NIS2 : votre entreprise est-elle concernée ?

Votre entreprise est concernée par NIS2 si elle exerce une activité dans l’un des 18 secteurs listés par la directive et qu’elle compte au moins 50 salariés, ou réalise un chiffre d’affaires et un bilan annuels supérieurs à 10 millions d’euros. En dessous de ces seuils, une TPE ou une petite PME n’est en principe pas visée directement, sauf exceptions, mais elle peut l’être indirectement si ses clients sont eux-mêmes régulés. Voici les critères, le test en ligne de l’ANSSI, les obligations, les sanctions et l’état de la loi française.

Qu’est-ce que la directive NIS2 ?

NIS2 (pour Network and Information Security, appelée « SRI 2 » en français) est la directive européenne (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d’information. Elle remplace la première directive NIS de 2016 et élargit fortement son champ : selon l’ANSSI (Agence nationale de la sécurité des systèmes d’information), plusieurs milliers d’entités seront concernées en France, surtout des moyennes et grandes entreprises, des collectivités et des administrations.

Où en est la loi française ?

Les États membres devaient transposer NIS2 dans leur droit national au plus tard le 17 octobre 2024. En France, cette transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». D’après le dossier législatif de l’Assemblée nationale :

• 15 octobre 2024 : dépôt du texte au Sénat, en procédure accélérée ;
• 12 mars 2025 : adoption par le Sénat en première lecture ;
• 10 septembre 2025 : texte adopté par la commission spéciale de l’Assemblée nationale.

L’examen en séance publique à l’Assemblée, prévu les 7 et 9 octobre 2026, a été retiré de l’ordre du jour le 6 octobre 2026, sans nouvelle date ; un examen en novembre est évoqué, sans certitude. À la fin d’octobre 2026, au moment où nous écrivons ces lignes, la loi n’est donc ni adoptée, ni promulguée, et aucun décret d’application n’est publié : les obligations de NIS2 ne s’imposent pas encore aux entreprises françaises.

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Espagne, l’Irlande et les Pays-Bas pour ce retard. Le contenu des obligations, lui, est connu : il découle de la directive, et l’ANSSI invite les futures entités régulées à s’y préparer dès maintenant.

Votre entreprise est-elle concernée ? Les deux critères

1. Votre secteur d’activité

La directive vise 18 secteurs, répartis en deux annexes :

• Secteurs hautement critiques (annexe I) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services informatiques entre entreprises (infogérance, services de sécurité managés), administration publique, espace.
• Autres secteurs critiques (annexe II) : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires (production, transformation, distribution), industrie manufacturière (dont dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux), recherche.

Attention : il suffit qu’une de vos activités relève d’un de ces secteurs, même si ce n’est pas votre activité principale.

2. Votre taille

La taille se mesure sur l’ensemble de l’entreprise, toutes activités confondues, selon la définition européenne de la PME :

Catégorie	Secteurs	Seuils
Entité essentielle (EE)	Annexe I	Au moins 250 salariés, ou chiffre d’affaires supérieur à 50 M€ et bilan supérieur à 43 M€
Entité importante (EI)	Annexes I et II	Au moins 50 salariés, ou chiffre d’affaires et bilan supérieurs à 10 M€ (sans être entité essentielle)
Hors champ (en principe)	Tous	Moins de 50 salariés et chiffre d’affaires ou bilan inférieur à 10 M€

Il existe des exceptions sans condition de taille : opérateurs télécoms, prestataires de services de confiance (signature électronique, par exemple), fournisseurs de services DNS, registres de noms de domaine de premier niveau et bureaux d’enregistrement. L’État peut aussi désigner une petite entité jugée critique, par exemple si elle est seule à fournir un service essentiel.

Le test en ligne de l’ANSSI

Pour vérifier votre situation, l’ANSSI propose un test « Suis-je concerné ? » gratuit, lancé à l’origine sur son service MonEspaceNIS2 et désormais accessible depuis sa page NIS 2 sur MesServicesCyber. En quelques questions sur votre activité et votre taille, il indique si vous seriez entité essentielle, importante ou non régulée. Son résultat est indicatif : en cas de doute, une analyse juridique reste nécessaire. La même page permet déjà de pré-enregistrer votre entreprise.

Quelles obligations pour les entités régulées ?

L’ANSSI les résume en trois volets.

