NIS2 : entités importantes ou essentielles, quels seuils ?

Ce que NIS2 change concrètement

Par rapport à NIS1, NIS2 élargit le périmètre des organisations concernées et renforce le pilotage de la cybersécurité. La préparation doit couvrir les choix techniques, les pratiques de travail et les responsabilités :

• Un périmètre plus large : davantage de secteurs et d’entreprises, avec les catégories « essentielle » et « importante ».
• Une gestion des risques structurée : prévention, continuité, sauvegardes, sécurité des accès et des fournisseurs, traitement des vulnérabilités et gestion des incidents.
• Une implication de la direction : validation des mesures, supervision et formation des dirigeants.
• Des contrôles et un régime de sanctions renforcés : avec des obligations de notification pour les incidents significatifs.

La santé et de nombreux autres secteurs concernés

NIS2 vise des types d’activités définis dans deux annexes. L’annexe I regroupe les secteurs dits hautement critiques, dont la santé, l’énergie, les transports, l’eau et certaines activités numériques. L’annexe II couvre notamment certaines activités manufacturières, l’alimentaire, les déchets, les services postaux et la recherche.

Le secteur de la santé est notamment concerné à travers les prestataires de soins, dont les établissements de santé, ainsi que certaines activités pharmaceutiques. Pour ces structures, la sécurité informatique contribue à la disponibilité des outils et à la continuité des soins.

Entités importantes ou essentielles : quels seuils ?

Voici les repères généraux pour les entreprises exerçant une activité visée par NIS2. Le secteur et la taille doivent être examinés ensemble. CA désigne le chiffre d’affaires annuel, bilan le total du bilan annuel et M€ signifie millions d’euros.

Catégorie, hors cas particuliers	Activité et seuils généraux
Entité essentielle (EE)	Activité visée par l’annexe I. Seuil de taille : au moins 250 personnes OU (CA > 50 M€ ET bilan > 43 M€).
Entité importante (EI)	Activité visée par l’annexe I ou II. Seuil de taille : au moins 50 personnes OU (CA > 10 M€ ET bilan > 10 M€), sans relever de la catégorie essentielle. Les grandes entreprises de l’annexe II restent donc, en principe, importantes.

Les « OU » et les « ET » comptent : le critère d’effectif peut suffire. Pour la branche financière, les deux seuils doivent être dépassés ensemble. Atteindre exactement les plafonds financiers ne suffit pas à déclencher cette branche.

Les effectifs et données financières sont calculés selon les règles européennes, qui peuvent intégrer les entreprises liées ou partenaires. Les régimes particuliers, notamment ceux de certains services numériques, services de confiance, communications électroniques, administrations ou entités désignées, doivent aussi être examinés. Le simulateur NIS2 de l’ANSSI permet un premier repérage.

NIS2 : exemples d’entreprises et critères de classement

Ces exemples sont illustratifs : ils ne constituent pas une décision d’assujettissement. Le classement dépend de l’entité juridique, de ses activités réelles et de sa taille calculée, en tenant compte des entreprises liées ou partenaires et des cas particuliers. Les repères ci-dessous devront être rapprochés des textes français adoptés.

Un premier repérage avec le simulateur officiel de l’ANSSI :

