NIS2 · 9 min · 2026-08-05
NIS2 : comment savoir si votre entreprise entre dans le champ
La directive ne s'applique pas directement : c'est la loi nationale qui décide. La logique secteur puis taille, la distinction essentielle et importante, et le cas le plus fréquent en pratique.
Une directive, donc une loi nationale
C'est le point de départ, et il est constamment escamoté. La directive (UE) 2022/2555 ne crée pas d'obligation directe pour une entreprise. Elle oblige les États membres à adopter un texte national, et c'est ce texte qui fixe le champ exact, les seuils, les délais, l'autorité compétente et les sanctions.
Conséquence pratique : deux entreprises identiques établies dans deux États membres différents peuvent ne pas être soumises au même calendrier ni exactement au même régime. Lire la directive vous donne la logique. Elle ne vous dit pas ce qui s'applique chez vous.
La logique du champ : le secteur d'abord
La directive classe les activités en deux annexes, les secteurs hautement critiques d'un côté, d'autres secteurs critiques de l'autre. On y trouve l'énergie, les transports, la banque, les infrastructures de marché, la santé, l'eau, les infrastructures numériques et l'administration publique dans la première ; la poste, la gestion des déchets, la chimie, l'alimentation, certains fabricants, les places de marché en ligne et la recherche dans la seconde.
La première question n'est donc pas votre taille, c'est votre activité. Si aucune ligne des annexes ne vous décrit, la suite du raisonnement ne s'engage pas.
La taille ensuite, avec des exceptions
Vient alors un critère de taille, qui écarte en principe les plus petites entités. En principe seulement : le texte prévoit des cas où une entité est visée quelle que soit sa taille, par exemple en raison de son rôle particulier ou de son caractère unique dans un service.
C'est précisément là que la lecture personnelle atteint sa limite. Une PME du numérique peut se croire hors champ par sa taille et se retrouver visée par une catégorie particulière. La qualification mérite une confirmation par un conseil, sur le texte national.
Entité essentielle ou entité importante
La directive distingue deux statuts. La différence ne porte pas sur la nature des mesures attendues, qui sont les mêmes, mais sur la manière dont l'autorité vous surveille et sur le plafond des sanctions encourues.
Autrement dit, savoir dans quelle catégorie vous tombez ne change pas votre plan de travail. Cela change ce qui se passe si vous ne le faites pas.
Le cas le plus fréquent : votre client est concerné, pas vous
Pour la majorité des PME, NIS2 n'arrive pas par une lettre de l'autorité. Il arrive par un questionnaire client, une clause de contrat ou un audit fournisseur.
La raison est écrite dans le texte : la sécurité de la chaîne d'approvisionnement fait partie des mesures que les entités concernées doivent prendre. Elles la répercutent donc sur leurs fournisseurs, par le seul moyen dont elles disposent, le contrat. Votre qualification juridique importe alors peu : ce qui vous est demandé l'est par votre client, et le refus se paie en chiffre d'affaires plutôt qu'en amende.
Ce que la qualification ne règle pas
Conclure que vous êtes hors champ ne clôt pas le sujet. Les questionnaires continueront d'arriver, et l'écart entre « nous ne sommes pas soumis » et « nous ne savons pas répondre » se voit immédiatement dans un appel d'offres.
À l'inverse, conclure que vous êtes dans le champ ne signifie pas repartir de zéro. Les mesures attendues recoupent largement ce que demande une norme de sécurité de l'information, et le travail déjà fait se recycle.
Comment trancher, concrètement
Trois réflexes, dans l'ordre. Travailler sur le texte national de transposition applicable à votre établissement, pas sur la directive. Faire confirmer la lecture par un conseil quand un doute subsiste, ce qui est le cas le plus courant. Puis écrire la conclusion, sa date et son motif.
Ce dernier point est le plus négligé et le plus utile. La qualification est elle-même une pièce : le jour où quelqu'un demande pourquoi vous vous estimez hors champ, une décision datée et motivée vaut infiniment mieux qu'un souvenir de réunion.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022, annexes I et II (secteurs) et articles relatifs au champ d'application
- Texte national de transposition applicable à votre établissement