Quelles entreprises sont concernées par la directive NIS2 ?

Avant d’entrer dans le détail, il faut dissiper un malentendu fréquent : NIS2 n’est pas réservé aux grandes entreprises. Le texte introduit certes des seuils de taille, mais il prévoit aussi de nombreuses exceptions qui font entrer des structures plus modestes dans son périmètre, notamment lorsqu’elles jouent un rôle jugé sensible. Autrement dit, se croire trop petit pour être concerné est une erreur d’appréciation potentiellement coûteuse. L’autre point à comprendre est la logique de responsabilisation des dirigeants. NIS2 ne se contente pas d’imposer des mesures techniques : elle engage la direction, qui doit valider et suivre la gestion des risques. L’infographie ci-dessous illustre comment se situe le niveau d’exposition réglementaire d’une organisation, du plus faible au plus élevé, selon son secteur et sa taille.

NIS2, de quoi parle-t-on exactement

NIS2 est la deuxième version de la directive européenne sur la sécurité des réseaux et des systèmes d’information. Son objectif est de relever le niveau global de cybersécurité dans l’Union, en imposant un socle commun d’exigences aux organisations dont une défaillance aurait des conséquences importantes sur l’économie ou la société. Elle est transposée dans le droit de chaque État membre, ce qui lui donne force obligatoire. Son champ couvre un large spectre de mesures, de la gouvernance du risque à la gestion des incidents, en passant par la sécurité des achats, la continuité d’activité, le chiffrement ou l’authentification. Le texte ne détaille pas chaque réglage technique : il fixe des objectifs et laisse aux organisations le soin de les traduire en mesures proportionnées à leur taille, à leur exposition et à la criticité des services qu’elles rendent. La grande nouveauté par rapport au texte précédent tient à l’élargissement massif du périmètre. De nouveaux secteurs entrent dans le champ d’application, et la logique de désignation au cas par cas laisse place à des critères plus automatiques fondés sur l’activité et la taille. Résultat : une organisation qui n’était pas concernée hier peut l’être aujourd’hui sans avoir rien changé à son activité.

Il faut aussi dédramatiser le sujet. NIS2 n’est pas une montagne administrative insurmontable, mais un socle de bonnes pratiques que beaucoup d’organisations appliquent déjà en partie sans le formaliser. L’enjeu consiste surtout à structurer, documenter et compléter l’existant, puis à inscrire la démarche dans la durée. Abordée ainsi, la conformité devient un fil conducteur pour renforcer méthodiquement sa résilience, plutôt qu’une contrainte subie dans l’urgence d’une échéance. Comprendre l’intention du législateur aide à mieux appliquer le texte. NIS2 part d’un constat simple : nos économies dépendent de systèmes numériques interconnectés, et la défaillance d’un acteur peut se propager à toute une filière. En relevant le niveau de sécurité d’un grand nombre d’organisations, l’Union cherche à réduire ce risque systémique et à harmoniser des pratiques jusque là très inégales d’un pays et d’un secteur à l’autre. L’objectif n’est pas de sanctionner, mais d’élever le socle commun de protection.

Deux catégories : entités essentielles et importantes

NIS2 distingue les entités essentielles et les entités importantes. Cette distinction ne change pas la nature des mesures de sécurité attendues, qui sont globalement les mêmes, mais elle modifie l’intensité de la surveillance exercée par les autorités et le régime de sanctions. Les entités essentielles font l’objet d’un contrôle plus poussé, pouvant intervenir de façon proactive, tandis que les entités importantes sont davantage contrôlées a posteriori, en réaction à un incident ou à un signalement. Le classement dépend du secteur et de la taille. Schématiquement, les secteurs jugés les plus critiques, associés à une taille significative, relèvent des entités essentielles ; d’autres secteurs ou des tailles plus réduites relèvent des entités importantes. Dans les deux cas, l’obligation de gérer les risques et de notifier les incidents s’applique pleinement. Un autre apport du texte concerne la notification des incidents. Les entités assujetties doivent signaler aux autorités compétentes, dans des délais contraints, les incidents significatifs qui les touchent. Cette obligation de transparence vise à donner une vision d’ensemble de la menace à l’échelle européenne et à permettre une réaction coordonnée. Elle suppose, pour chaque organisation, de savoir détecter un incident, d’en évaluer la gravité et de disposer d’un circuit clair pour le déclarer dans les temps, sans improvisation.

