NIS 2 : qui est concerné, et ce que « entité essentielle » veut dire

La question qu’on nous pose le plus souvent sur NIS 2 n’est pas « qu’est-ce qu’il faut faire ». C’est « est-ce que ça me concerne ». Et c’est la bonne question, parce que la réponse conditionne tout le reste : le niveau d’exigence, le régime de contrôle, le plafond des sanctions, et l’échéance à laquelle vous devez être prêt.

La directive (UE) 2022/2555, adoptée le 14 décembre 2022 et publiée au Journal officiel de l’Union européenne le 27 décembre 2022, remplace la directive NIS de 2016. Elle est entrée en vigueur le 16 janvier 2023, avec une échéance de transposition fixée au 17 octobre 2024 pour les États membres.

Son périmètre est sans commune mesure avec le texte précédent. Là où NIS 1 visait quelques centaines d’opérateurs désignés individuellement par chaque État, NIS 2 fonctionne par auto-identification : c’est à l’entité de déterminer si elle entre dans le champ.

Deux critères cumulatifs, pas un

Une entité relève de NIS 2 si elle coche un secteur et un seuil de taille. Les deux. C’est là que la plupart des auto-diagnostics dérapent.

Les secteurs

La directive distingue deux annexes.

L’annexe I — secteurs hautement critiques (11 secteurs) : énergie (électricité, réseaux de chaleur, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, maritime, routier), banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC en B2B, administration publique, espace.

L’annexe II — autres secteurs critiques (7 secteurs) : services postaux et d’expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication (dispositifs médicaux, informatique et électronique, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.

Les seuils

Le texte renvoie aux catégories de la recommandation 2003/361/CE de la Commission. En pratique :

• Grande entreprise : au moins 250 salariés, ou un chiffre d’affaires annuel supérieur à 50 M€ et un bilan supérieur à 43 M€.
• Moyenne entreprise : au moins 50 salariés, ou un chiffre d’affaires annuel supérieur à 10 M€.

En dessous de 50 salariés et de 10 M€, une entité est en principe hors périmètre — sauf exceptions, sur lesquelles nous revenons plus bas.

Entité essentielle ou importante : ce n’est pas qu’une étiquette

Le croisement secteur × taille détermine votre statut, défini à l’article 3 de la directive.

• Une grande entreprise d’un secteur de l’annexe I est une entité essentielle.
• Une moyenne entreprise de l’annexe I est une entité importante.
• Une moyenne ou grande entreprise de l’annexe II est une entité importante.

Les obligations de sécurité, elles, sont identiques. L’article 21 impose les mêmes dix catégories de mesures aux deux statuts. Ce qui change tient en deux points : la supervision et les sanctions.

La supervision

Les entités essentielles relèvent d’un régime de contrôle ex ante : l’autorité compétente peut, à tout moment et sans déclencheur, conduire des inspections sur site, des audits de sécurité ciblés ou aléatoires, demander des preuves de mise en œuvre et exiger un accès aux données.

Les entités importantes relèvent d’un régime ex post : le contrôle intervient lorsqu’un élément laisse penser qu’il y a manquement — un incident, un signalement, une information portée à la connaissance de l’autorité.

Concrètement, une entité essentielle doit pouvoir produire ses preuves à froid, n’importe quand. Une entité importante peut se permettre un dispositif un peu moins industrialisé, jusqu’au jour où elle doit le sortir en urgence, sous pression, après un incident.

Les sanctions

L’article 34 fixe des plafonds distincts :

• Entités essentielles : au moins 10 000 000 € ou 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.
• Entités importantes : au moins 7 000 000 € ou 1,4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.

L’ordre de grandeur est volontairement calqué sur celui du RGPD. Ce n’est pas un hasard : le législateur européen a voulu que la cybersécurité devienne un sujet de conseil d’administration, pas de direction technique.

La responsabilité des dirigeants, la vraie nouveauté

C’est l’article 20 qui a le plus changé la donne, et il est souvent survolé.

Il impose aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre, et prévoit qu’ils puissent être tenus responsables des manquements. Il ajoute une obligation de formation des dirigeants eux-mêmes, et encourage l’extension de cette formation aux salariés.

