Accueil de NIS2 Express

NIS2 : entité essentielle ou importante, comment savoir ?

L'article 3 de la directive (UE) 2022/2555, dite NIS2, répond en deux temps. Sont des entités essentielles celles de la liste de son paragraphe 1, en premier lieu les entités d'un type visé à l'annexe I qui dépassent les plafonds de la moyenne entreprise. Sont des entités importantes, selon son paragraphe 2, les entités d'un type visé à l'annexe I ou II qui ne sont pas des entités essentielles. En règle générale, vous le savez donc en croisant deux critères : votre secteur d'activité et la taille de votre entreprise. Certaines entités sont toutefois visées quelle que soit leur taille : elles sont détaillées plus bas.

Premier critère : le secteur

La directive range les secteurs dans deux annexes. L'annexe I liste les « secteurs hautement critiques » (par exemple l'énergie, les transports, la banque, la santé, l'eau potable, les infrastructures numériques, la gestion des services TIC entre entreprises, l'administration publique, l'espace). L'annexe II liste les « autres secteurs critiques » (par exemple les services postaux, la gestion des déchets, la chimie, l'alimentation, la fabrication de certains produits, les fournisseurs numériques, la recherche). Si votre activité ne figure dans aucune des deux annexes, vous n'êtes en principe pas une entité NIS2, même si vos clients peuvent l'être.

Second critère : la taille

La directive s'appuie sur la définition européenne des petites et moyennes entreprises. En règle générale, elle s'applique à partir de la moyenne entreprise : 50 personnes et plus, ou un chiffre d'affaires annuel et un total de bilan supérieurs à 10 millions d'euros. Une grande entreprise compte 250 personnes ou plus, ou réalise un chiffre d'affaires de plus de 50 millions d'euros et un total de bilan de plus de 43 millions d'euros. Les petites et microentreprises sont en principe hors champ, sauf exceptions.

Le croisement, en règle générale

• Entité essentielle : grande entreprise d'un secteur de l'annexe I.
• Entité importante : moyenne entreprise d'un secteur de l'annexe I, ou entreprise moyenne ou grande d'un secteur de l'annexe II.
• Hors champ en principe : petite ou microentreprise, ou activité absente des deux annexes.

Les exceptions, quelle que soit la taille

Selon l'article 2, paragraphe 2, la directive s'applique également aux entités d'un type visé à l'annexe I ou II, quelle que soit leur taille, dans les cas suivants :

• les services sont fournis par des fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public, par des prestataires de services de confiance, ou par des registres des noms de domaine de premier niveau et des fournisseurs de services de système de noms de domaine (point a) ;
• l'entité est, dans un État membre, le seul prestataire d'un service essentiel au maintien d'activités sociétales ou économiques critiques (point b) ;
• une perturbation du service fourni par l'entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique (point c) ;
• une perturbation du service fourni par l'entité pourrait induire un risque systémique important, en particulier pour les secteurs où elle pourrait avoir un impact transfrontière (point d) ;
• l'entité est critique en raison de son importance spécifique au niveau national ou régional pour son secteur ou son type de service, ou pour d'autres secteurs interdépendants dans l'État membre (point e) ;
• l'entité est une entité de l'administration publique des pouvoirs publics centraux, ou, au niveau régional, une entité qui, à la suite d'une évaluation basée sur les risques, fournit des services dont la perturbation pourrait avoir un impact important sur des activités sociétales ou économiques critiques, ces niveaux étant définis par chaque État membre conformément à son droit national (point f).

Les paragraphes 3 et 4 du même article visent aussi, quelle que soit leur taille, les entités recensées comme entités critiques en vertu de la directive (UE) 2022/2557 et les entités fournissant des services d'enregistrement de noms de domaine.