Situation examinée	Classement indicatif	Critères à vérifier
Exploitation viticole limitée à la culture de la vigne	Hors champ général Pour la culture seule	La culture seule ne suffit pas à établir un assujettissement. Il faut rechercher une autre activité visée par les annexes ; la taille du domaine, à elle seule, ne tranche pas.
Château viticole exerçant une distribution en gros ou une production / transformation industrielle	EI Si activité qualifiée et seuils atteints	Annexe II. La qualification de l’activité alimentaire et les seuils de taille sont déterminants. Toute vinification n’est pas automatiquement une transformation industrielle. Dans le régime général, dépasser les seuils de taille des EE ne suffit pas à rendre essentielle une activité de l’annexe II.
Grossiste en produits alimentaires frais et surgelés, sans production propre	EI Si seuils atteints	Annexe II. La distribution en gros est une activité visée à elle seule : produire ou transformer les denrées n’est pas nécessaire. L’atteinte des seuils de taille généraux peut donc faire entrer le négociant dans le périmètre.
Revendeur de PC assurant uniquement l’achat et la revente de matériel	Hors champ général Pour le négoce seul	Le négoce seul ne suffit pas. Vendre du matériel informatique ne constitue pas, en soi, une prestation de services informatiques gérés. Une autre activité couverte par NIS2 doit être recherchée avant d’examiner le classement.
Revendeur de PC assurant aussi des prestations d’installation, de maintenance ou d’exploitation pour des entreprises	EI ou EE Si services gérés et selon les seuils	Annexe I. Le changement vient de prestations répondant réellement à la définition des services gérés : assistance ou administration active des produits, réseaux ou systèmes, sur place ou à distance. Si cette qualification est retenue, les seuils déterminent le classement. Le seul intitulé « maintenance » ne suffit pas.
Cabinet médical ou structure de soins autonome : effectif de 12 personnes, CA de 3 M€, bilan de 2 M€	Hors champ général Seuils non atteints	L’activité de soins relève de l’annexe I, mais aucune des deux voies de seuil n’est atteinte. Une désignation ou un autre cas particulier peut néanmoins modifier cette lecture.
Cabinet médical ou structure de soins autonome : effectif de 80 personnes, CA de 20 M€, bilan de 15 M€	EI Selon les règles générales	Le seuil d’entrée est franchi, tandis que ni l’effectif ni les données financières n’atteignent les critères des EE. C’est la taille de l’entité qui fournit les soins qui change le classement, pas la nature des soins.
Cabinet médical ou structure de soins autonome : effectif de 260 personnes	EE Selon les règles générales	Pour cette activité de l’annexe I, un effectif d’au moins 250 personnes suffit, même avec un CA et un bilan inférieurs aux seuils financiers des EE.
Hôtel ou restaurant exerçant uniquement cette activité	Hors champ général Pour cette seule activité	Pas d’assujettissement général au titre de cette seule activité. L’hôtellerie et la restauration ordinaires ne figurent pas, en tant que telles, dans les annexes. Une activité distincte de la même entité pourrait conduire à une autre analyse.
Négociant indépendant en électronique assurant uniquement la revente	Hors champ général Pour le négoce seul	Le commerce seul ne suffit pas. Le volume des ventes ou l’effectif ne transforme pas une activité commerciale en fabrication électronique visée par l’annexe II.
Filiale commerciale d’un groupe mondial qui conçoit ou fabrique des produits électroniques	Hors champ général Si l’activité se limite au négoce	L’appartenance au groupe ne suffit pas à elle seule. Les données du groupe peuvent faire franchir les seuils de taille, mais il faut d’abord identifier une activité visée réellement exercée par la filiale. La fabrication réalisée par une autre société du groupe ne se transpose pas automatiquement à la filiale commerciale.
Entité exerçant elle-même une fabrication électronique visée par l’annexe II	EI Si seuils atteints	C’est l’activité de fabrication qui ouvre ici l’analyse. Les effectifs et données financières, éventuellement agrégés avec ceux du groupe, déterminent ensuite l’entrée dans le périmètre. L’annexe II conduit en principe à la catégorie EI, y compris au-delà de 250 personnes.

Pour les cabinets médicaux, l’effectif n’est pas le seul critère. Avec moins de 50 personnes, dépasser simultanément 10 M€ de CA et 10 M€ de bilan peut suffire à relever de la catégorie EI, si les critères de la catégorie EE ne sont pas remplis. Avec moins de 250 personnes, dépasser simultanément 50 M€ de CA et 43 M€ de bilan peut conduire à la catégorie EE. Le tableau des seuils ci-dessus précise les combinaisons « OU » et « ET ».

Les trois scénarios médicaux supposent des données stables et une structure autonome. L’effectif se calcule en unités de travail par année, selon les règles européennes : il peut notamment inclure des associés actifs et des dirigeants, et pas uniquement les salariés. Plusieurs médecins indépendants partageant des locaux ne forment pas automatiquement une seule entité de soins. Les liens de groupe et les entreprises partenaires peuvent aussi modifier les données à retenir.

Pour approfondir, l’ANSSI précise le périmètre des activités alimentaires et la définition des services informatiques gérés.

Même hors du périmètre direct de NIS2, une entreprise peut recevoir des demandes contractuelles de cybersécurité de ses donneurs d’ordres. Ces engagements doivent être distingués de son propre classement réglementaire.

Enregistrement auprès de l’ANSSI : anticiper la démarche

Les entités importantes et essentielles devront également s’identifier et s’enregistrer auprès de l’ANSSI dans le cadre français de NIS2. Les informations à transmettre et les modalités d’enregistrement seront précisées par les textes applicables. Cet enregistrement est distinct du signalement d’un incident et ne remplace pas les travaux de sécurisation.

Un pré-enregistrement déjà disponible

Au 9 novembre 2026, un pré-enregistrement est déjà disponible. Annoncé par l’ANSSI le 24 novembre 2025, ce service permet d’anticiper l’obligation future et facilitera l’enregistrement lorsque la phase obligatoire commencera. L’ANSSI précise que l’obligation entrera en vigueur avec la publication des textes réglementaires. Les entités concernées peuvent accéder au parcours officiel de pré-enregistrement sur ClubSSI.