NIS2 insiste par ailleurs sur la gestion des risques liés aux fournisseurs. Une organisation n’est pas seulement responsable de sa propre sécurité, mais aussi de la façon dont elle maîtrise les risques introduits par ses prestataires et sa chaîne d’approvisionnement. Cette exigence a un effet d’entraînement majeur, car elle pousse les entités assujetties à réclamer des garanties à tous leurs partenaires, y compris les plus petits, qui se retrouvent ainsi indirectement concernés.

Entités essentielles ou importantes : comment se répartissent les organisations

Pour y voir clair, il est utile de regarder les trois grandes situations dans lesquelles se trouve une organisation. Cette grille de lecture simplifiée ne remplace pas une analyse juridique précise, mais elle permet de situer rapidement son degré probable d’assujettissement et de décider s’il faut approfondir.

Cette troisième situation mérite une attention particulière. Même une entreprise non concernée en propre peut se voir imposer des exigences contractuelles par ses donneurs d’ordre, car NIS2 demande aux entités assujetties de maîtriser les risques liés à leurs fournisseurs. Un sous-traitant qui ne peut pas démontrer un minimum de sécurité risque, demain, de perdre des marchés. La conformité devient alors un argument commercial autant qu’une obligation. Cette logique de ruissellement transforme en profondeur le marché. Un prestataire capable de démontrer sa maturité en matière de sécurité disposera demain d’un avantage concurrentiel net face à un concurrent incapable de rassurer ses clients assujettis. Loin d’être une simple contrainte administrative, la mise en conformité devient ainsi un investissement susceptible d’ouvrir des marchés et de consolider des relations commerciales durables, en particulier pour les structures qui gravitent autour de grands donneurs d’ordre.

La responsabilisation des dirigeants constitue l’un des changements les plus structurants. Le texte prévoit que les organes de direction approuvent et supervisent les mesures de gestion des risques, et qu’ils se forment au sujet. La sécurité cesse d’être une affaire reléguée au service informatique pour devenir un sujet de gouvernance, inscrit à l’ordre du jour des instances dirigeantes, avec une responsabilité qui peut être engagée en cas de manquement caractérisé. Cette évolution change la façon dont la cybersécurité est pilotée et financée. Dans la pratique, la frontière entre les deux régimes n’a pas à obséder les dirigeants au stade initial. Puisque les mesures de sécurité attendues sont très proches, l’important est d’abord de les mettre en œuvre. La distinction entre entité essentielle et importante jouera surtout sur l’intensité des contrôles et sur les modalités d’enregistrement auprès de l’autorité, deux points qui se clarifient avec les textes d’application nationaux et qu’il n’est pas urgent de trancher avant d’agir.

Les secteurs et les seuils qui déterminent l’assujettissement

Pour déterminer si une entité est concernée, deux questions se posent conjointement : relève-t-elle d’un secteur visé, et dépasse-t-elle les seuils de taille prévus. Le premier critère liste de larges familles d’activités, allant de l’énergie et des transports aux infrastructures numériques, en passant par la santé, l’eau potable, les eaux usées, l’administration publique, l’espace, mais aussi, dans la catégorie des secteurs importants, l’industrie manufacturière, l’agroalimentaire, la gestion des déchets, la chimie ou les services postaux. Cette liste étendue explique pourquoi tant d’organisations se découvrent concernées. Le second critère repose sur la taille, appréciée au regard de l’effectif et du chiffre d’affaires. En règle générale, les moyennes et grandes entreprises des secteurs visés entrent dans le champ, tandis que les plus petites en sont en principe exclues. Mais cette règle connaît des exceptions notables : certaines entités de petite taille restent assujetties lorsqu’elles sont les seules à fournir un service essentiel, lorsqu’une interruption aurait un impact majeur, ou lorsqu’elles occupent une position singulière dans un secteur. La taille n’est donc pas un bouclier automatique.

Un troisième facteur, plus subtil, mérite d’être souligné : le rôle dans la chaîne d’approvisionnement. NIS2 impose aux entités assujetties de sécuriser leurs relations avec leurs fournisseurs et prestataires. Une petite société de maintenance informatique, d’hébergement ou de services numériques peut ainsi se retrouver, de fait, soumise aux exigences de ses clients, qui lui demanderont des garanties, des audits et des engagements contractuels. L’effet d’entraînement est réel et irrigue progressivement tout le tissu économique. Quelques exemples concrets illustrent l’ampleur du champ couvert. Un fournisseur d’énergie, un gestionnaire d’eau, un hôpital ou une clinique, un transporteur, un éditeur de logiciels, un prestataire d’hébergement, une entreprise agroalimentaire d’une certaine taille ou encore une collectivité figurent parmi les profils typiquement concernés. Cette diversité montre que le texte ne cible pas un métier précis, mais la contribution de chaque acteur au bon fonctionnement de services jugés importants pour la collectivité. Enfin, il faut rappeler que la transposition en droit national précise certains points, notamment la liste exacte des entités et les modalités d’enregistrement auprès de l’autorité compétente. En France, c’est l’agence nationale de sécurité qui pilote ce dispositif. Se tenir informé des textes d’application est donc indispensable, car c’est à ce niveau que se décide, dans le détail, le périmètre précis des obligations.