Parmi elles, l'article 3, paragraphe 1, classe comme entités essentielles quelle que soit leur taille les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS (point b), les entités de l'administration publique des pouvoirs publics centraux (point d), les entités identifiées comme essentielles par un État membre en vertu de l'article 2, paragraphe 2, points b) à e) (point e) et les entités critiques au sens de la directive (UE) 2022/2557 (point f). Les fournisseurs de réseaux publics ou de services de communications électroniques accessibles au public sont des entités essentielles lorsqu'ils constituent des moyennes entreprises (point c). Si vous pensez relever d'un de ces cas, lisez les articles 2 et 3 de la directive plutôt que de vous fier à la seule règle de taille.

Où en est la France, au 30 octobre 2026

La directive devait être transposée au plus tard le 17 octobre 2024 (article 41). En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui la transpose, a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Le 6 octobre 2026, la conférence des présidents de l'Assemblée l'a retiré de l'ordre du jour des séances des 7 et 9 octobre, sans nouvelle date. Le 8 juillet 2026, la Commission européenne avait saisi la Cour de justice de l'Union européenne contre la France, parmi quatre États, pour défaut de transposition complète. À la date de notre lecture, aucune loi n'est promulguée : les obligations nationales, leurs contrôles et leurs sanctions attendent ce texte et ses décrets, et aucun texte officiel ne fixe encore de date limite de mise en conformité. Le détail, date par date, est sur notre page Mon espace NIS2 : faut-il enregistrer votre entité ?

Le service de pré-enregistrement et le test en ligne de l'ANSSI sont déjà ouverts : le test indique si votre entité est régulée par la directive et à quelle catégorie elle appartient. Pour la démarche elle-même, voyez Mon espace NIS2 : faut-il enregistrer votre entité ?

Ce que la catégorie change concrètement

Les deux catégories doivent prendre les mêmes familles de mesures de l'article 21 et notifier leurs incidents importants selon l'article 23. La différence tient à trois choses.

• La supervision. Les entités essentielles relèvent d'une supervision a priori : l'autorité peut les inspecter sur place, mener des audits de sécurité réguliers ou ciblés et des scans de sécurité, sans attendre un indice de manquement (article 32). Les entités importantes relèvent d'une supervision a posteriori : l'autorité agit lorsqu'elle dispose d'éléments indiquant un manquement (article 33).
• Le plafond des amendes. Au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, au moins 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (article 34).
• Les mesures les plus lourdes. Pour une entité essentielle seulement, et en dernier recours, l'autorité peut demander la suspension temporaire d'une autorisation concernant tout ou partie de ses services, et l'interdiction temporaire pour un dirigeant d'exercer des fonctions de direction (article 32, paragraphe 5).

Dans le ReCyF, des exigences propres aux entités essentielles

Le Référentiel Cyber France de l'ANSSI traduit l'article 21 en exigences, rangées en 20 objectifs de sécurité. Chaque exigence porte la mention « EI/EE » lorsqu'elle vaut pour les deux catégories, ou « EE » lorsqu'elle ne vise que les entités essentielles. Sur le comparateur publié par l'ANSSI, nous avons relevé le 30 octobre 2026 152 exigences ; dans le document PDF de la version 2.5, 76 sont marquées « EI/EE » et 76 « EE ». Les cinq derniers objectifs ne comportent que des exigences « EE » : approche par les risques (16), audit de la sécurité des systèmes d'information (17), sécurisation de la configuration des ressources (18), administration depuis des ressources dédiées (19) et supervision de la sécurité (20).

Quelques exemples aident à mesurer l'écart. L'exigence 11.A.1, commune aux deux catégories, demande que « les actions d'administration sont effectuées exclusivement à partir de comptes d'administration ». L'exigence 19.4, réservée aux entités essentielles, va plus loin : « le poste physique utilisé pour effectuer des actions d'administration est utilisé exclusivement pour réaliser des actions d'administration ». De même, la procédure de traitement des incidents de l'exigence 12.1 est marquée « EE », alors que l'exigence 12.3, qui demande « des mécanismes permettant d'analyser et de qualifier les événements remontés et d'identifier les incidents potentiels ou avérés », vaut pour les deux catégories.

