NIS2, entité essentielle ou importante : comment savoir dans quelle catégorie se situe votre entreprise

NIS2 fait passer le nombre d'entités régulées en France d'environ 500 sous l'ancien régime à près de 15 000 aujourd'hui, selon les estimations de l'ANSSI. Cette multiplication par trente prend de nombreuses PME et ETI par surprise : des entreprises qui n'avaient jamais eu affaire à une obligation de cybersécurité réglementaire découvrent, souvent tardivement, qu'elles entrent désormais dans le périmètre d'un texte européen exigeant.

La situation présente une particularité qu'il convient de signaler d'emblée : la loi Résilience, qui doit transposer NIS2 en droit français, n'est toujours pas promulguée à ce jour, son examen en hémicycle étant désormais annoncé pour juillet 2026, avec un retard déjà sanctionné par un avis motivé de la Commission européenne. L'ANSSI a néanmoins publié, le 17 mars 2026, son référentiel technique, le Référentiel Cyber France, et recommande explicitement aux entreprises de ne pas attendre le vote définitif pour engager leur mise en conformité. Dans ce contexte, la question la plus structurante pour une entreprise reste la même : relève-t-elle du statut d'entité essentielle ou d'entité importante, une distinction qui détermine l'intensité de la supervision, le montant des sanctions encourues et la nature du contrôle exercé par l'ANSSI. Cet article détaille les secteurs couverts, les critères de classification, les seuils de taille applicables et les obligations qui en découlent.

NIS2 : rappel du cadre général avant d'aborder la classification

Avant d'entrer dans le détail de la distinction entre entité essentielle et entité importante, il convient de resituer cette classification dans le contexte plus large du texte européen et de son état d'avancement en droit français.

Un texte européen encore en cours de transposition en France

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022 et est entrée en vigueur le 16 janvier 2023, avec une date limite de transposition fixée au 17 octobre 2024 pour l'ensemble des États membres. La France n'a pas respecté ce délai, ce qui lui a valu un avis motivé de la Commission européenne le 7 mai 2025 pour défaut de notification de transposition complète. La transposition française prend la forme du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, couramment appelé loi Résilience, qui ne se limite pas à NIS2 mais transpose simultanément la directive REC sur la résilience des entités critiques et certains volets du règlement DORA applicable au secteur financier.

Les trois objectifs poursuivis par la directive

NIS2 poursuit trois objectifs complémentaires. Le premier consiste en un élargissement massif du périmètre réglementaire, faisant passer le nombre d'entités concernées de quelques centaines à plusieurs milliers par État membre. Le second vise l'harmonisation des obligations de gestion des risques et de notification d'incidents à l'échelle de l'Union, afin d'éviter les disparités entre les régimes nationaux. Le troisième objectif porte sur le renforcement des pouvoirs de contrôle, d'audit et de sanction confiés aux autorités nationales compétentes, l'ANSSI en ce qui concerne la France.

Ce qui change concrètement par rapport à NIS1

Le régime antérieur limitait l'obligation de sécurisation à des systèmes spécifiquement identifiés comme essentiels au sein de l'entité. NIS2 opère un changement de paradigme en étendant l'obligation à l'ensemble du système d'information de l'entité régulée, tout en abaissant sensiblement les seuils de taille et en élargissant le périmètre à dix-huit secteurs d'activité, contre un champ bien plus restreint sous l'empire du texte précédent.

Les 18 secteurs couverts par NIS2 : annexe I et annexe II

La première étape de toute analyse de qualification consiste à vérifier si l'activité de l'entreprise relève de l'un des dix-huit secteurs régulés, répartis en deux annexes dont la portée juridique diffère sensiblement.

Les 11 secteurs hautement critiques de l'annexe I

L'annexe I regroupe les secteurs jugés les plus critiques par le législateur européen : l'énergie, sous ses différentes composantes électricité, pétrole, gaz et hydrogène, les transports aérien, ferroviaire, maritime et routier, la banque et les infrastructures des marchés financiers, la santé, l'eau potable et les eaux usées, les infrastructures numériques telles que les systèmes de noms de domaine, les points d'échange internet, les centres de données et les réseaux de communication, la gestion des services TIC assurée par les prestataires infogérés, ainsi que l'espace et l'administration publique.

