Deux conditions, et il faut les deux
L'article 2 §1 de la directive (UE) 2022/2555 pose deux exigences cumulatives. L'entité doit être « d'un type visé à l'annexe I ou II » et atteindre une certaine taille. La plupart des articles de vulgarisation ne parlent que de la seconde, ce qui conduit à effrayer des entreprises qui ne relèvent d'aucune annexe.
La taille : avoir cessé d'être une petite entreprise
La directive renvoie à la recommandation 2003/361/CE. Le seuil d'entrée est la qualité d'entreprise moyenne, ce qui signifie concrètement : avoir cessé d'être une petite entreprise.
| Catégorie | Effectif | CA ou bilan | NIS 2 |
|---|---|---|---|
| Microentreprise | moins de 10 | 2 M€ au plus | Hors champ par la taille |
| Petite | moins de 50 | 10 M€ au plus | Hors champ par la taille |
| Moyenne | moins de 250 | 50 M€ ou 43 M€ de bilan | Dans le champ |
| Grande | 250 et plus | au-delà | Dans le champ |
Deux points de lecture que l'on manque souvent. L'effectif est un plafond que rien ne compense : à cinquante salariés, on n'est plus une petite entreprise, quels que soient les comptes. Et les deux critères financiers sont alternatifs — « le chiffre d'affaires annuel ou le total du bilan » —, de sorte qu'une société de 49 salariés déclarant 40 M€ de chiffre d'affaires reste petite si son bilan tient sous dix millions.
Le piège des filiales
L'annexe de la recommandation impose d'ajouter 100 % des données des entreprises liées. Une filiale de dix salariés détenue par un groupe de cinq mille n'est donc pas une microentreprise — elle est une grande entreprise, et relève de NIS 2 si son activité figure aux annexes. La directive n'écarte expressément qu'un seul paragraphe de cette annexe, l'article 3 §4 ; le reste, dont la règle de consolidation, s'applique.
Le secteur ne suffit pas : les annexes listent des types d'entités
C'est l'erreur la plus répandue. Les annexes ne disent pas « transports » ou « santé » au sens courant : elles nomment des types d'entités définis par renvoi à d'autres textes européens, bien plus étroits qu'un code d'activité. Trois exemples qui surprennent :
- Le transport routier de marchandises ne relève d'aucune annexe. Le sous-secteur routier de l'annexe I ne vise que les autorités routières chargées du contrôle de la gestion de la circulation et les exploitants de systèmes de transport intelligents. Le transport ferroviaire, lui, y figure bien.
- La gestion des déchets est à l'annexe II (« autres secteurs critiques »), et non à l'annexe I. La distinction n'est pas cosmétique : seules les entités de l'annexe I peuvent être qualifiées d'entités essentielles.
- L'assurance ne figure pas dans NIS 2. L'annexe I ne connaît que le secteur bancaire — les établissements de crédit — et les infrastructures des marchés financiers.
De même, dans le numérique, l'annexe I vise les fournisseurs de services gérés et de services de sécurité gérés : écrire du logiciel ou vendre du conseil n'y suffit pas.
Les cas où la taille est indifférente
Quelques situations placent une entité dans le champ quelle que soit sa taille. La plus inattendue pour une petite structure est la dernière.
- Communications électroniques Fournisseurs de réseaux ou de services de communications électroniques accessibles au public. Art. 2 §2 a) i)
- Services de confiance Signature, cachet, horodatage, envoi recommandé électroniques, authentification de site web. Art. 2 §2 a) ii)
- DNS et registres de TLD Fournisseurs de services DNS et registres de noms de domaine de premier niveau. Art. 2 §2 a) iii)
- Entités critiques Entités recensées comme critiques au titre de la directive (UE) 2022/2557. Art. 2 §3
- Enregistrement de noms de domaine Bureaux d'enregistrement et revendeurs. C'est le cas qui vise le plus souvent de très petites structures : une agence web qui enregistre des domaines pour ses clients entre dans le champ, sans aucun seuil. Art. 2 §4
Attention à la lecture de ces exceptions
D'autres situations sont mentionnées par la directive — prestataire unique d'un service essentiel, impact sur la sécurité publique, risque systémique, importance nationale ou régionale. Mais pour celles-là, l'article 3 §1 e) exige que l'État membre vous ait identifié. Répondre « oui » à ces questions vous-même ne vous rend pas assujetti : c'est l'autorité qui décide.
Où en est la loi française
Au 6 septembre 2026, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2 en droit français, n'est pas promulgué. Les seuils cités ici sont ceux de la directive ; la loi de transposition pourra les préciser.
L'ANSSI met à disposition un simulateur sur MonEspaceNIS2. C'est la référence officielle — étant entendu qu'un simulateur n'a pas de valeur juridique et que seule la loi, une fois promulguée, sera opposable.
Et si vous n'êtes pas concerné ?
C'est le cas le plus probable, et cela ne veut pas dire qu'aucune obligation ne pèse sur vous. Deux règles valent pour toute entreprise française, quelle que soit sa taille : la notification d'une violation de données à la CNIL sous 72 heures, et le dépôt de plainte sous 72 heures qui conditionne l'indemnisation par votre assureur.
La fiche réflexe d'une page, à imprimer et à afficher · Les deux délais de 72 heures que tout le monde confond
Répondre en six questions
Le simulateur applique le texte de la directive à votre situation et cite l'article qui fonde la réponse — y compris quand elle est « non ».
Savoir où vous en êtes, gratuitement
Le diagnostic établit votre situation réglementaire à partir de votre code d'activité et de votre taille, en citant l'article qui la fonde — y compris quand la réponse est « vous n'êtes pas concerné ».
Sources
- Directive (UE) 2022/2555 dite NIS 2 — articles 2 et 3, annexes I et II.
- Recommandation 2003/361/CE — annexe, articles 2 à 6, définition des catégories d'entreprises et règles de consolidation.
- La directive NIS 2, ANSSI.
Cette page décrit l'état du droit au 10 septembre 2026. Elle expose des règles générales et ne constitue pas un conseil juridique.
Rédigé et vérifié par Thierry Murte, gérant de CyQuant Management (SIREN 981 436 686), à partir des textes primaires liés ci-dessus.