Qui est concerné par NIS2 ?
Les entreprises de 18 secteurs, à partir de 50 salariés, ou au-delà de 10 M€ de chiffre d'affaires et de 10 M€ de bilan. Quelques activités sont visées quelle que soit leur taille. En France, cela fait environ 15 000 entreprises et organismes, selon l'ANSSI.
Le test applique ces critères à votre entreprise et dit à quel titre elle est visée. Le détail suit plus bas.
Test d'éligibilité NIS2
Question 1 sur 5
Dans quel secteur travaille votre entreprise ?
Si elle en exerce plusieurs, choisissez celle qui figure dans la liste, même si ce n'est pas la principale.
Ce qui décide
Le secteur
La directive liste 18 secteurs. Les 11 de l'annexe I sont dits hautement critiques, comme l'énergie, les transports, la santé ou l'infogérance. Les 7 de l'annexe II sont les autres secteurs critiques, comme les déchets, l'agroalimentaire ou une partie de l'industrie.
La taille
Une entreprise est visée à partir de la moyenne entreprise. Elle l'est avec 50 salariés ou plus, ou si elle dépasse à la fois 10 M€ de chiffre d'affaires et 10 M€ de bilan. Les chiffres d'un groupe peuvent s'ajouter aux siens.
Les exceptions
Les opérateurs télécoms sont visés dès la petite entreprise. Les registres de noms de domaine, les fournisseurs de DNS et les prestataires de confiance qualifiés le sont quelle que soit leur taille. Les banques et les assurances relèvent de DORA.
Essentielle ou importante
Les mesures à appliquer sont les mêmes. Le contrôle et les amendes diffèrent.
| Secteur | Moyenne entreprise50 à 249 salariés | Grande entreprise250 salariés ou plus |
|---|---|---|
| Annexe IÉnergie, transports, santé, eau, numérique… | Importante | Essentielle |
| Annexe IIDéchets, chimie, agroalimentaire, fabrication… | Importante | Importante |
Les amendes iront jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et jusqu'à 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé des deux s'appliquant.
Secteur par secteur
Dans un même secteur, la directive vise certaines activités et pas d'autres. Un transporteur routier n'est pas visé, le gestionnaire d'une route l'est. Voici la liste que le test applique.
Énergie
- Production, fourniture ou réseauÉlectricité, gaz, chaleur, froid, hydrogèneAnnexe I
- PétroleProduction, raffinage, stockage, transportAnnexe I
- Exploitation de bornes de rechargeAnnexe I
- Installation ou maintenanceBornes, panneaux solaires, chauffageNon visée
- Autre activité liée à l'énergieÀ vérifier
Transport et logistique
- Transport aérienCompagnie, aéroport, contrôle du traficAnnexe I
- Transport ferroviaireEntreprise ferroviaire, gestion du réseauAnnexe I
- Transport maritime ou fluvialArmateur, port, gestion du traficAnnexe I
- Gestion de routesAutorité routière, systèmes de transport intelligentsAnnexe I
- Colis, courrier, messagerie expressAnnexe II
- Transport routierMarchandises ou voyageursNon visée
- Logistique, entreposageNon visée
Santé
- SoinsClinique, centre de santé, laboratoire d'analysesAnnexe I
- MédicamentsFabrication, recherche et développementAnnexe I
- Dispositifs médicauxFabrication, diagnostic in vitroAnnexe II
- Autre activité de santéDistribution, services, éditionÀ vérifier
Eau et déchets
- Eau potableAnnexe I
- Eaux uséesCollecte, évacuation, traitementAnnexe I
- DéchetsCollecte, traitementAnnexe II
Numérique et informatique
- Hébergement, cloud, centre de donnéesAnnexe I
- Infogérance, services informatiques gérésVous administrez l'informatique de vos clients, sécurité compriseAnnexe I
- Opérateur télécoms, accès à internetDès la petite entreprise
- Noms de domaine, DNS, services de confianceRegistre, résolveur DNS, signature, horodatageQuelle que soit la taille
- Place de marché, moteur de recherche, réseau socialAnnexe II
- Édition de logicielsÀ vérifier
- Autre activité numériqueAgence web, développement sur mesure, conseilNon visée