Les 7 secteurs critiques de l'annexe II

L'annexe II couvre des secteurs jugés critiques mais d'une intensité moindre : les services postaux et d'expédition, la gestion des déchets, la fabrication, la production et la distribution de produits chimiques, la production, la transformation et la distribution de denrées alimentaires, certaines activités de fabrication comme les dispositifs médicaux, l'électronique ou l'automobile, les fournisseurs numériques tels que les places de marché en ligne, les moteurs de recherche et les réseaux sociaux, ainsi que la recherche.

Une seule activité suffit-elle à faire entrer une entité dans le champ ?

L'appréciation du périmètre NIS2 s'effectue par activité, et non au regard de l'objet social global de l'entité. Une entreprise exerçant plusieurs activités distinctes n'entre dans le champ du texte que pour celles relevant effectivement d'un secteur ou sous-secteur régulé, les autres activités demeurant hors du dispositif. Le cadre français rappelle, sur ce point, que l'entité dotée de la personnalité morale peut être qualifiée d'essentielle ou d'importante dès lors que l'une seulement de ses activités relève d'un secteur couvert par la directive, à condition que les critères de taille soient par ailleurs remplis.

Entité essentielle ou entité importante : comment distinguer les deux catégories

C'est le cœur du dispositif : une fois établi que l'entreprise relève d'un secteur régulé, il reste à déterminer si elle bascule dans la catégorie la plus stricte, celle de l'entité essentielle, ou dans celle de l'entité importante, dont le régime demeure substantiel mais moins intrusif.

Le principe de classification par secteur et par taille

La classification repose sur deux critères qui s'apprécient de façon cumulative : le secteur d'activité, selon qu'il relève de l'annexe I ou de l'annexe II, et la taille de l'entité, appréciée au regard de la définition européenne des micro, petites, moyennes et grandes entreprises.

Les entités essentielles par principe

Sont en principe qualifiées d'essentielles les entités d'un type visé à l'annexe I qui dépassent les seuils applicables aux moyennes entreprises, c'est-à-dire les grandes entreprises de ces secteurs hautement critiques. Certaines entités de l'annexe II peuvent également être qualifiées d'essentielles lorsqu'elles relèvent de sous-secteurs jugés particulièrement critiques, tels que les services postaux, la gestion des déchets, la chimie ou l'alimentation, indépendamment de leur classement initial dans cette annexe.

Les entités essentielles quelle que soit leur taille

Le règlement prévoit une liste d'acteurs considérés comme essentiels indépendamment de tout critère de taille, en raison de la nature particulièrement sensible de leur activité : les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau, et les fournisseurs de systèmes de noms de domaine. Certains opérateurs identifiés comme fournisseurs uniques dans leur région ou leur secteur peuvent également être désignés essentiels malgré une taille inférieure aux seuils habituels, sur décision spécifique de l'autorité compétente.

Les entités importantes

Les entités d'un type visé à l'annexe I qui ne remplissent pas les critères de l'entité essentielle, typiquement des entreprises de taille moyenne, sont considérées comme importantes. Il en va de même des entités relevant des secteurs de l'annexe II qui entrent dans le champ de taille prévu par la directive, sans relever de l'un des sous-secteurs jugés hautement critiques évoqués ci-dessus.

Le tableau suivant synthétise les principales différences entre les deux catégories.

Le commentaire à retenir de ce tableau porte sur un point souvent sous-estimé en pratique : les critères de taille sont alternatifs et non cumulatifs, ce qui signifie qu'une entreprise employant seulement 60 salariés mais réalisant plus de 50 millions d'euros de chiffre d'affaires peut basculer dans la catégorie des entités essentielles, alors même que son effectif la rapprocherait a priori d'une entité importante.

