Quels secteurs sont couverts par NIS2 ?
Quels secteurs sont couverts par NIS2 ? La liste complète des 18 secteurs et de leurs sous-secteurs, annexe I et annexe II, avec les pièges les plus courants.
NIS2 couvre 18 secteurs, répartis en deux annexes de la directive (UE) 2022/2555. L’annexe I liste 11 secteurs hautement critiques, dont l’énergie, la santé, les transports et les infrastructures numériques. L’annexe II liste 7 autres secteurs critiques, dont l’industrie manufacturière, l’agroalimentaire et la gestion des déchets. Être dans un secteur ne suffit pas : la taille compte aussi.
Le secteur n’est que le premier des quatre critères de périmètre. Pour la méthode complète, voir notre article pilier NIS2 : qui est concerné ?.
Annexe I : les 11 secteurs hautement critiques
| Secteur | Exemples de types d’entités visés |
|---|---|
| Énergie | Électricité (production, transport, distribution, fourniture, bornes de recharge), réseaux de chaleur et de froid, pétrole, gaz, hydrogène |
| Transports | Compagnies aériennes, aéroports, gestionnaires d’infrastructures ferroviaires, entreprises ferroviaires, transport maritime et ports, autorités routières, systèmes de transport intelligents |
| Banques | Établissements de crédit |
| Infrastructures des marchés financiers | Plateformes de négociation, contreparties centrales |
| Santé | Prestataires de soins, laboratoires de référence de l’UE, recherche et développement de médicaments, fabrication de produits pharmaceutiques de base, fabrication de dispositifs médicaux critiques en cas d’urgence de santé publique |
| Eau potable | Fournisseurs et distributeurs d’eau destinée à la consommation humaine |
| Eaux usées | Collecte, évacuation et traitement des eaux usées urbaines, domestiques ou industrielles |
| Infrastructures numériques | Points d’échange internet, fournisseurs DNS, registres de noms de domaine, informatique en nuage, centres de données, réseaux de diffusion de contenu, prestataires de services de confiance, opérateurs de communications électroniques |
| Gestion des services TIC (interentreprises) | Fournisseurs de services gérés (MSP), fournisseurs de services de sécurité gérés (MSSP) |
| Administration publique | Administrations centrales, et administrations régionales selon le choix de chaque État |
| Espace | Exploitants d’infrastructures terrestres qui soutiennent des services spatiaux |
Annexe II : les 7 autres secteurs critiques
| Secteur | Exemples de types d’entités visés |
|---|---|
| Services postaux et d’expédition | Prestataires de services postaux, y compris les services d’expédition |
| Gestion des déchets | Entreprises dont la gestion des déchets est l’activité principale |
| Produits chimiques | Fabrication, production et distribution de substances et de mélanges |
| Production, transformation et distribution de denrées alimentaires | Entreprises de distribution en gros et de production et transformation industrielles |
| Fabrication | Dispositifs médicaux et de diagnostic in vitro, produits informatiques, électroniques et optiques, équipements électriques, machines et équipements, véhicules automobiles et remorques, autres matériels de transport |
| Fournisseurs numériques | Places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux |
| Recherche | Organismes de recherche |
Les pièges les plus fréquents
Raisonner par « secteur d’activité » au sens large. La directive vise des types d’entités précis. Dans l’alimentaire, par exemple, seules la distribution en gros et la production industrielle sont visées : un commerce de détail ne l’est pas. Dans les déchets ou l’eau, l’activité doit être principale ou essentielle à l’entreprise.
Oublier ses activités secondaires. Une entreprise de services qui exploite aussi un centre de données pour ses clients, ou une industrie qui fabrique des équipements électriques en plus de son cœur de métier, peut entrer dans le périmètre par cette seconde activité.
Penser que le numérique ne concerne que les géants. Le secteur « gestion des services TIC » vise les infogérants et les MSSP de taille moyenne. C’est l’une des nouveautés majeures par rapport à NIS1, détaillée dans Quelle différence entre NIS1 et NIS2 ?.
Confondre annexe et catégorie. L’annexe ne dit pas à elle seule si une entité est essentielle ou importante. Selon l’article 3 de la directive, une moyenne entreprise d’un secteur de l’annexe I est en principe classée entité importante, sauf cas particuliers prévus par le texte. Voir Quelle est la différence entre entité essentielle et entité importante ?.
Et si mon secteur n’est pas dans la liste ?
En principe, la directive ne vise alors pas directement votre entreprise. Deux points de vigilance toutefois, et en cas de doute sur une situation précise, votre conseil juridique reste le bon interlocuteur :
- un État membre peut, lors de la transposition, étendre le texte à d’autres entités, par exemple aux collectivités locales ou aux établissements d’enseignement (article 2, paragraphe 5) ;
- si vos clients sont dans le périmètre, ils vous demanderont probablement des éléments sur votre sécurité. Voir Suis-je concerné par NIS2 si mon client l’est ?.
Étape suivante : vérifier la taille
Une fois votre secteur identifié, le deuxième critère est la taille de l’entreprise. C’est l’objet de À partir de quelle taille NIS2 s’applique-t-elle ?.
Faire le point avec un expert
Vous êtes dans un secteur couvert et vous voulez savoir ce que cela change pour la détection et la gestion des incidents ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
Le commerce de détail est-il couvert ?
Non, sauf exceptions. Dans l'alimentaire, seules la distribution en gros et la production industrielle sont visées. Un distributeur qui exploite aussi une place de marché en ligne peut toutefois être concerné à ce titre, s'il dépasse les seuils.
Les éditeurs de logiciels sont-ils couverts ?
Pas en tant que tels : l'édition de logiciels ne figure pas dans les annexes. Un éditeur peut l'être s'il fournit un service listé, par exemple un service d'informatique en nuage ou un service géré. Il sera aussi sollicité par ses clients régulés au titre de la chaîne d'approvisionnement.
Les établissements d'enseignement sont-ils concernés ?
La directive laisse chaque État décider (article 2, paragraphe 5). Les organismes de recherche, eux, figurent dans l'annexe II.
Comment trancher si mon activité est à la frontière d'un sous-secteur ?
Partez des définitions de l'annexe et des textes auxquels elle renvoie (codes de nomenclature pour la fabrication, définitions sectorielles pour l'énergie ou la santé). Si le doute persiste, le test d'éligibilité de l'ANSSI et ses canaux de contact sont les bons recours. Voir Que faire si je ne sais pas si je suis concerné par NIS2 ?.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.