Une organisation relève de la directive NIS 2 si elle remplit deux conditions cumulatives : appartenir à l’un des 18 secteurs listés aux annexes I et II de la directive, et atteindre au moins 50 salariés ou 10 millions d’euros de chiffre d’affaires. Elle est ensuite classée entité essentielle ou entité importante selon un croisement entre son annexe de rattachement et sa taille. Ce classement détermine le nombre d’objectifs applicables, le mode de contrôle et le plafond de sanction.
Quelle différence entre entité essentielle et entité importante ?
Une entité essentielle est une grande entreprise relevant d’un secteur hautement critique, c’est-à-dire figurant à l’annexe I de la directive NIS 2. Une entité importante est une entreprise de taille moyenne d’un secteur de l’annexe I, ou une entreprise de toute taille relevant de l’annexe II. Les deux catégories sont soumises aux mêmes obligations de fond, mais pas au même régime de contrôle ni au même niveau d’exigence.
| Critère | Entité importante (EI) | Entité essentielle (EE) |
| Objectifs de sécurité applicables | 15 objectifs sur 20 | Les 20 objectifs |
| Mode de supervision | A posteriori, sur incident ou indice de non-conformité | Proactive, à tout moment et même sans incident |
| Plafond de sanction | Barème réduit | Jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial |
| Analyse de risques formalisée | Non exigée par le référentiel | Exigée, réexaminée au minimum tous les trois ans |
| Point de contact ANSSI dédié | Non prévu | Au moins une personne désignée |
Cette différenciation traduit un principe de proportionnalité. Le Référentiel Cyber France, publié par l’ANSSI le 17 mars 2026 en version de travail, réserve aux seules entités essentielles les cinq objectifs les plus exigeants : approche par les risques, audit de sécurité, sécurisation des configurations, administration depuis des ressources dédiées et supervision. Au sein même des quinze objectifs communs, certains moyens de conformité ne sont attendus que des entités essentielles.
Quels secteurs sont couverts par la directive NIS 2 ?
La directive NIS 2 couvre 18 secteurs, répartis entre deux annexes qui ne sont pas de simple présentation : l’annexe de rattachement conditionne le classement de l’entité.
Annexe I — secteurs hautement critiques (11 secteurs)
| Secteur | Périmètre |
| Énergie | Électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène |
| Transports | Aérien, ferroviaire, par eau, routier |
| Secteur bancaire | Établissements de crédit |
| Infrastructures des marchés financiers | Plateformes de négociation, contreparties centrales |
| Santé | Établissements de santé, laboratoires, fabricants de dispositifs médicaux et de produits pharmaceutiques |
| Eau potable | Fourniture et distribution |
| Eaux usées | Collecte, évacuation, traitement |
| Infrastructures numériques | Points d’échange internet, DNS, registres de noms de domaine, cloud, centres de données, réseaux de diffusion de contenu, services de confiance, réseaux et services de communications électroniques publics |
| Gestion des services TIC | Fournisseurs de services managés et de services de sécurité managés (MSP et MSSP) |
| Administration publique | Administrations centrales et régionales |
| Espace | Opérateurs d’infrastructures terrestres |
Annexe II — autres secteurs critiques (7 secteurs)
| Secteur | Périmètre |
| Services postaux et d’expédition | Postes, messagerie, livraison |
| Gestion des déchets | Collecte et traitement |
| Produits chimiques | Fabrication, production, distribution |
| Denrées alimentaires | Production, transformation, distribution |
| Fabrication | Dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules à moteur, autres matériels de transport |
| Fournisseurs numériques | Places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux |
| Recherche | Organismes de recherche à visée commerciale |
Deux entrées bouleversent le paysage français : l’administration publique, qui fait basculer de nombreuses collectivités dans le périmètre, et la fabrication, qui y fait entrer un grand nombre d’ETI et de PME industrielles jusque-là hors régulation.
Quels seuils de taille déclenchent l’application de NIS 2 ?
Le seuil d’entrée dans le champ de la directive NIS 2 se situe à 50 salariés ou 10 millions d’euros de chiffre d’affaires annuel. Un second seuil, fixé à 250 salariés ou 50 millions d’euros, distingue ensuite les entités essentielles des entités importantes au sein de l’annexe I.