L'ANSSI présente ce référentiel comme une version de travail, « susceptible d'ajustements pour tenir compte des discussions parlementaires et des travaux règlementaires à venir ». Ces chiffres valent donc pour la version 2.5 du 17 mars 2026, et seront à relire à chaque nouvelle version.

Ni essentielle, ni importante : et vos clients ?

Une petite entreprise ou une activité absente des annexes reste en principe hors champ. Mais l'article 21, paragraphe 3, demande aux entités NIS2 de tenir compte des vulnérabilités propres à chacun de leurs fournisseurs et prestataires directs, et de la qualité globale de leurs pratiques de cybersécurité. Dans les faits, ce sont donc vos clients soumis à NIS2 qui vous poseront des questions : authentification, sauvegardes, gestion des accès, délai de signalement d'un incident. Préparer des réponses étayées coûte moins cher que de les improviser au moment d'un appel d'offres.

Ce que la configuration Microsoft 365 en dit

Quelle que soit votre catégorie, les premières exigences communes portent sur les identités et les accès (objectif 10 du ReCyF) et sur les comptes d'administration (objectif 11). Dans Microsoft 365, elles se lisent dans la configuration du locataire :

• l'authentification multifacteur est-elle exigée de tous, et en premier lieu des administrateurs, par les paramètres de sécurité par défaut ou par des stratégies d'accès conditionnel ?
• les protocoles d'authentification hérités, qui ne prennent pas en charge l'authentification multifacteur, sont-ils bloqués ?
• combien de personnes détiennent le rôle d'administrateur général ? Microsoft recommande moins de cinq ;
• les droits élevés sont-ils permanents, ou accordés juste à temps avec Privileged Identity Management ? Microsoft précise que cette fonction nécessite une licence Microsoft Entra ID P2 ou Gouvernance Microsoft Entra ID.

Une entité essentielle ira au-delà, vers les objectifs 18 à 20 : configuration durcie, administration depuis des ressources dédiées, supervision. Là aussi, le locataire porte des indices vérifiables, comme la présence et la durée de conservation des journaux d'audit.

Et ensuite

Savoir si vous êtes entité essentielle ou importante fixe le cadre qui vous concerne, pas l'état de vos outils. Si votre messagerie et vos documents sont dans Microsoft 365, SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de votre locataire et vous donnera des faits datés utiles pour la gestion des risques de l'article 21. Pour commencer seul, lisez comment savoir si votre Microsoft 365 est bien sécurisé et comment vérifier ce qu'a configuré votre prestataire.

Ce diagnostic ne garantit pas la conformité à NIS2, ne remplace pas un audit par un organisme tiers et ne couvre pas à lui seul les obligations de la directive.

SYAGA Audit pour votre Microsoft 365 : le diagnostic gratuit

Les sujets voisins : PSSI, charte, RGPD, AIPD

NIS2 ne vit pas seule. La politique de sécurité, la charte d'utilisation et la protection des données personnelles en sont les compagnons habituels, et chacun a sa propre page de référence :

• Comment mettre en place une PSSI dans son entreprise ? (la politique écrite que demande l'article 21, paragraphe 2, point a)
• Que doit contenir la PSSI d'une PME ?
• La charte informatique, adoptée dans les formes (les règles d'usage que la cyberhygiène du point g) suppose)
• Que doit faire une PME pour respecter le RGPD ?
• Quand une AIPD est-elle obligatoire ?

Sources

• Directive (UE) 2022/2555, articles 2, 3, 21, 32, 33, 34 et 41, annexes I et II : EUR-Lex.
• ANSSI, page NIS 2, test en ligne et comparateur ReCyF : MesServicesCyber ; ReCyF version 2.5.
• Assemblée nationale : dossier législatif et relevé du 6 octobre 2026 ; Commission européenne : communiqué IP/26/1499.
• Microsoft Learn : paramètres de sécurité par défaut, rôles d'administration.

Faits relus le 30/10/2026 sur les sources officielles citées (EUR-Lex, ANSSI, Assemblée nationale, Commission européenne, Microsoft Learn). Cette page informe ; elle ne constitue pas un conseil juridique.