Les critères de taille : seuils d'effectifs, de chiffre d'affaires et de bilan

Après avoir présenté la classification par secteur, il convient d'examiner plus précisément la manière dont les seuils de taille eux-mêmes doivent être appréciés, notamment lorsque l'entité appartient à un groupe de sociétés.

Le rattachement à la définition européenne des entreprises

NIS2 s'appuie sur la définition européenne des micro, petites, moyennes et grandes entreprises pour fixer ses seuils de taille. Les micro et petites entreprises se trouvent, par principe, exclues du périmètre du texte, sauf lorsqu'elles font l'objet d'une désignation spécifique par l'État membre, notamment lorsqu'elles constituent un fournisseur unique pour un service essentiel dans leur région.

Les seuils applicables à l'entité essentielle

Une entité relevant de l'annexe I bascule dans la catégorie des entités essentielles dès lors qu'elle emploie au moins 250 salariés, ou qu'elle réalise un chiffre d'affaires supérieur à 50 millions d'euros, ou que son total de bilan dépasse 43 millions d'euros.

Les seuils applicables à l'entité importante

Une entité relevant de l'annexe I ou de l'annexe II est qualifiée d'importante lorsqu'elle emploie entre 50 et 249 salariés, ou qu'elle réalise un chiffre d'affaires compris entre 10 et 50 millions d'euros, ou que son total de bilan se situe entre 10 et 43 millions d'euros.

Comment apprécier ces seuils pour un groupe de sociétés

Il est recommandé de conduire l'analyse de qualification par entité juridique, et non au niveau du groupe consolidé, sauf lorsque le texte en dispose expressément autrement pour certains cas particuliers. Prenons un exemple concret : une filiale française de 80 salariés, appartenant à un groupe international employant plusieurs milliers de personnes à l'échelle mondiale, peut être qualifiée d'entité importante en France, indépendamment de la taille globale du groupe auquel elle appartient, dès lors que son propre effectif et son propre chiffre d'affaires correspondent aux seuils applicables à cette catégorie.

Les obligations communes aux entités essentielles et importantes

Au-delà de la classification, l'essentiel des obligations de fond imposées par NIS2 s'applique de façon largement similaire aux deux catégories d'entités, seule l'intensité de la supervision variant substantiellement.

Le socle de gestion des risques posé par l'article 21

L'article 21 de la directive impose dix catégories de mesures obligatoires, parmi lesquelles l'analyse de risques, la sécurité de la chaîne d'approvisionnement, la gestion des incidents, l'utilisation de la cryptographie et le contrôle d'accès. L'organe de direction de l'entité doit approuver ces mesures de gestion des risques, une exigence qui engage la responsabilité personnelle des dirigeants en cas de manquement caractérisé.

L'obligation de notification des incidents

NIS2 impose un régime de notification en trois étapes pour tout incident significatif : une alerte précoce dans les 24 heures suivant la connaissance de l'incident, une notification actualisée dans les 72 heures comportant une évaluation initiale de sa gravité et de son impact, puis un rapport final détaillé dans le mois suivant, exposant les causes, les mesures correctives adoptées et les enseignements tirés de l'incident.

La sécurité de la chaîne d'approvisionnement, vecteur d'extension du périmètre

Une entité essentielle ou importante demeure responsable de la sécurité de ses prestataires critiques, ce qui constitue en pratique un puissant vecteur d'extension du périmètre réglementaire. Concrètement, un sous-traitant informatique intervenant pour le compte d'une entité essentielle ou importante peut se voir imposer, par la voie contractuelle, des exigences de sécurité alignées sur NIS2, même s'il n'entre pas lui-même directement dans le champ d'application du texte. Ce phénomène de cascade contractuelle, que beaucoup d'ETI sous-estiment encore, mérite une attention particulière dans la négociation des contrats de prestation informatique.