PROGEDYS peut accompagner ses clients dans l’analyse de leur situation, la collecte des informations et la préparation de ces démarches, en lien avec les responsables de l’entité et parallèlement aux actions techniques et organisationnelles. Les données à réunir peuvent notamment concerner l’identité de l’entreprise, ses coordonnées, son secteur d’activité et ses adresses IP publiques, selon sa situation.

La direction devra participer

Pour les entités essentielles comme pour les importantes, NIS2 prévoit que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Leurs membres doivent également suivre une formation adaptée. La cybersécurité devient donc un sujet de direction, avec des décisions, des moyens et un suivi à organiser.

Externaliser l’informatique ne fait pas disparaître les responsabilités de l’entité ni le rôle de sa direction. Le prestataire peut conseiller, préparer et réaliser les actions confiées ; la direction doit rester impliquée dans les arbitrages et le pilotage. Les responsabilités de chacun doivent être définies dans l’organisation et les contrats.

Contrôles et sanctions : ce que prévoit NIS2

Les deux catégories peuvent faire l’objet de contrôles et de mesures correctrices. La directive prévoit des contrôles préventifs et a posteriori pour les entités essentielles, et des contrôles a posteriori pour les importantes lorsqu’existent des indices de non-conformité.

Pour les manquements aux mesures de gestion des risques ou aux obligations de notification, les États membres doivent prévoir un plafond d’amende au moins égal au plus élevé des deux montants suivants :

Catégorie	Références pour le plafond d’amende
Entité essentielle (EE)	10 M€ OU 2 % du chiffre d’affaires annuel mondial total : retenir le montant le plus élevé.
Entité importante (EI)	7 M€ OU 1,4 % du chiffre d’affaires annuel mondial total : retenir le montant le plus élevé.

Le pourcentage porte sur le chiffre d’affaires de l’exercice précédent de l’entreprise à laquelle l’entité appartient. Ces références concernent les plafonds légaux, et non une amende minimale ou automatique. La gravité, la durée et les circonstances du manquement sont prises en compte. Les modalités françaises restent à préciser dans les textes adoptés.

Des avertissements, injonctions de correction et audits peuvent également être prévus. La directive prévoit aussi, pour les entités essentielles hors administrations publiques, un mécanisme d’interdiction temporaire de fonctions dirigeantes. Il peut viser notamment le directeur général ou le représentant légal, sous conditions et après l’inefficacité d’autres mesures.

PROGEDYS vous accompagne, de l’état des lieux au suivi

Pour structurer ces chantiers dans la durée, découvrez notre accompagnement NIS2 – loi Résilience : analyse du périmètre, audit, cartographie, plan d’action, mise en œuvre et suivi.

Notre équipe d’ingénieurs diplômés s’appuie sur plus de 20 ans d’expérience, une connaissance fine de ses clients et une veille continue. Nous accompagnons des organisations de tailles et de secteurs variés, ce qui nous permet de rapprocher les exigences de sécurité de vos contraintes réelles.

Un audit informatique peut constituer le point de départ pour comprendre votre environnement et hiérarchiser les priorités. Selon votre situation, notre accompagnement peut couvrir :

• L’état des lieux et la cartographie : équipements, applications, données, accès, dépendances et services indispensables à l’activité.
• L’analyse des risques et des écarts : protections existantes, points à renforcer et plan d’action progressif.
• La sécurisation technique : accès, authentification renforcée, sauvegardes testées, segmentation et surveillance, dans le cadre de nos prestations de cybersécurité d’entreprise.
• L’organisation et les responsabilités : rôles internes, périmètres des contrats, gestion des alertes, procédures d’incident et documentation.
• Le suivi dans la durée : sensibilisation des équipes, veille et maintenance informatique, avec les mises à jour des systèmes et des applications.

Notre force est d’analyser vos besoins et de connaître le marché informatique pour proposer des solutions au meilleur rapport qualité/coût. Nous accompagnons les entreprises de Bordeaux Métropole et de ses environs, ainsi que nos clients en France et à l’international.

Vous souhaitez savoir par où commencer votre préparation à NIS2 ? Échangeons sur votre activité, votre organisation et votre système d’information pour définir un premier périmètre d’accompagnement.

Sources officielles

Mise à jour et repères vérifiés le 9 novembre 2026. Le périmètre de chaque entité et les modalités françaises doivent être analysés au regard de sa situation et des textes applicables.

• Assemblée nationale — agenda de la séance publique et examen du projet de loi Résilience à partir du 9 novembre 2026.
• Directive NIS2 — périmètre et annexes, gouvernance (article 20), contrôles et sanctions (articles 32 à 34).
• Recommandation 2003/361/CE — tailles d’entreprises et entreprises liées ou partenaires.
• ANSSI — La directive NIS2 et le ReCyF.
• ANSSI — périmètre du secteur alimentaire.
• ANSSI — identifier les activités concernées, dont les services informatiques gérés.
• Commission européenne — FAQ NIS2, contrôles et sanctions.