Guide NIS2
Votre entreprise sera-t-elle concernée par NIS2 ?
Deux questions décident si NIS2 s’appliquera à vous : votre activité relève-t-elle d’un secteur visé, et atteignez-vous le seuil de taille ? Pour certains types d’entités, la taille ne compte pas. La loi française n’étant pas encore adoptée, cette page s’appuie sur la directive et sur le texte voté par le Sénat.
Mise à jour : octobre 2026 · Base : directive (UE) 2022/2555 et projet de loi Résilience (texte adopté par le Sénat le 12 mars 2025)
Où en est le cadre juridique
NIS2 est la directive (UE) 2022/2555. Les États membres devaient la transposer au plus tard le 17 octobre 2024. En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, souvent appelé « loi Résilience ». Son titre II transpose NIS2.
Le Sénat a adopté le texte le 12 mars 2025. L’Assemblée nationale devait l’examiner en séance les 7 et 9 octobre 2026 ; le 6 octobre 2026, la Conférence des présidents l’a retiré de l’ordre du jour, sans nouvelle date. La Commission européenne a saisi la Cour de justice de l’UE le 8 juillet 2026 pour défaut de transposition. Concrètement, aucune obligation NIS2 ne s’applique encore aux entreprises françaises.
Les secteurs visés
La directive répartit les secteurs entre l’annexe I (secteurs hautement critiques) et l’annexe II (autres secteurs critiques). L’article 7 du projet de loi reprend cette répartition et renvoie à un décret en Conseil d’État pour le détail des sous-secteurs et des types d’entités.
| Secteurs hautement critiques (annexe I, art. 7-I du projet) | Secteurs critiques (annexe II, art. 7-II du projet) |
|---|---|
| Énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène) | Services postaux et d’expédition |
| Transports (aérien, ferroviaire, par voie d’eau, routier) | Gestion des déchets |
| Banques et infrastructures des marchés financiers | Fabrication, production et distribution de produits chimiques |
| Santé | Production, transformation et distribution de denrées alimentaires |
| Eau potable et eaux usées | Fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules, autres matériels de transport) |
| Infrastructure numérique (centres de données, cloud, CDN, DNS) | Fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) |
| Gestion des services TIC (services gérés et services de sécurité gérés) | Recherche |
| Espace |
Ce qui compte, c’est l’activité réellement exercée, pas le code APE. Un industriel qui exploite son propre centre de données pour ses clients peut relever de deux secteurs.
Les seuils de taille
La directive vise en principe les entreprises au moins moyennes au sens de la recommandation 2003/361/CE. Le texte du Sénat reprend ces seuils :
- Entité essentielle (art. 8, 1° du projet) : entreprise d’un secteur hautement critique qui emploie au moins 250 personnes, ou dont le chiffre d’affaires annuel dépasse 50 millions d’euros et le total du bilan 43 millions d’euros.
- Entité importante (art. 9, 1° du projet) : entreprise d’un secteur hautement critique ou critique, non essentielle, qui emploie au moins 50 personnes, ou dont le chiffre d’affaires et le total du bilan dépassent chacun 10 millions d’euros.
Exemple : un fabricant de machines de 120 salariés relève de l’annexe II et serait une entité importante. Une clinique privée de 300 salariés relève de l’annexe I (santé) et serait une entité essentielle. Une PME de 30 salariés avec 8 millions d’euros de chiffre d’affaires, dans les mêmes secteurs, resterait en principe hors champ.
Pour les groupes, la recommandation à laquelle renvoie la directive tient compte des entreprises partenaires et liées. Une filiale de petite taille peut donc dépasser les seuils si l’on additionne les effectifs et les montants du groupe. Faites ce calcul avec soin et documentez-le.
Les cas où la taille ne compte pas
Certaines entités sont visées quelle que soit leur taille. Selon le texte du Sénat :
- les prestataires de services de confiance qualifiés, les offices d’enregistrement et les fournisseurs de services DNS sont des entités essentielles (art. 8, 4° à 6°) ;
- les opérateurs de communications électroniques sont essentiels à partir de 50 salariés, ou si leur chiffre d’affaires et leur total de bilan dépassent chacun 10 millions d’euros (art. 8, 3°), importants en dessous (art. 9, 2°) ;
- les opérateurs d’importance vitale (OIV), pour leurs activités de service essentiel, et les opérateurs de services essentiels (OSE) désignés sous NIS1 deviennent des entités essentielles (art. 8, 8° et 9°) ;
- le Premier ministre peut désigner par arrêté une entité comme essentielle ou importante, quelle que soit sa taille, par exemple si elle est le seul prestataire national d’un service essentiel (art. 10).
Le projet va plus loin que la directive pour le secteur public : administrations de l’État, régions, départements, communes de plus de 30 000 habitants, SDIS et centres de gestion figurent parmi les entités essentielles (art. 8, 7°). D’autres administrations peuvent être désignées comme importantes (art. 9).
Ce que vous pouvez déjà faire
Attendre la loi pour savoir si vous êtes concerné fait perdre du temps. Les mesures de l’article 21 de la directive demandent plusieurs mois de travail. Trois étapes sont utiles dès maintenant :
Faire le test de l’ANSSI
Le simulateur « Suis-je concerné ? » de MonEspaceNIS2 pose les questions sur votre secteur, votre taille et votre activité.
Documenter le résultat
Notez le secteur retenu, les chiffres utilisés (effectif, chiffre d’affaires, bilan, périmètre du groupe) et la conclusion, avec la date. Si le résultat est négatif, cette note vous servira face aux clients qui posent la question.
Mesurer l’écart
Le diagnostic NIS2 évalue votre niveau de préparation sur la direction, la notification des incidents et les dix mesures de sécurité.
Si vous êtes probablement concerné, vous pouvez aussi effectuer le préenregistrement volontaire sur MonEspaceNIS2. Même hors du champ, vos clients concernés vous demanderont souvent les mêmes mesures : voir la page sur les fournisseurs et sous-traitants.
Questions fréquentes
NIS2 s’applique-t-elle déjà en France ?
Non. La directive n’est pas encore transposée. Le projet de loi Résilience a été adopté par le Sénat le 12 mars 2025 et attend son examen à l’Assemblée nationale. Les obligations s’appliqueront après la promulgation de la loi et la publication des décrets.
Qui décidera si mon entreprise est concernée ?
C’est d’abord à vous de l’évaluer à partir des critères de la loi. Selon l’art. 12 du projet, l’ANSSI établira et mettra à jour au moins tous les deux ans la liste des entités essentielles et importantes, sur la base des informations qu’elles lui transmettent.
Les seuils peuvent-ils encore changer ?
Oui, tant que la loi n’est pas votée. Les seuils de 50 et 250 salariés viennent toutefois de la directive et devraient se retrouver dans le texte final.
Je suis déjà OSE ou OIV. Qu’est-ce qui change ?
Selon l’art. 8 du projet, les OSE désignés sous NIS1 et les OIV, pour leurs activités de service essentiel, deviennent des entités essentielles. Les obligations actuelles continuent de s’appliquer jusqu’à l’entrée en vigueur de la nouvelle loi.