondent aussi aux attentes de vos clients s’ils sont eux-mêmes concernés : voir Suis-je concerné par NIS2 si mon client l’est ?.
Faire le point avec un expert
Vous voulez savoir où en est votre capacité à détecter et à traiter un incident ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous : nous pourrons vous orienter vers un partenaire.
Questions fréquentes
Combien de temps prend l'analyse ?
Pour une entreprise simple, quelques heures suffisent une fois les informations réunies. Pour un groupe avec plusieurs activités et pays, comptez plusieurs jours et l'appui d'un conseil.
Puis-je me tromper de bonne foi ?
Une analyse documentée et datée permet de retracer votre raisonnement et les informations dont vous disposiez. La manière dont une erreur d'appréciation serait traitée relève de l'autorité : si votre situation est ambiguë, mieux vaut en parler à votre conseil juridique ou à l'ANSSI que d'attendre.
Faut-il attendre la loi avant d'agir ?
Attendre est rarement payant. Les critères de périmètre sont connus, et les mesures les plus utiles demandent plusieurs mois de mise en place. Commencer par la détection, la sécurité des accès et les sauvegardes est utile quelle que soit la réponse finale.
Qui doit porter cette analyse dans l'entreprise ?
En général la direction, avec l'appui de la DSI, de la finance pour les seuils et du juridique. L'article 20 de NIS2 prévoit que les organes de direction approuvent les mesures de gestion des risques et en supervisent la mise en œuvre : il est donc logique de faire valider la conclusion à ce niveau.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.