Entité essentielle ou importante ? Déterminer votre statut NIS2 en 5 minutes

C’est la première question de toute démarche NIS2, et elle conditionne tout le reste : le régime de contrôle, le plafond des sanctions, l’urgence de la mise en conformité. Voici la méthode que nos consultants appliquent, réduite à l’essentiel.

Étape 1 — votre secteur est-il dans les annexes ?

NIS2 liste ses secteurs dans deux annexes. L’annexe I (secteurs hautement critiques) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services informatiques (infogérance, MSP), administration publique, espace. L’annexe II (secteurs critiques) : services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques, recherche.

Attention aux lectures trop rapides : « fabrication » couvre une part énorme de l’industrie française, et « denrées alimentaires » englobe production, transformation et distribution en gros. Dans le doute, regardez votre code NAF puis l’activité réelle — c’est l’activité qui compte.

Étape 2 — dépassez-vous les seuils ?

La règle générale, calquée sur la définition européenne des entreprises :

• Entité essentielle : secteur d’annexe I et au moins 250 salariés, ou plus de 50 M€ de chiffre d’affaires ;
• Entité importante : secteur d’annexe I ou II et au moins 50 salariés, ou plus de 10 M€ de chiffre d’affaires.

Les effectifs et le chiffre d’affaires s’apprécient au niveau de l’entreprise au sens européen — les liens capitalistiques avec un groupe peuvent donc faire basculer une petite filiale dans le périmètre. C’est le point technique le plus souvent mal évalué.

Étape 3 — les cas particuliers

Certaines activités sont régulées sans condition de taille : fournisseurs de services DNS, bureaux d’enregistrement de noms de domaine, prestataires de services de confiance, certains opérateurs télécoms. Et l’État peut désigner comme essentielle une entité qui ne remplit pas les critères, si sa défaillance aurait des conséquences systémiques.

Ce que chaque statut change

Les obligations de fond (article 21, notification d’incidents) sont quasi identiques. Ce qui change, c’est le régime de contrôle : l’entité essentielle est supervisée de manière proactive — l’ANSSI peut la contrôler à tout moment, sans incident préalable — avec des sanctions jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial. L’entité importante est contrôlée a posteriori, typiquement après un incident ou un signalement, avec un plafond de 7 M€ ou 1,4 %.

Et si vous n’êtes ni l’un ni l’autre ? Vérifiez vos clients. Si vous êtes fournisseur, mainteneur ou éditeur d’une entité régulée, l’article 21.d (sécurité de la chaîne d’approvisionnement) vous rattrapera par voie contractuelle : questionnaires de sécurité, clauses, demandes de preuves. Beaucoup de nos clients « hors périmètre » sont venus pour cette raison-là.

Cinq minutes de lecture ne remplacent pas une analyse formelle — les cas limites (groupes, multi-activités, filiales étrangères) demandent un examen sérieux. Mais notre auto-diagnostic applique cette méthode à votre situation et vous donne une première réponse argumentée, gratuitement.