NIS2 : qui est concerné ? Comment savoir si votre entreprise l'est

NIS2 : qui est concerné ? Selon la directive, une entreprise entre en principe dans le périmètre si elle exerce une activité listée dans l’un des 18 secteurs du texte et si elle compte au moins 50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan. Certaines entités sont visées quelle que soit leur taille. En France, la loi de transposition n’est pas encore adoptée.

Cette page est le point d’entrée de notre série sur le périmètre de NIS2. Elle donne la méthode complète en quatre questions, puis renvoie vers un article dédié pour chaque cas particulier.

Où en est NIS2 en France, au 17 octobre 2026

La directive (UE) 2022/2555, dite NIS2, devait être transposée par les États membres au plus tard le 17 octobre 2024 (article 41). La France ne l’a pas encore fait :

• le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 ;
• la commission spéciale de l’Assemblée nationale a adopté son texte le 10 septembre 2025 ;
• l’examen en séance publique, prévu les 7 et 9 octobre 2026, a été retiré de l’ordre du jour le 6 octobre 2026, sans nouvelle date à ce jour ;
• la Commission européenne a saisi la Cour de justice de l’UE contre la France, avec l’Irlande, l’Espagne et les Pays-Bas, le 8 juillet 2026, pour défaut de transposition.

Concrètement, les obligations prévues par la future loi française ne sont pas encore en vigueur. Mais les critères de périmètre sont fixés par la directive elle-même, et le projet de loi les reprend. Il est donc déjà possible de se faire une première idée, et l’ANSSI invite les entités à s’y préparer sans attendre.

Question 1 : votre activité figure-t-elle dans un des 18 secteurs ?

NIS2 ne vise pas « toutes les entreprises ». Elle vise des types d’entités listés dans deux annexes :

• Annexe I, 11 secteurs hautement critiques : énergie, transports, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (interentreprises), administration publique, espace.
• Annexe II, 7 autres secteurs critiques : services postaux et d’expédition, gestion des déchets, produits chimiques, production et distribution alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules, autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.

C’est le critère le plus sous-estimé. Un fabricant de machines industrielles, un grossiste alimentaire ou un infogérant peuvent entrer dans ces annexes sans s’être jamais pensés « opérateurs critiques ». Le détail des secteurs et sous-secteurs est dans notre article Quels secteurs sont couverts par NIS2 ?.

Selon la directive, une entité dont aucune activité n’entre dans ces annexes n’est pas directement visée. Elle peut toutefois être concernée par ricochet, via ses clients (voir question 4).

Question 2 : dépassez-vous les seuils de taille ?

Si votre activité figure dans une annexe, la taille décide. NIS2 s’applique aux entités qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE (article 2, paragraphe 1, de la directive). En pratique, les seuils retenus sont :

• 50 salariés ou plus, ou
• plus de 10 millions d’euros de chiffre d’affaires annuel et plus de 10 millions d’euros de total de bilan.

Les effectifs et montants se calculent en tenant compte des entreprises liées et partenaires, ce qui change tout pour une filiale de groupe. Tous les détails, avec des exemples, sont dans À partir de quelle taille NIS2 s’applique-t-elle ?.

Question 3 : êtes-vous dans un cas « quelle que soit la taille » ?

L’article 2, paragraphes 2 et 3, prévoit des entités concernées même en dessous des seuils :

• les fournisseurs de réseaux ou de services de communications électroniques publics ;
• les prestataires de services de confiance ;
• les registres de noms de domaine de premier niveau et les fournisseurs de services DNS ;
• l’entité qui est le seul fournisseur, dans un État membre, d’un service essentiel au maintien d’activités sociétales ou économiques critiques ;
• les entités dont la perturbation aurait un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou induirait un risque systémique ;
• les entités critiques désignées au titre de la directive (UE) 2022/2557, dite REC ;
• les entités de l’administration publique centrale.

Ces cas expliquent pourquoi une petite structure peut être concernée. Nous les détaillons dans NIS2 PME : une PME est-elle concernée par NIS2 ?.

Question 4 : êtes-vous essentiel, important, ou concerné indirectement ?

L’article 3 classe les entités du périmètre dans l’une de deux catégories :

• entité essentielle : en règle générale, une grande entreprise d’un secteur de l’annexe I, ou une entité désignée comme telle ;
• entité importante : toutes les autres entités du périmètre, notamment les moyennes entreprises de l’annexe I et toutes les entités de l’annexe II.

L’article 21 prévoit les mêmes mesures de sécurité pour les deux catégories. Ce qui change, selon la directive, c’est l’intensité de la supervision et le plafond des sanctions. Voir Quelle est la différence entre entité essentielle et entité importante ?.

Enfin, une organisation hors du périmètre qui travaille pour des entités qui y sont peut recevoir des exigences contractuelles : l’article 21 prévoit en effet que les entités concernées gèrent la sécurité de leur chaîne d’approvisionnement. Deux articles traitent ce sujet, selon votre position :

• côté client : Mes sous-traitants sont-ils soumis à NIS2 ?
• côté fournisseur : Suis-je concerné par NIS2 si mon client l’est ?

Le cas des infogérants et prestataires de services managés

Les fournisseurs de services gérés (MSP) et les fournisseurs de services de sécurité gérés (MSSP) figurent dans l’annexe I, secteur « gestion des services TIC ». Selon la directive, un infogérant qui atteint les seuils de taille entre donc en principe dans le périmètre. C’est un changement majeur par rapport à NIS1, qui ne les visait pas. Nous l’avons développé dans notre article Directive NIS2 : obligations, risques et leviers de croissance.

