Les 2 catégories NIS2
NIS2 distingue deux niveaux d'obligations :
Entités essentielles
Les organisations les plus critiques. Obligations renforcées, sanctions maximales (10 M EUR ou 2 % du CA).
Critères : 250+ salariés OU 50 M EUR+ de CA, dans un secteur "hautement critique".
Entités importantes
Le périmètre élargi de NIS2. Obligations légèrement allégées, mais sanctions significatives (7 M EUR ou 1,4 % du CA).
Critères : 50+ salariés OU 10 M EUR+ de CA, dans un secteur "critique" ou "autre secteur critique".
Les 18 secteurs concernés
Secteurs hautement critiques (Annexe I)
- Énergie (électricité, pétrole, gaz, hydrogène)
- Transports (aérien, ferroviaire, maritime, routier)
- Banque
- Infrastructures des marchés financiers
- Santé (hôpitaux, labos, fabricants dispositifs médicaux)
- Eau potable
- Eaux usées
- Infrastructure numérique (DNS, cloud, data centers, CDN)
- Gestion des services TIC (B2B)
- Administration publique
- Espace
Autres secteurs critiques (Annexe II)
- Services postaux et d'expédition
- Gestion des déchets
- Fabrication, production et distribution de produits chimiques
- Production, transformation et distribution de denrées alimentaires
- Fabrication (dispositifs médicaux, électronique, machines, véhicules)
- Fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux)
- Recherche
Arbre de décision : suis-je concerné ?
Question 1 : Votre organisation a-t-elle 50+ salariés OU un CA supérieur à 10 M EUR ?
- Non → Vous n'êtes probablement pas concerné (sauf désignation spécifique). Stop.
- Oui → Question 2.
Question 2 : Votre activité principale relève-t-elle d'un des 18 secteurs listés ci-dessus ?
- Non → Vous n'êtes pas concerné. Stop.
- Oui → Question 3.
Question 3 : Avez-vous 250+ salariés OU un CA supérieur à 50 M EUR ?
- Oui → Vous êtes probablement une entité essentielle (obligations renforcées).
- Non → Question 4.
Question 4 : Votre activité relève-t-elle d'un secteur "hautement critique" (Annexe I) ?
- Oui → Vous êtes une entité importante (mais potentiellement essentielle si désignée).
- Non → Vous êtes une entité importante (Annexe II).
Exception : L'ANSSI peut désigner individuellement des entités comme "essentielles" quelle que soit leur taille, si leur activité est jugée critique pour la nation.
Focus PME : les secteurs où vous êtes souvent concerné sans le savoir
Services numériques : Si vous êtes éditeur SaaS, hébergeur, MSP, ou fournisseur cloud avec 50+ salariés — vous êtes concerné.
Santé : Cliniques, groupes de labos, fabricants de dispositifs médicaux — même les "petits" acteurs sont visés.
Industrie manufacturière : Fabricants de machines, électronique, équipements médicaux — le secteur 16 est très large.
BTP et gestion des déchets : Souvent oublié, mais les entreprises de gestion des déchets sont explicitement dans l'Annexe II.
Agroalimentaire : Toute la chaîne de production, transformation et distribution alimentaire.
Ce que ça implique concrètement
Si vous êtes concerné, vous devez :
- Vous inscrire auprès de l'ANSSI (S2 2026)
- Réaliser une analyse de risques proportionnée
- Mettre en place un PRA/PCA testé et à jour
- Notifier les incidents significatifs dans les 24h
- Sécuriser votre chaîne d'approvisionnement
- Former vos dirigeants aux enjeux cyber
- Documenter toutes vos mesures pour prouver votre conformité
Lire aussi : NIS2 et PME : guide pratique de conformité
Le point 3 est souvent le plus structurant. Un PRA conforme ISO 22301 couvre une grande partie des exigences NIS2.
Rejoignez la liste d'attente PRAVIO pour créer votre PRA conforme en quelques heures.