NIS 2 : 50 salariés peuvent suffire, le secteur décide du reste

En France, les critères publiés par l’ANSSI indiquent qu’une entreprise de 50 salariés peut relever de NIS 2 si elle exerce une activité visée ; la transposition nationale reste en cours. L’effectif peut donc suffire à franchir le seuil de taille, mais il ne qualifie jamais l’activité à lui seul. Des critères financiers et des cas particuliers peuvent également modifier la réponse.

Pour savoir si une organisation est concernée, partez du service réellement fourni par chaque entité juridique, rapprochez-le des types d’entités visés, puis examinez sa dimension et les exceptions. Si cette analyse conduit à un assujettissement probable, réunissez d’abord les éléments qui relient les activités aux responsables, aux systèmes d’information et au traitement des incidents. Cela permet de préparer la sécurité sur un périmètre défini.

Quel service l’entreprise fournit-elle réellement ?

Un intitulé général comme « industrie » ou « numérique » ne suffit pas à classer une entreprise. Le champ de NIS 2 décrit des types d’entités au sein de secteurs tels que l’énergie, les transports, l’eau potable, la santé, les infrastructures numériques, les services postaux ou certaines activités manufacturières. Il faut donc identifier la prestation concrète, puis vérifier qu’elle correspond à une catégorie visée, plutôt que déduire l’assujettissement d’un code d’activité ou d’une présentation commerciale.

Une entreprise peut cumuler plusieurs métiers. La question doit alors porter sur chacun des services qu’elle fournit en son nom : une activité potentiellement visée ne disparaît pas parce qu’elle représente une faible part de son chiffre d’affaires. À l’inverse, une entreprise de taille comparable qui vend des vêtements sans exercer d’autre activité visée ne devient pas assujettie du seul fait de son effectif. Cet exemple est conditionnel : la conclusion dépend toujours des activités effectivement exercées.

Un premier questionnaire sectoriel peut tenir en quelques lignes :

• Quels services la personne morale fournit-elle directement, et à quels clients ou usagers ?
• Pour chaque service, quel type d’entité visé par NIS 2 correspond précisément à son rôle ?
• Une autre activité de la même société entre-t-elle dans le champ, même si elle n’est pas son métier principal ?
• Où l’entité est-elle établie et où fournit-elle ses services ? Ces deux informations peuvent compter différemment selon l’activité.

La réponse doit nommer le service et la société qui le fournit. Elle peut rester « à confirmer » lorsqu’une définition sectorielle ou une situation transfrontalière exige une analyse juridique plus poussée. Ce point précis est alors plus utile qu’une conclusion générale fondée sur le seul nom du groupe.

Que change la taille après le filtre sectoriel ?

Pour une activité visée, l’effectif est un critère de classement, auquel s’ajoutent le chiffre d’affaires annuel et le total du bilan. La catégorie « entité importante » couvre notamment des organisations qui atteignent le seuil général de taille sans relever de la catégorie « entité essentielle ». Cette dernière peut résulter d’une dimension supérieure ou de règles propres au type d’activité. Il faut conserver la période et la méthode des données retenues : un effectif isolé, sans entité ni exercice de référence, ne permet pas de reprendre correctement le raisonnement.

Le seuil général connaît aussi des exceptions. Des fournisseurs de services de confiance, de DNS ou de communications électroniques, ainsi que certaines administrations, relèvent de critères particuliers. D’autres désignations peuvent dépendre de la criticité d’une activité indépendamment de la taille. Une société située sous le seuil habituel ne peut donc pas conclure automatiquement qu’elle est hors champ ; une société qui le dépasse doit toujours revenir à son activité.

La fiche de qualification gagne à séparer trois réponses : l’activité correspond-elle à un type visé, la dimension atteint-elle le critère applicable, et une règle particulière change-t-elle le résultat ? Cette séparation évite de transformer un seuil pratique en règle universelle. Elle rend aussi visible la raison d’une éventuelle incertitude, alors que les textes français de transposition sont encore en préparation.

Comment qualifier une filiale ou une activité dans plusieurs pays ?

Dans un groupe, chaque personne morale exerçant une activité potentiellement visée mérite sa propre analyse. La FAQ de l’ANSSI sur les groupes précise que les entités doivent être examinées individuellement, tout en tenant compte, selon les cas, des entreprises partenaires ou liées ; un même groupe peut réunir des entités importantes et essentielles. Le métier de la maison mère ne classe donc pas automatiquement toutes ses filiales.

Pour chaque société, notez les services fournis, le pays d’établissement, les liens avec les autres entreprises du groupe et les données de taille utilisées. Les ressources informatiques communes méritent une ligne distincte : leur partage peut compliquer l’attribution des responsabilités, mais il ne remplace pas l’analyse de l’entité qui fournit le service. Si une société est présente dans plusieurs États membres, la localisation de ses serveurs ne détermine pas, à elle seule, quelle autorité est compétente.

La règle de compétence varie selon la prestation. Certains acteurs numériques relèvent en principe de l’État membre de leur établissement principal, tandis que la fourniture de services de communications électroniques dans plusieurs pays peut entraîner des compétences distinctes. Une fiche qui indique simplement « activité en France » laisse donc ouverte une question importante pour ces acteurs : qui fournit le service, depuis quel établissement et sous quel régime sectoriel ?

Quelles premières preuves réunir si l’entité est concernée ?

Le ReCyF, version de travail 2.5 du 17 mars 2026, prévoit notamment de recenser les activités et les services, de leur attribuer un responsable et de lister les systèmes d’information qui les soutiennent. Il place la gouvernance de la sécurité sous la responsabilité du dirigeant exécutif. Ce document prépare la mise en conformité, mais sa version de travail peut évoluer avec les textes français.

1. Décrire le périmètre. Conservez la conclusion de qualification par entité et la liste de ses activités et services. Incluez ceux qui n’ont pas déclenché son entrée dans le champ : ils peuvent néanmoins dépendre des mêmes systèmes ou contribuer à la continuité d’un service visé.
2. Attribuer les responsabilités. Associez un responsable à chaque activité et identifiez la personne qui coordonne la sécurité numérique. Précisez le rôle du dirigeant, des équipes internes et des prestataires dans les décisions de sécurité, afin qu’un système partagé ne reste pas sans responsable désigné.
3. Relier les systèmes aux services. Pour chaque activité, recensez les systèmes qui la soutiennent, y compris les ressources externalisées ou mutualisées relevant de la responsabilité de l’entité. Indiquez leurs dépendances principales : cette correspondance aide à savoir quel service serait affecté par une panne ou un incident.
4. Préparer le circuit d’incident. Définissez qui reçoit l’alerte, qui apprécie l’effet sur les services et qui décide d’une éventuelle déclaration. Conservez les informations nécessaires pour décrire l’incident et son évolution, sans attendre qu’une crise révèle les lacunes de la chaîne de décision.

Une fois le périmètre établi, l’entité peut préparer son enregistrement auprès de l’ANSSI et organiser ses mesures de gestion des risques. La liste des services, des responsables et des systèmes fournit alors une base concrète pour choisir ces mesures et traiter les incidents selon l’activité réellement exercée.

À lire aussi :

• Freelance ou salarié déguisé : le contrat ne décide pas du statut
• Facture électronique : le PDF par e-mail ne suffira plus
• PEA ou CTO pour la tech américaine : la fiscalité ne décide pas seule