Directive (UE) 2022/2555, articles 2 et 3
Entités essentielles et entités importantes sous NIS2 : comment se détermine la qualification, et ce qu'elle change
La directive NIS2 ne crée pas une obligation unique applicable à tous. Elle range les organisations assujetties en deux catégories, essentielles et importantes, soumises aux mêmes obligations de fond mais à des régimes de supervision et de sanction distincts. La qualification résulte du croisement de trois critères : le secteur, la taille et une série d'exceptions qui rattrapent les entités que la règle de taille aurait laissées de côté.
Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Le principe : la règle de plafonnement en fonction de la taille
L'article 2.1 de la directive pose la règle générale. Elle s'applique aux entités publiques ou privées relevant d'un des types visés aux annexes I ou II, qui atteignent au moins la taille d'une moyenne entreprise au sens de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui dépassent les plafonds de la moyenne entreprise.
Concrètement, cela vise les entités occupant au moins 50 personnes, ou dont le chiffre d'affaires annuel et le total du bilan annuel excèdent chacun 10 millions d'euros. La directive appelle cela la règle de plafonnement en fonction de la taille : elle écarte en principe les micro et petites entreprises du champ d'application.
Le mot « en principe » a son importance, car l'article 2 comporte ensuite une série de dérogations qui font tomber ce seuil pour des catégories entières.
Les entités visées quelle que soit leur taille
L'article 2.2 écarte la règle de taille dans plusieurs hypothèses. Une organisation de dix personnes peut donc relever pleinement de la directive.
Certains services de communication et de confiance
Fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public, prestataires de services de confiance, registres de noms de domaine de premier niveau et fournisseurs de services DNS, quelle que soit leur taille.
Fournisseur unique ou service critique
L'entité est le seul fournisseur, dans un État membre, d'un service essentiel au maintien d'activités sociétales ou économiques critiques ; ou une perturbation du service qu'elle fournit pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique.
Risque systémique et importance particulière
Une perturbation du service pourrait induire un risque systémique important, en particulier pour des secteurs où elle pourrait avoir un impact transfrontière ; ou l'entité est critique en raison de son importance spécifique au niveau national ou régional pour le secteur ou pour d'autres secteurs interdépendants.
Administration publique et entités désignées
Les entités de l'administration publique centrale, ainsi que, selon le choix de l'État membre, celles du niveau régional. S'y ajoutent les entités désignées comme critiques au titre de la directive (UE) 2022/2557 sur la résilience des entités critiques, et les entités qui fournissent des services d'enregistrement de noms de domaine.
La ligne de partage entre les deux catégories
L'article 3.1 énumère les entités essentielles. Il s'agit, pour l'essentiel, des entités relevant des types visés à l'annexe I, qui dépassent les plafonds de la moyenne entreprise, c'est-à-dire qui occupent au moins 250 personnes, ou dont le chiffre d'affaires annuel excède 50 millions d'euros et le total du bilan 43 millions d'euros. S'y ajoutent les catégories visées quelle que soit leur taille mentionnées plus haut, les entités désignées comme critiques au titre de la directive (UE) 2022/2557, et les entités identifiées comme opérateurs de services essentiels sous l'ancienne directive NIS.
L'article 3.2 opère par différence : sont importantes les entités relevant des annexes I ou II qui ne sont pas qualifiées d'essentielles. La catégorie « importante » rassemble donc les entités de taille moyenne des secteurs de l'annexe I et l'ensemble des entités assujetties des secteurs de l'annexe II.
L'annexe I couvre les secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC interentreprises, administration publique et espace. L'annexe II couvre les autres secteurs critiques : services postaux et d'expédition, gestion des déchets, fabrication, production et distribution de produits chimiques, production, transformation et distribution de denrées alimentaires, fabrication de certains produits, fournisseurs numériques et organismes de recherche.
Ce que la qualification change, et ce qu’elle ne change pas
Les obligations de fond sont les mêmes pour les deux catégories. Les mesures de gestion des risques de l'article 21 et les obligations de notification de l'article 23 s'appliquent identiquement à une entité essentielle et à une entité importante. Il en va de même de l'article 20, qui rend les organes de direction responsables de l'approbation des mesures et de la surveillance de leur mise en œuvre, et qui leur impose de suivre une formation.
La différence porte sur le contrôle. L'article 32 soumet les entités essentielles à une supervision ex ante : les autorités compétentes peuvent procéder à des inspections sur place et à des contrôles hors site réguliers, à des audits de sécurité et à des demandes d'informations, sans avoir à justifier d'un manquement préalable. L'article 33 soumet les entités importantes à une supervision ex post : les autorités n'interviennent que lorsqu'elles ont connaissance d'éléments indiquant un manquement.
Elle porte aussi sur le niveau de sanction. L'article 34 impose aux États membres de prévoir, pour les entités essentielles, un plafond d'amende administrative d'au moins 10 000 000 EUR ou d'au moins 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour les entités importantes, ce plancher de plafond est fixé à 7 000 000 EUR ou 1,4 %, selon la même règle.
L'article 32.5 va plus loin pour les seules entités essentielles : les autorités peuvent, en cas de manquement persistant, suspendre temporairement une certification ou une autorisation, et demander l'interdiction temporaire d'exercer des fonctions de direction à une personne physique exerçant des responsabilités dirigeantes.
L'obligation d'enregistrement, article 3.4
La directive ne laisse pas l'assujettissement à l'appréciation silencieuse de l'entité. L'article 3.4 impose aux États membres d'établir une liste des entités essentielles et importantes, et prévoit que ces entités communiquent aux autorités compétentes au minimum leur nom, leur adresse et leurs coordonnées à jour, les secteurs et sous-secteurs concernés, et la liste des États membres où elles fournissent des services relevant du champ de la directive.
Toute modification de ces éléments doit être notifiée sans retard, et en tout état de cause dans un délai de deux semaines à compter de la date de la modification.
Les modalités pratiques de cet enregistrement, l'autorité compétente à saisir et le portail à utiliser relèvent de la transposition nationale. La France est en cours de transposition : les obligations ne sont pas encore exigibles, mais la préparation est engagée. À la date de vérification de cette analyse, l'ANSSI désigne encore le texte comme un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, et les décrets d'application ne sont pas publiés.
L'ANSSI diffuse en revanche, depuis le 17 mars 2026, le Référentiel Cyber France (ReCyF), qui correspond au référentiel de cybersécurité mentionné à l'article 14 du projet de loi. Il est publié en tant que document de travail et présenté comme par défaut non obligatoire. Une entité qui anticipe son assujettissement a donc un document de référence sur lequel s'appuyer, sans que sa mise en œuvre soit aujourd'hui exigible.
L'intervention correspondante
La qualification ne se déduit pas d'une lecture rapide du secteur : elle suppose de vérifier le type d'entité au sens des annexes, la taille au sens de la recommandation 2003/361/CE, et l'ensemble des exceptions de l'article 2.
Déterminer votre assujettissement à NIS2 et construire le plan de mise en conformitéTextes et sources cités
- Directive (UE) 2022/2555, texte au JOUE
- Recommandation 2003/361/CE (définition des PME)
- ANSSI, autorité nationale de cybersécurité
Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.