À retenir. OIV, OSE, entité essentielle (EE) et entité importante (EI) décrivent des qualifications différentes. OIV relève du dispositif français de sécurité des activités d’importance vitale ; OSE du régime français issu de NIS 1 ; EE et EI sont les catégories de la directive NIS 2. Au 27 septembre 2026, le projet de loi français de transposition figure encore comme « loi en construction » dans le dossier parlementaire. Une entreprise doit donc distinguer ses obligations françaises déjà en vigueur de sa préparation au futur dispositif NIS 2.
La qualification ne se déduit ni du seul code NAF ni d’une liste de fournisseurs. Il faut identifier l’activité réellement fournie, la personne morale qui la fournit, sa taille calculée selon la recommandation européenne, les éventuelles désignations individuelles et les textes sectoriels. Ce guide sert à organiser cette décision. Pour les seuils détaillés, voir NIS 2 et PME ; pour les conséquences de contrôle envisagées, voir les sanctions NIS 2.
1. OIV : opérateur d’importance vitale
Un OIV est désigné dans le cadre de la sécurité des activités d’importance vitale (SAIV), régie par le code de la défense, articles L. 1332-1 et suivants. Ce statut concerne la continuité d’activités dont l’interruption pourrait porter gravement atteinte à la nation. Il ne suffit pas qu’une société travaille pour un ministère, vende un logiciel à un hôpital ou exerce une activité figurant parmi les secteurs NIS 2 : la désignation OIV suit sa propre procédure.
Le dispositif couvre des points d’importance vitale et, pour la cybersécurité, des systèmes d’information d’importance vitale (SIIV) désignés. Les obligations concrètes dépendent du périmètre notifié et des règles applicables. La sécurité des SI des OIV ne se résume donc pas à un plafond d’amende ou à une certification universelle. La liste des SIIV est protégée au titre du secret de la défense nationale, comme le précisent les dispositions réglementaires. Un fournisseur externe ne peut présumer qu’un système est SIIV à partir de son apparence ; il doit obtenir les exigences communicables du client.
Exemple hypothétique : un groupe d’énergie est désigné OIV pour une activité déterminée. Son portail RH ordinaire et les systèmes pilotant une installation vitale ne relèvent pas automatiquement du même périmètre de sécurité. Le responsable doit conserver la décision de désignation, la cartographie des systèmes concernés et les règles sectorielles applicables, sans exposer les informations protégées dans un registre public.
2. OSE : opérateur de services essentiels
Le statut OSE vient de la directive NIS de 2016, transposée par la loi du 26 février 2018. Il reposait sur l’identification d’opérateurs fournissant des services essentiels dans des secteurs déterminés, puis sur des exigences de sécurité et de déclaration d’incidents. La loi de 2018 et ses textes d’application restent à consulter pour une entité déjà désignée en France tant que le nouveau régime national n’a pas remplacé leurs dispositions pertinentes.
La directive NIS 2 abroge la directive NIS 1 au niveau de l’Union. Cette abrogation européenne ne prouve pas, à elle seule, que tous les articles de la loi française de 2018 ont cessé de s’appliquer ou que chaque OSE français est déjà devenu une EE française. Le texte NIS 2 autorise, à l’article 3, qu’un État classe comme essentielle une entité auparavant identifiée comme OSE ; il faut vérifier la disposition nationale finalement adoptée et l’éventuelle décision individuelle.
L’articulation avec OIV était déjà pensée dans le droit de 2018 : certaines règles OSE ne s’appliquent pas aux SIIV des OIV. Cette précision interdit de traiter le cumul comme une addition automatique de deux listes de contrôles sur le même système. Pour un audit, conservez une matrice « système, service, statut, texte, autorité, preuve » et signalez tout recouvrement à l’équipe juridique et au RSSI.
3. NIS 2 : entité essentielle et entité importante
La directive (UE) 2022/2555 élargit les catégories d’entités et fixe un cadre pour la gouvernance, la gestion des risques, la notification et le contrôle. Les annexes I et II énumèrent des types d’entités, et non toute entreprise d’un secteur considéré globalement. Une société de maintenance informatique n’est pas nécessairement un fournisseur de services gérés au sens du texte ; il faut lire la définition et son contrat réel.
L’article 3 distingue les EE et les EI. Dans le cas courant, les entités de l’annexe I dépassant les plafonds de la moyenne entreprise sont essentielles ; les autres entités relevant des annexes sont importantes lorsqu’elles franchissent le seuil d’application. Plusieurs exceptions modifient cette lecture : fournisseurs DNS et registres de domaines de premier niveau, prestataires de confiance qualifiés, certaines communications électroniques, entités critiques au titre de la directive REC, administrations et désignations sur critères particuliers. Une activité annexe II peut donc, dans une situation particulière prévue par l’article 3, être classée EE. « Annexe I = EE, annexe II = EI » serait une simplification trompeuse.