Le référentiel ANSSI comme feuille de route opérationnelle

L'ANSSI a publié, le 17 mars 2026, le Référentiel Cyber France, diffusé pour l'instant en version de travail dans l'attente de la promulgation définitive de la loi Résilience. Ce document traduit les objectifs de sécurité de la directive en vingt objectifs concrets, dont quinze s'appliquent aux entités importantes et l'intégralité aux entités essentielles, selon un principe de proportionnalité adapté à la maturité de chaque organisation. Bien que non obligatoire à ce stade, ce référentiel permet à l'entité qui choisit de s'y conformer de s'en prévaloir utilement en cas de contrôle ultérieur de l'ANSSI.

La différence de supervision et de sanctions entre les deux catégories

C'est sur ce terrain que la distinction entre entité essentielle et entité importante produit ses effets les plus concrets, tant en matière de contrôle que de sanction financière.

Un contrôle proactif pour les entités essentielles

Les entités essentielles font l'objet d'une supervision proactive de la part de l'ANSSI, qui peut conduire des audits sur pièces et sur place, réaliser des scans de sécurité et adresser des demandes d'information sans attendre la survenance d'un incident. Ces audits peuvent s'appuyer sur des prestataires qualifiés PASSI, dont l'intervention est reconnue par l'autorité pour la conduite de ces contrôles.

Un contrôle a posteriori pour les entités importantes

Les entités importantes demeurent soumises à des obligations de fond globalement similaires, mais leur supervision se déclenche principalement à l'occasion d'un incident ou d'un signalement, plutôt que par une démarche proactive de l'autorité. Cette différence d'intensité de contrôle ne doit toutefois pas conduire à sous-estimer la portée réelle des obligations applicables à cette catégorie, qui restent substantielles.

Le barème des sanctions

Le régime de sanctions distingue nettement les deux catégories : les entités essentielles s'exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % de leur chiffre d'affaires annuel mondial, tandis que les entités importantes encourent un plafond de 7 millions d'euros ou 1,4 % de leur chiffre d'affaires mondial. Ces sanctions financières s'accompagnent d'un engagement possible de la responsabilité personnelle des dirigeants, ainsi que de la faculté, pour la commission des sanctions, de prononcer des avertissements publics et des injonctions contraignantes.

Comment savoir si votre entreprise relève de NIS2, et de quelle catégorie

Cette dernière section propose une démarche pratique destinée aux entreprises souhaitant déterminer, dès à présent, leur statut au regard de NIS2, sans attendre la promulgation définitive de la loi Résilience.

Une démarche en trois étapes

La première étape consiste à identifier si l'une des activités de l'entité relève d'un secteur ou sous-secteur des annexes I ou II de la directive. La deuxième étape consiste à vérifier la taille de l'entité au regard des seuils d'effectifs, de chiffre d'affaires ou de bilan applicables. La troisième étape consiste à croiser ces deux résultats afin de déterminer si l'entité relève du statut d'entité essentielle, d'entité importante, ou reste en dehors du périmètre du texte.

Le pré-enregistrement sur MonEspaceNIS2

L'ANSSI a ouvert une plateforme de pré-enregistrement volontaire, MonEspaceNIS2, permettant aux entreprises de réaliser une première auto-évaluation de leur statut au moyen d'un outil de test en ligne. Les entités qui s'y inscrivent dès à présent bénéficient d'un avantage opérationnel réel : elles reçoivent des guidances personnalisées et se positionnent favorablement vis-à-vis de l'autorité de contrôle, dans un contexte où la démarche de mise en conformité prend généralement entre douze et vingt-quatre mois pour atteindre un niveau de maturité satisfaisant.

Anticiper sans attendre la promulgation de la loi Résilience

Le message constant de l'ANSSI depuis plusieurs mois est sans ambiguïté : il ne faut pas attendre la transposition définitive du texte pour engager la mise en conformité. La démarche recommandée suit un enchaînement progressif, débutant par la cartographie du système d'information et des dépendances fournisseurs, se poursuivant par une analyse de risques structurée et un plan de traitement priorisé, avant le déploiement des mesures techniques et organisationnelles elles-mêmes, incluant l'authentification renforcée, les sauvegardes, la détection d'incidents et les exercices de crise.