Il est utile de préciser la façon dont s’apprécie la taille d’une entité. Les critères reposent principalement sur l’effectif et sur des seuils financiers, appréciés au niveau de l’entité et, dans certains cas, du groupe auquel elle appartient. Une filiale intégrée à un ensemble plus vaste peut ainsi se trouver concernée alors qu’elle se croyait trop petite, parce que l’appréciation ne s’arrête pas à ses seuls effectifs locaux. Mieux vaut donc raisonner à l’échelle réelle de l’organisation plutôt qu’à celle d’un site isolé. Le secteur public n’échappe pas à cette logique. De nombreuses administrations et collectivités entrent dans le champ du texte, au regard des services essentiels qu’elles rendent à la population. Pour ces acteurs, souvent dotés de moyens informatiques limités et de systèmes hétérogènes hérités du passé, la mise en conformité représente un défi particulier, qui suppose un accompagnement adapté et une priorisation rigoureuse des chantiers les plus sensibles. Un dernier facteur à ne pas négliger est le calendrier. La transposition et les textes d’application s’échelonnent dans le temps, et les obligations ne s’activent pas toutes au même moment. Suivre ce calendrier permet d’anticiper plutôt que de subir, de lisser l’effort budgétaire et d’éviter la précipitation de dernière minute, toujours plus coûteuse et moins efficace qu’une préparation étalée sur plusieurs mois.

Enfin, mieux vaut considérer ces seuils et ces listes comme des points de repère plutôt que comme des certitudes figées. Les activités évoluent : une entreprise peut franchir un seuil en grandissant, ajouter une activité qui la fait basculer dans un secteur visé, ou nouer un contrat qui l’entraîne dans le périmètre de sécurité d’un client assujetti. Une veille légère mais régulière évite de se découvrir, un jour, concerné sans l’avoir anticipé.

Comment savoir si votre entité est concernée et par où commencer

Face à la complexité du texte, le plus efficace est d’avancer par étapes, en partant du plus simple vers le plus précis. Cette démarche structurée évite deux écueils : se croire à tort hors périmètre, ou lancer des chantiers surdimensionnés sans avoir d’abord qualifié son obligation réelle. Le but est de cadrer l’effort avec justesse. Cette approche graduée présente un avantage psychologique : elle transforme une obligation perçue comme écrasante en une suite de décisions concrètes, chacune à la portée de l’organisation. On ne cherche pas à tout résoudre immédiatement, mais à savoir où l’on en est, puis à combler en priorité les écarts les plus critiques pour la continuité de l’activité.

Au terme de cette qualification, il est précieux de formaliser le résultat dans un document de référence conservé et daté. Cette trace, qui explique pourquoi l’entité se considère ou non comme assujettie et à quel titre, sera utile en cas de contrôle, de question d’un client ou de réexamen ultérieur. La réglementation évoluant, et l’activité de l’entreprise aussi, cette analyse mérite d’être revue périodiquement plutôt que traitée une fois pour toutes puis oubliée. Il ne faut pas non plus affronter seul un sujet aussi transverse. Croiser les regards du juridique, de l’informatique et de la direction évite les angles morts, car la qualification touche autant au droit qu’à la technique et à la stratégie. Un accompagnement extérieur peut utilement objectiver le diagnostic, apporter une comparaison avec des organisations similaires et aider à prioriser, sans pour autant déposséder l’entreprise de ses arbitrages, qui restent les siens.

Une fois cette qualification posée, la mise en conformité devient un projet pilotable plutôt qu’une source d’angoisse. L’essentiel est de documenter sa démarche, de prioriser les mesures qui réduisent vraiment le risque, et d’associer la direction, désormais responsable au regard du texte. Pour ne pas rester au niveau des principes, il est utile de se pencher sur le concret et de regarder précisément quelles obligations concrètes NIS2 impose au quotidien, de la gestion des incidents aux mesures d’hygiène attendues. C’est en traduisant le texte en actions tangibles que la conformité cesse d’être abstraite pour devenir un vrai levier de résilience.