Le classement se lit donc en croisant deux axes :
| Taille de l’entreprise | Annexe I | Annexe II |
| Grande entreprise (> 250 salariés ou > 50 M€) | Entité essentielle | Entité importante |
| Entreprise moyenne (≥ 50 salariés ou ≥ 10 M€) | Entité importante | Entité importante |
| Sous les seuils | Hors périmètre, sauf exception | Hors périmètre, sauf exception |
Une conséquence contre-intuitive mérite d’être soulignée : un grand groupe agroalimentaire ou un constructeur industriel de plusieurs milliers de salariés relève de la catégorie importante, parce que son secteur figure à l’annexe II. Le volume d’activité ne suffit pas à faire une entité essentielle.
Deux précisions techniques évitent une erreur de classement fréquente. D’une part, le critère financier ne se limite pas au chiffre d’affaires : le total de bilan entre également dans l’appréciation, avec un seuil de 43 millions d’euros pour la qualification de grande entreprise. D’autre part, les seuils s’apprécient au niveau de l’unité économique et non de la seule entité juridique. Une société détenue à plus de 25 % par une autre, ou détenant plus de 25 % d’une autre, voit ses seuils partiellement ou totalement consolidés. Une PME de 80 salariés filiale d’un groupe de plusieurs milliers de personnes sera le plus souvent traitée comme une grande entreprise.
Certaines entités relèvent par ailleurs de la directive NIS 2 quelle que soit leur taille, en raison de leur rôle systémique : fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance, opérateurs de réseaux de communications électroniques publics, certaines entités d’administration publique, entités identifiées comme critiques au titre de la directive REC, et fournisseurs exclusifs d’un service critique. Les États membres peuvent en outre désigner individuellement des entités de taille inférieure dont le rôle est jugé critique : aucune organisation ne peut donc se considérer définitivement hors périmètre sur le seul critère de taille.
À retenir
Les seuils et les règles de classement définitifs dépendent du texte de transposition française, qui n’est pas encore promulgué. Les valeurs indiquées ici correspondent à la directive et à l’état actuel du projet de loi Résilience. Le portail monespaceNIS2 de l’ANSSI reste la référence pour statuer.
Les sous-traitants et prestataires sont-ils concernés par NIS 2 ?
Un prestataire peut relever de la directive NIS 2 de deux manières : directement, s’il figure lui-même dans un secteur couvert et dépasse les seuils, ou indirectement, par répercussion contractuelle des exigences de ses clients régulés. Ce second mécanisme touche un nombre d’organisations bien supérieur au périmètre officiel.
La directive NIS 2 impose en effet à chaque entité régulée de maîtriser la sécurité de sa chaîne d’approvisionnement numérique. Le Référentiel Cyber France traduit cette obligation en trois exigences : établir et maintenir à jour une cartographie de son écosystème recensant prestataires, fournisseurs et interconnexions, avec au moins un point de contact par entrée ; s’assurer contractuellement de la conformité des prestations dont l’entité bénéficie ; vérifier périodiquement cette conformité.
Une conséquence est régulièrement mal comprise. Lorsqu’une organisation externalise tout ou partie de son système d’information, celui-ci reste sous sa responsabilité au sens du référentiel : il n’est pas considéré comme un système d’information tiers. Le recours à un prestataire, y compris à un opérateur cloud, ne transfère pas la conformité. Il impose au contraire de la contractualiser et de la vérifier.
Filiales, groupes internationaux, prestataires cloud : quelles règles ?
La directive NIS 2 prévoit trois règles de rattachement pour les structures complexes.
- Groupes internationaux — chaque entité relève en principe de l’État membre dans lequel elle est établie. Un groupe présent dans plusieurs pays de l’Union peut donc être soumis à plusieurs transpositions nationales, avec des autorités de contrôle distinctes. Cette pluralité de régimes constitue un point d’attention pour les directions juridiques.
- Prestataires cloud et télécoms — des règles particulières de compétence s’appliquent, fondées sur la localisation de l’établissement principal plutôt que sur celle du siège social.
- Filiales — une filiale qui remplit elle-même les critères de secteur et de taille est soumise à la directive NIS 2 pour son propre compte, même si sa maison mère est déjà couverte.
Ce dernier point mérite l’attention des groupes structurés en entités juridiques distinctes : la conformité de la holding ne couvre pas automatiquement celle des filiales.