Industrie et chimie
- Produits chimiquesFabrication, production, distributionAnnexe II
- Produits informatiques, électroniques et optiquesAnnexe II
- Équipements électriquesAnnexe II
- Machines et équipementsAnnexe II
- Véhicules, remorques, pièces automobilesAnnexe II
- Navires, trains, aéronefsEt autres matériels de transportAnnexe II
- MédicamentsAnnexe I
- Dispositifs médicauxAnnexe II
- Autre industrieMétallurgie, plasturgie, bois, textile, imprimerieNon visée
Agroalimentaire
- Production ou transformation industrielleAnnexe II
- Distribution en grosAnnexe II
- Commerce de détail, restaurationNon visée
Banque, assurance, finance
- Banque, établissement de crédit ou de paiementRelève de DORA
- Assurance, gestion d'actifs, infrastructure de marchéRelève de DORA
- Courtage ou intermédiationAssurance, crédit, conseilNon visée
Administration ou collectivité
- Administration ou collectivitéÀ vérifier
Recherche ou spatial
- Organisme de rechercheAnnexe II
- Infrastructure spatiale au solAnnexe I
Commerce, BTP, conseil, services aux particuliers, agences web : ces activités ne figurent dans aucun des 18 secteurs. « À vérifier » signale une activité dont le texte français décidera.
Concernée ou non, votre entreprise a les mêmes failles
Les rançongiciels, les vols de comptes et les faux virements touchent aussi les entreprises que la loi ne vise pas. Et vos clients concernés vous demanderont des garanties. Le guide de sécurité des PME rassemble les mesures qui protègent en douze fiches, dans l'ordre où les appliquer, avec une annexe pour répondre aux questionnaires de sécurité.
190 € HTPrix de lancement jusqu'au vote de la loi, puis 290 € HT
PDF et version web, à télécharger dès le paiement
Commander
Choisissez ce qu'il vous faut, le guide, les clés, ou les deux.
- Vous choisissez le guide, les clés, ou les deux.
- Vous payez par carte sur la page sécurisée de Stripe. La facture arrive par e-mail.
- Le guide se télécharge aussitôt. Les clés sont expédiées sous dix jours ouvrés.
Une question avant de commander ?
Écrivez à clement@cthiriet.com.
Questions fréquentes
Une entreprise de moins de 50 salariés est-elle concernée par NIS2 ?
En général non. Elle l'est si elle dépasse à la fois 10 M€ de chiffre d'affaires et 10 M€ de bilan, ou si les chiffres de son groupe la font passer ces seuils. Les opérateurs télécoms sont visés dès la petite entreprise. Les registres de noms de domaine, les fournisseurs de DNS et les prestataires de confiance qualifiés le sont quelle que soit leur taille.
Quelle différence entre entité essentielle et entité importante ?
Une grande entreprise d'un secteur de l'annexe I est essentielle. Une moyenne entreprise de l'annexe I, et une moyenne ou grande entreprise de l'annexe II, sont importantes. Les mesures à appliquer sont les mêmes. L'ANSSI peut contrôler une entité essentielle à tout moment, une entité importante surtout après un incident ou un signalement. Les amendes vont jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour la première, 7 M€ ou 1,4 % pour la seconde.
Mon entreprise travaille pour une entreprise concernée. Que va-t-il se passer ?
La loi ne vous vise pas directement. Votre client devra en revanche vérifier la sécurité de ses fournisseurs, c'est l'une des dix mesures de l'article 21. Attendez-vous à un questionnaire de sécurité, ou à de nouvelles clauses dans vos contrats.
Les éditeurs de logiciels sont-ils concernés ?
La directive ne les vise pas. Les députés les ont ajoutés au texte français en commission, en septembre 2025. Le vote final dira si cet ajout reste.
Les banques et les assurances sont-elles concernées ?
Elles relèvent de DORA, le règlement européen sur la résilience du secteur financier, qui prime sur NIS2. Les courtiers et intermédiaires de petite ou moyenne taille sont exclus de DORA, et NIS2 ne les vise pas.