• S’enregistrer auprès de l’ANSSI : c’est à l’entreprise de s’identifier elle-même, sans attendre d’être contactée.
• Gérer les risques cyber : l’article 21 de la directive impose un socle minimal de mesures, dont l’analyse des risques, la gestion des incidents, la continuité d’activité (sauvegardes, reprise, gestion de crise), la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, la formation et l’hygiène informatique, le chiffrement, le contrôle des accès et l’authentification multifacteur. Elles s’appliquent à tous les systèmes d’information de l’entreprise, pas seulement à l’activité régulée.
• Déclarer les incidents importants : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification détaillée sous 72 heures, puis un rapport final au plus tard un mois après.

Pour préciser ces mesures, l’ANSSI a rendu public le 17 mars 2026 une version de travail du Référentiel Cyber France (ReCyF), susceptible d’évoluer avec les débats parlementaires. Les exigences y sont plus fortes pour les entités essentielles que pour les entités importantes.

Les dirigeants en première ligne

NIS2 fait de la cybersécurité une affaire de direction. Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et peuvent être tenus responsables en cas de manquement. Ils doivent aussi suivre une formation à la cybersécurité.

Quelles sanctions ?

La directive impose aux États de prévoir des amendes dont le plafond atteint au moins :

• pour une entité essentielle : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ;
• pour une entité importante : 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial.

Les montants applicables en France dépendront du texte définitivement voté.

Petite entreprise : l’effet indirect de NIS2

Une TPE de 10 personnes n’a, en principe, ni à s’enregistrer ni à déclarer ses incidents à l’ANSSI. Mais NIS2 oblige les entités régulées à sécuriser leur chaîne d’approvisionnement, y compris leurs relations avec leurs fournisseurs et prestataires directs.

Si vous êtes sous-traitant, fournisseur ou prestataire d’une entreprise régulée, elle pourra donc vous demander des garanties : questionnaire de sécurité, clauses contractuelles, preuves de sauvegarde ou de double authentification. Les mesures attendues relèvent de la bonne hygiène informatique :

1. Activer la double authentification sur la messagerie et les comptes administrateurs (voir notre guide sur la double authentification (MFA)).
2. Appliquer les mises à jour et tenir l’inventaire de votre parc.
3. Sauvegarder vos données, dont une copie hors ligne, et tester la restauration.
4. Sensibiliser vos équipes à l’hameçonnage.
5. Écrire une procédure d’incident : qui prévenir, et comment informer un client touché.

Nos 6 bonnes pratiques pour la sécurité informatique en entreprise détaillent ces gestes.

Questions fréquentes

NIS2 est-elle déjà obligatoire en France ?

Pas encore à la fin d’octobre 2026 : le projet de loi « Résilience », qui transpose NIS2, a été adopté par le Sénat le 12 mars 2025 mais attend toujours son examen en séance à l’Assemblée nationale. Les obligations s’appliqueront après le vote définitif, la promulgation de la loi et la publication de ses décrets. Le contenu des obligations est toutefois connu, et l’ANSSI invite les entreprises concernées à s’y préparer.

Une entreprise de moins de 50 salariés est-elle concernée par NIS2 ?

En principe non, si son chiffre d’affaires ou son bilan annuel ne dépasse pas 10 millions d’euros. Il existe des exceptions sans seuil de taille, comme les opérateurs télécoms, les prestataires de services de confiance et les acteurs des noms de domaine. Une petite entreprise peut aussi être concernée indirectement, quand ses clients régulés lui imposent des exigences de sécurité.

Quelle est la différence entre entité essentielle et entité importante ?

Les entités essentielles sont, en règle générale, les grandes entreprises (au moins 250 salariés, ou plus de 50 M€ de chiffre d’affaires et 43 M€ de bilan) des secteurs hautement critiques. Les entités importantes sont les autres entreprises régulées, à partir de 50 salariés ou 10 M€ de chiffre d’affaires et de bilan. Les exigences et les plafonds d’amende sont plus élevés pour les entités essentielles.

La certification ISO 27001 suffit-elle pour être conforme à NIS2 ?

Non. Selon l’ANSSI, une certification ISO 27001 ne vaut pas, à elle seule, conformité à NIS2, car les deux référentiels poursuivent des objectifs différents. Elle constitue en revanche une bonne méthode pour structurer la démarche et mettre en œuvre les mesures attendues.

Faire le point sur votre situation

Que votre entreprise entre dans le champ de NIS2 ou qu’elle travaille pour des clients régulés, la démarche commence de la même façon : un état des lieux de votre sécurité et un plan d’action réaliste. Chez ITAK IT, nous accompagnons les TPE et PME d’Île-de-France sur ces mesures concrètes : double authentification, sauvegardes, mises à jour, supervision. Découvrez notre offre de sécurité des données informatiques ou contactez notre équipe pour en parler.