Comment vérifier concrètement son éligibilité
Trois éléments suffisent à statuer dans la majorité des cas : le secteur d’activité, le code NAF et les effectifs ou le chiffre d’affaires. Le portail monespaceNIS2 de l’ANSSI permet de mener cette vérification et de déclarer son statut.
Deux situations justifient un examen plus poussé. La première concerne les organisations à activités multiples, dont une seule branche relève d’un secteur couvert : le périmètre exact du système d’information concerné doit alors être défini et documenté, les exclusions devant être justifiées. La seconde concerne les groupes, où la question du rattachement se pose entité par entité.
PARTITIO relève elle-même de l’annexe I, au titre de la gestion des services TIC : opérateur de cloud souverain et infogéreur, l’entreprise est soumise à la directive NIS 2 comme ses clients, et conduit sa propre mise en conformité en parallèle de celle qu’elle accompagne. Certifiée ISO 27001 et HDS, PARTITIO intervient auprès des organisations d’Occitanie, de Nouvelle-Aquitaine et de l’ensemble du territoire sur cette phase de qualification, avant tout engagement technique. Déterminer son statut ne coûte que quelques heures ; se tromper de statut conduit à dimensionner l’ensemble d’un programme de conformité sur le mauvais référentiel.
Pour le cadre général de la réglementation, ses obligations et son calendrier, voir notre article de fond sur la directive NIS 2.
Questions fréquentes
Comment savoir si mon entreprise est une entité essentielle ou importante ?
Le classement croise deux critères. Une grande entreprise, au-delà de 250 salariés ou 50 millions d’euros de chiffre d’affaires, relevant d’un secteur de l’annexe I de la directive NIS 2, est une entité essentielle. Une entreprise moyenne de l’annexe I, ou une entreprise de l’annexe II quelle que soit sa taille, est une entité importante. Le portail monespaceNIS2 de l’ANSSI permet de vérifier son statut.
Une PME de 60 salariés est-elle concernée par NIS 2 ?
Oui, si elle relève de l’un des 18 secteurs des annexes I ou II. Le seuil d’entrée dans le périmètre se situe à 50 salariés ou 10 millions d’euros de chiffre d’affaires. Une PME industrielle, agroalimentaire ou un prestataire de services informatiques dépassant ce seuil relève de la directive NIS 2, le plus souvent comme entité importante. Une PME sous les seuils peut néanmoins recevoir des exigences cyber de ses clients régulés.
Quelle différence entre l'annexe I et l'annexe II de la directive NIS 2 ?
L’annexe I liste 11 secteurs hautement critiques, dont l’énergie, la santé, les transports, les infrastructures numériques et l’administration publique. L’annexe II liste 7 autres secteurs critiques, dont l’agroalimentaire, la chimie, la fabrication et la gestion des déchets. Le rattachement à l’annexe I permet à une grande entreprise d’être classée entité essentielle ; les entités de l’annexe II restent classées entités importantes quelle que soit leur taille.
Les collectivités territoriales sont-elles soumises à NIS 2 ?
L’administration publique figure à l’annexe I de la directive NIS 2, ce qui fait entrer de nombreuses collectivités dans le périmètre. Les modalités précises d’application aux collectivités françaises, notamment les seuils retenus, les catégories de collectivités visées et le calendrier, dépendent du texte de transposition et de ses décrets d’application, non encore publiés.
Mon entreprise est sous-traitante d'un groupe régulé : que dois-je faire ?
Un donneur d’ordre soumis à la directive NIS 2 doit s’assurer contractuellement du niveau de sécurité de ses prestataires et le vérifier périodiquement. Concrètement, un sous-traitant reçoit des clauses de cybersécurité, des questionnaires d’évaluation et parfois des demandes d’audit. Anticiper ces exigences constitue un avantage commercial autant qu’une contrainte, car elles deviennent un critère de sélection.
Une filiale doit-elle se conformer si sa maison mère est déjà couverte ?
Oui. Une filiale qui remplit elle-même les critères de secteur et de taille est soumise à la directive NIS 2 pour son propre compte. La conformité de la maison mère ne s’étend pas automatiquement aux filiales, qui doivent démontrer individuellement l’atteinte des objectifs de sécurité sur leur propre système d’information.
La liste des 18 secteurs et les critères de classement
Le livre blanc NIS 2 de PARTITIO détaille les 18 secteurs couverts, sous-secteur par sous-secteur, ainsi que les critères de classement en entité essentielle ou importante.