Foire aux questions sur NIS2, entité essentielle et entité importante

Les questions suivantes reprennent, sous une forme synthétique, les points les plus fréquemment soulevés par les dirigeants et RSSI confrontés à cette classification.

Quelle différence entre entité essentielle et entité importante au sens de NIS2 ?

L'entité essentielle relève d'un secteur hautement critique de l'annexe I, ou de certains sous-secteurs sensibles de l'annexe II, et dépasse les seuils de taille applicables aux grandes entreprises. L'entité importante relève d'un secteur de l'annexe I ou II sans atteindre ces seuils les plus élevés, ou sans relever d'un sous-secteur hautement critique. Cette distinction détermine l'intensité de la supervision exercée par l'ANSSI et le plafond des sanctions applicables.

Quels sont les seuils de taille applicables à chaque catégorie ?

L'entité essentielle doit employer au moins 250 salariés, ou réaliser un chiffre d'affaires supérieur à 50 millions d'euros, ou disposer d'un bilan supérieur à 43 millions d'euros. L'entité importante se situe entre 50 et 249 salariés, ou entre 10 et 50 millions d'euros de chiffre d'affaires, ou entre 10 et 43 millions d'euros de bilan.

Une entreprise moyenne peut-elle être qualifiée d'entité essentielle ?

Oui, dans certains cas. Une entreprise de taille moyenne relevant d'un sous-secteur particulièrement critique de l'annexe II, tel que les services postaux, la gestion des déchets, la chimie ou l'alimentation, peut être qualifiée d'entité essentielle, indépendamment de son classement initial dans cette annexe.

Certains prestataires sont-ils essentiels quelle que soit leur taille ?

Oui. Les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de systèmes de noms de domaine sont considérés comme des entités essentielles quelle que soit leur taille, en raison de la sensibilité particulière de leur activité pour le fonctionnement de l'internet et des transactions numériques.

La supervision est-elle plus stricte pour les entités essentielles ?

Oui. Les entités essentielles font l'objet d'une supervision proactive de l'ANSSI, incluant des audits sur pièces et sur place sans attendre un incident, tandis que les entités importantes sont principalement contrôlées a posteriori, à l'occasion d'un incident ou d'un signalement.

Conclusion

La classification entre entité essentielle et entité importante repose sur un croisement cumulatif entre le secteur d'activité et la taille de l'entreprise, tempéré par des exceptions notables pour certains prestataires numériques considérés comme essentiels quelle que soit leur taille. Cette distinction n'a rien d'anecdotique : elle détermine directement l'intensité du contrôle exercé par l'ANSSI et le niveau de sanction encouru en cas de manquement.

Le retard pris par la France dans la transposition de NIS2 ne doit pas être interprété comme une invitation à différer sa mise en conformité : l'ANSSI a déjà publié son référentiel technique et recommande explicitement d'engager la démarche sans attendre la promulgation définitive de la loi Résilience. Cette exigence de cartographie et de gestion structurée des risques rejoint d'ailleurs une tendance plus large du droit européen de la conformité numérique et de la durabilité, que l'on retrouve dans la supervision des prestataires informatiques critiques au titre de DORA, dans la qualification des systèmes d'IA à haut risque de l'AI Act, dans le reporting de durabilité imposé par la CSRD, ou encore dans la vigilance exigée sur l'ensemble d'une chaîne de valeur par la loi de 2017 et son pendant européen, la CS3D, dont la transposition française demeure à ce jour en attente, à l'image du retard pris par la France sur NIS2 elle-même. Cette même exigence de délais stricts et de traçabilité se retrouve, sous une autre forme, dans la procédure interne de signalement imposée par la loi Sapin 2, où le respect des échéances légales conditionne la sécurité juridique du dispositif de la même manière. Dans tous ces cas, l'enjeu pour les entreprises consiste à transformer une obligation réglementaire en une gouvernance réellement opérationnelle, plutôt qu'en un exercice de conformité de façade.

‍