Les situations particulières

Plusieurs questions reviennent souvent une fois la méthode appliquée :

• Vous êtes une filiale d’un groupe étranger, ou vous avez des filiales hors de France ? La règle de rattachement dépend de votre activité. Voir NIS2 s’applique-t-elle aux filiales étrangères ?.
• Vous étiez opérateur de services essentiels (OSE) sous NIS1 ? Voir Quelle différence entre NIS1 et NIS2 ?.
• Vous êtes opérateur d’importance vitale (OIV) ? Voir NIS2 remplace-t-elle la LPM ?.
• Vous voulez savoir si votre entreprise s’est déjà signalée à l’ANSSI ? Voir Comment savoir si je suis déjà enregistré pour NIS2 ?.
• Vous hésitez encore ? Voir Que faire si je ne sais pas si je suis concerné par NIS2 ?.

Combien d’entités sont concernées en France ?

L’ANSSI indique que « plusieurs milliers d’entités réparties sur 18 secteurs d’activité » seront concernées. Les estimations publiées varient selon les sources, faute de recensement définitif : il est plus sûr de vérifier votre situation que de vous fier à un ordre de grandeur.

Un texte européen qui pourrait encore évoluer

Le 20 janvier 2026, la Commission européenne a proposé des modifications ciblées de NIS2 (proposition COM(2026) 13). Elles prévoient notamment une catégorie de « petites entreprises de taille intermédiaire » rattachée aux entités importantes, et des précisions sur les règles de compétence. Ces modifications sont en cours de discussion et ne s’appliquent pas aujourd’hui. Nous mettrons cette série à jour si elles sont adoptées.

Quatre profils et les questions qu’ils soulèvent

Ces profils illustrent la façon dont les critères se lisent. Ils ne valent pas qualification : seule une analyse de la situation réelle, avec le test de l’ANSSI et un conseil juridique, permet de conclure.

Une clinique privée de 120 salariés. Les prestataires de soins figurent dans l’annexe I, secteur santé, et l’effectif dépasse le seuil de 50 salariés. C’est typiquement un profil à examiner de près. Pour les entités concernées, l’article 23 prévoit une alerte précoce sous 24 heures après la prise de connaissance d’un incident important, ce qui suppose de pouvoir détecter un incident à toute heure, y compris la nuit ou le week-end.

Un infogérant de 35 salariés, filiale d’un groupe de 400 personnes. Pris isolément, il serait une petite entreprise. Mais la recommandation 2003/361/CE prévoit de tenir compte des entreprises liées, et l’infogérance relève de l’annexe I. La question du rattachement au groupe se pose donc, et le considérant 16 de la directive aborde l’indépendance des filiales. La manière dont la loi française traitera ce point n’est pas encore connue : c’est un cas limite à analyser avec un conseil juridique.

Un fabricant indépendant de pièces mécaniques de 30 salariés et 6 millions d’euros de chiffre d’affaires. La fabrication de machines figure dans l’annexe II, mais l’entreprise est sous les seuils et ne semble relever d’aucun cas particulier. La directive ne la vise donc pas directement. Des exigences de sécurité peuvent en revanche lui parvenir par contrat si elle livre un constructeur automobile ou un industriel de la santé.

Une agence de communication de 80 salariés. Son activité ne figure dans aucune annexe : la directive ne la vise pas directement, quelle que soit sa taille. Elle peut être concernée indirectement si elle gère, pour des clients régulés, des sites ou des comptes avec des accès privilégiés.

Ce que la méthode ne remplace pas

Cette grille aide à se repérer. Elle ne remplace pas :

• le test d’éligibilité de l’ANSSI, disponible sur MesServices (ex-MonEspaceNIS2), qui permet de vérifier si une entité est régulée et dans quelle catégorie ;
• l’analyse de votre conseil juridique pour les cas limites (groupes complexes, activités multiples, désignation par l’État) ;
• le texte de loi français définitif, qui pourra préciser certains points, notamment pour les collectivités territoriales.

Faire le point avec un expert

Savoir si vous êtes concerné n’est que la première étape. L’article 21 prévoit notamment des mesures de détection et de gestion des incidents, et l’article 23 des délais de notification courts. C’est le cœur du métier de Cyna : un SOC 24/7 opéré depuis la France et une équipe CERT, proposés par ses infogérants partenaires, qui portent la relation avec leurs clients. Cyna ne rend pas une entité conforme à NIS2 : la conformité dépend de l’ensemble des mesures prises par chaque organisation.

Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous : nous pourrons vous orienter vers un partenaire.

Questions fréquentes

NIS2 s'applique-t-elle déjà en France ?

Au 17 octobre 2026, la loi française de transposition n'est pas adoptée : les obligations qu'elle prévoira ne sont donc pas encore en vigueur en droit français. Le texte européen est connu, le projet de loi en reprend le périmètre, et l'ANSSI invite les entités à se préparer.

Les collectivités territoriales sont-elles concernées ?

La directive vise l'administration publique centrale et laisse chaque État décider pour les échelons régional et local (article 2, paragraphes 2 et 5). Le périmètre retenu pour les collectivités françaises dépendra de la loi définitive.

Faut-il être certifié ISO 27001 pour être en règle ?

Le texte de NIS2 n'impose pas de certification en tant que telle. Une démarche ISO 27001 peut aider à structurer les mesures de l'article 21. L'appréciation de la conformité d'une entité relève des autorités compétentes, et les cas particuliers se discutent avec un conseil juridique.

Une association ou un établissement public peut-il être concerné ?

Oui. NIS2 vise des entités publiques ou privées, quelle que soit leur forme juridique. Un hôpital public, une association gestionnaire d'établissements de santé ou un syndicat des eaux peuvent entrer dans le périmètre s'ils remplissent les critères.