La qualification vise une entité, pas nécessairement un groupe entier. Pourtant, le calcul de la taille tient compte des entreprises partenaires et liées selon la recommandation 2003/361/CE. Une filiale de trente salariés peut franchir les seuils par agrégation ; une société indépendante de même effectif peut rester hors du cas général. Le guide PME dédié détaille cette opération avec exemples.
4. Critères de qualification : une décision documentée
Commencez par la personne morale et le service exact : qui signe les contrats, qui exploite les systèmes, qui est responsable de la fourniture du service ? Rattachez ensuite ce service à une ligne précise de l’annexe I ou II. Notez l’argument pour les activités proches mais exclues. Calculez effectif et données financières de l’exercice selon la définition PME, puis testez les exceptions de taille et les désignations déjà reçues. Enfin, examinez les actes sectoriels européens, notamment DORA pour les entités financières, avant de conclure.
Le résultat utile est une fiche datée avec trois colonnes : « confirmé par un texte ou une notification », « probable sous réserve de la loi française », « non démontré ». À chaque ligne, associez la preuve : comptes, organigramme capitalistique, contrats décrivant le service, décision de désignation, interprétation juridique. Réexaminez la fiche après acquisition, cession, changement d’activité ou publication de la transposition. MonEspaceNIS2 de l’ANSSI aide à s’orienter ; son résultat ne remplace pas une qualification juridique des cas limites.
Exemple hypothétique : un éditeur vend un logiciel installé chez ses clients sans l’exploiter. Un autre exploite à distance les environnements de ses clients et administre leurs comptes privilégiés. Les deux portent un risque fournisseur, mais l’analyse de leur éventuelle qualité de prestataire de services gérés NIS 2 ne peut être identique. La fiche retient les prestations effectives et les clauses de responsabilité, pas l’étiquette « ESN ».
5. Les secteurs : lire les annexes, pas seulement le titre
L’annexe I couvre notamment énergie, transports, banques, infrastructures de marché, santé, eau potable, eaux usées, infrastructures numériques, services TIC interentreprises, administration publique et espace. L’annexe II couvre services postaux, déchets, produits chimiques, alimentation, certaines fabrications, fournisseurs numériques et organismes de recherche. Le nombre souvent présenté comme « 18 secteurs » dépend du niveau de regroupement ; pour qualifier une entité, les lignes et définitions des annexes ont davantage de valeur que ce total.
La santé fournit un bon piège de qualification. Être fournisseur d’un hôpital ne transforme pas nécessairement le fournisseur en établissement de santé. Inversement, certains laboratoires et fabricants de dispositifs médicaux sont décrits dans des lignes spécifiques. Une entreprise multi-activités peut relever de plusieurs lignes ; elle devrait documenter chacune, car la catégorie finale et les mesures de sécurité dépendent de son périmètre réel.
L’administration publique appelle une prudence supplémentaire. La directive prévoit des administrations centrales et régionales dans les conditions de son article 2 ; l’inclusion d’entités locales dépend des choix nationaux. On ne peut donc annoncer qu’une mairie est incluse ou exclue à partir d’un seul seuil de population tant que le droit français de transposition n’est pas stabilisé. Le guide pour les collectivités doit être lu avec cette réserve.
6. Obligations de sécurité : ce que prévoit la directive
L’article 20 demande aux organes de direction d’approuver les mesures de gestion du risque, d’en surveiller la mise en œuvre et de suivre une formation. L’article 21 exige des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées : analyse de risques, incidents, continuité, sécurité des fournisseurs, acquisition et développement, mesure de l’efficacité, hygiène et formation, cryptographie, contrôle d’accès et actifs, authentification multifactorielle ou continue et communications sécurisées.
Ce catalogue n’impose pas partout le même outil, la même fréquence de test ni une certification ISO. Dans une organisation industrielle, le risque d’arrêt de production oriente les priorités ; dans un service cloud, l’identité, l’isolement des clients et la restauration jouent un rôle différent. Documentez la menace, la décision et le contrôle d’efficacité dans une PSSI qui renvoie au PCA pour les services critiques. Un audit NIS 2 utile vérifie ce lien, pas seulement la présence de politiques signées.
L’ANSSI a publié le ReCyF, version de travail du 17 mars 2026, pour aider les futures entités à se préparer. Sa publication ne transforme pas chaque objectif de ce document en obligation réglementaire française déjà entrée en vigueur.
7. Incidents et contrôles : séparer les calendriers
L’article 23 de la directive organise, pour les incidents significatifs, une alerte précoce au plus tard sous 24 heures après connaissance, une notification sous 72 heures et un rapport final dans le mois suivant cette notification. La qualification de l’incident significatif et les cas particuliers demandent la lecture complète de l’article. Ce calendrier européen de transposition ne doit pas être présenté comme une nouvelle procédure française déjà ouverte pour toutes les entreprises. Les OIV et OSE déjà désignés conservent leurs obligations françaises applicables ; une violation de données personnelles peut aussi appeler une notification à la CNIL.