Autrement dit : la signature d’une politique de sécurité par un comité de direction n’est plus une formalité de gouvernance. C’est un acte engageant.

Dans les organisations que nous accompagnons, c’est presque toujours cet article qui débloque le budget — pas les plafonds de sanction, qui restent abstraits tant qu’aucune décision n’est tombée.

Les exceptions qui font entrer les petits

La directive prévoit des cas où le critère de taille ne s’applique pas. Sont concernés quelle que soit leur dimension, notamment :

• les fournisseurs de réseaux de communications électroniques publics et de services accessibles au public ;
• les fournisseurs de services DNS et les registres de noms de domaine de premier niveau ;
• les prestataires de services de confiance ;
• les entités qui sont le seul prestataire d’un service essentiel dans un État membre, ou dont la perturbation aurait un impact significatif sur la sécurité publique, la sûreté publique ou la santé publique ;
• certaines entités de l’administration publique.

Le raisonnement par la taille seule ne suffit donc pas. Une structure de quinze personnes peut être dans le périmètre ; une entreprise de trois cents salariés peut ne pas y être.

La voie par laquelle la plupart le découvrent

Sur nos missions, une majorité de nos interlocuteurs n’ont pas découvert NIS 2 en lisant la directive. Ils l’ont découvert parce qu’un client leur a envoyé un questionnaire sécurité, ou parce qu’une clause nouvelle est apparue dans un renouvellement de contrat.

C’est la conséquence directe de l’article 21, paragraphe 2, point d), qui impose aux entités concernées de traiter la sécurité de la chaîne d’approvisionnement, y compris les relations avec leurs fournisseurs directs et prestataires de services.

Une entité dans le périmètre répercute donc mécaniquement ses exigences sur ses fournisseurs, qu’ils soient eux-mêmes assujettis ou non. Si vous n’êtes pas concerné directement mais que vous vendez à quelqu’un qui l’est, vous serez concerné par ricochet : sans les sanctions, mais avec les questionnaires, les audits et les clauses contractuelles.

Notre conseil, dans ce cas : traitez le sujet comme si vous étiez assujetti. Le coût de mise à niveau est le même, et vous évitez de le refaire à chaque appel d’offres.

Comment qualifier votre situation, concrètement

La démarche tient en quatre étapes.

1. Cartographier vos activités réelles par rapport aux annexes I et II, en partant de ce que vous faites, pas de votre code NAF. Un même groupe peut avoir une activité en annexe I et trois autres hors périmètre.

2. Consolider vos seuils au bon niveau juridique. C’est souvent ici que le diagnostic bascule : une filiale prise isolément passe sous les seuils, le groupe non. La règle de consolidation des entreprises liées de la recommandation 2003/361/CE s’applique.

3. Vérifier les exceptions énumérées plus haut, qui peuvent vous faire entrer indépendamment de la taille.

4. Documenter le raisonnement. Que vous concluiez à l’assujettissement ou non, écrivez pourquoi. C’est ce document que vous produirez si la question vous est posée — par une autorité, un client ou un assureur.

Comptez une à trois semaines pour un groupe de taille moyenne avec plusieurs activités. C’est peu au regard de ce qui en découle.

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022 (texte intégral, EUR-Lex) — articles 3, 20, 21, 23, 34 et annexes I et II.
• Recommandation 2003/361/CE de la Commission — définition des catégories d’entreprises et règles de consolidation.
• ANSSI — autorité nationale compétente en France. Les modalités opérationnelles (déclaration, points de contact, calendrier de mise en conformité) relèvent du texte de transposition national : vérifiez l’état en vigueur avant toute démarche.

Cet article présente le contenu de la directive européenne. Les modalités d’application en France dépendent du texte de transposition et des précisions apportées par l’ANSSI.

Aller plus loin

Notre formation NIS 2 Directive Foundation couvre la qualification du périmètre et les exigences de l’article 21. Pour piloter une mise en conformité complète, la formation NIS 2 Lead Implementer est le niveau adapté.

Si le sujet est déjà cadré et que vous cherchez des consultants pour le mettre en œuvre, nous intervenons en gouvernance, risques et conformité, en régie comme au forfait.