Exemple hypothétique : un compte administrateur compromis chez un OSE donne accès à un système de production et à une base clients. Trois analyses avancent en parallèle : incident OSE selon le droit actuel, violation RGPD selon les risques pour les personnes, futur cadre NIS 2 pour la préparation. Le responsable ouvre une chronologie commune, attribue les décisions de notification à des personnes nommées et évite de supposer qu’un dépôt unique satisfait tous les régimes.
8. Sanctions et rôle de l’autorité française
L’article 34 de NIS 2 fixe des minimums pour les plafonds que les États doivent prévoir : au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les EE ; au moins 7 millions ou 1,4 % pour les EI, le montant le plus élevé étant retenu. Ce ne sont ni des amendes automatiques, ni des plafonds français en vigueur à ce jour du seul fait de la directive. Le contrôle, l’autorité décisionnaire, la procédure et les mesures exactes doivent être lus dans la loi nationale une fois adoptée. Notre analyse des sanctions distingue ces niveaux.
Pour préparer une éventuelle inspection, conservez les décisions de gouvernance, analyses de risques, résultats de tests, incidents, corrections et acceptations résiduelles. La capacité à montrer que le risque a été traité et réexaminé vaut mieux qu’une affirmation de « conformité NIS 2 » dépourvue de périmètre. En cas de demande de l’ANSSI au titre d’un régime déjà applicable, faites identifier sa base légale précise avant de répondre.
9. Cumul OIV, OSE, EE et EI
Une entité peut être OIV et OSE sur des périmètres distincts, et entrer dans le futur champ NIS 2. Il faut lire les règles d’articulation applicables à chaque système. Le fait d’être OIV ne rend pas automatiquement toute la personne morale essentielle au titre de la directive ; le fait d’être fournisseur d’un OIV ne donne pas non plus le statut OIV. Les désignations, les lignes d’annexe et les décisions de l’autorité restent les pièces décisives.
Construisez une matrice par service et système : base légale, objectif, responsable, preuve, exception, contrôle déjà réalisé. Exemple hypothétique : le test de restauration d’une plateforme peut être une preuve commune de continuité pour un SIIV et pour l’analyse NIS 2 ; la notification d’incident peut toutefois suivre deux canaux et deux définitions. Mutualisez la preuve technique sans effacer la différence juridique.
10. Calendrier vérifié au 27 septembre 2026
La directive fixait au 17 octobre 2024 la date limite de transposition par les États membres. Le dossier de l’Assemblée nationale montre un projet adopté par le Sénat le 12 mars 2025, puis un texte de commission à l’Assemblée en septembre 2025, sans loi de transposition achevée dans le dossier consulté. L’ANSSI décrit encore le ReCyF comme document de travail. La Commission européenne a annoncé une saisine de la Cour pour défaut de communication des mesures nationales, ce qui confirme la nécessité de contrôler l’état du droit.
La date « 30 avril 2024 » parfois reprise comme loi française NIS 2 dans de vieux contenus est erronée. Aucun calendrier de décret, période de grâce ou première amende française ne doit être déduit d’un projet parlementaire. Les équipes peuvent cependant préparer leur dossier de qualification et les mesures de sécurité pertinentes dès maintenant, car les risques opérationnels existent indépendamment de la transposition.
11. Méthode de décision pour la direction
Le juriste tient le registre des textes, décisions et réserves ; le RSSI décrit les systèmes et risques ; les métiers qualifient les services fournis ; les finances fournissent les seuils et le groupe ; les achats identifient les dépendances. Une réunion courte peut arbitrer les cas simples, à condition de produire une fiche signée plutôt qu’un « oui/non » oral. Un cas litigieux doit remonter à une analyse ciblée, par exemple sur la définition d’un service géré ou sur une participation capitalistique.
Priorisez ensuite les mesures qui protègent déjà le service : comptes privilégiés, sauvegardes restaurables, contact de crise et exposition des fournisseurs. Ce travail reste utile même si la classification finale évolue. Associez chaque action à une preuve et à un propriétaire ; pour le déroulé détaillé, consultez la méthode d’audit et la gestion de crise cyber.
12. Articulation avec DORA, RGPD et résilience physique
DORA est un règlement directement applicable à certaines entités financières et organise ses propres exigences de résilience numérique. NIS 2 prévoit, à l’article 4, une articulation avec les actes sectoriels européens équivalents ; conclure que « DORA annule NIS 2 » pour toute société financière ou tout fournisseur serait excessif. Le RGPD, article 32 vise la sécurité des traitements de données personnelles, sur un périmètre qui peut recouper sans se confondre avec la continuité des services. La directive REC concerne la résilience des entités critiques et peut influencer la classification NIS 2.
Une cartographie commune des services, systèmes, données et fournisseurs aide à produire des preuves réutilisables. Elle n’efface pas les critères distincts de déclenchement, d’autorité et de notification. La bonne question est donc : « pour ce service, à cette date, sous quel texte et avec quelle preuve ? »
Questions fréquentes
Un OSE devient-il automatiquement EE ?
La directive permet à l’État de classer comme EE des OSE déjà identifiés, si la loi nationale le prévoit. Vérifiez la transposition finale et la décision propre à l’entité ; ne transformez pas cette faculté en automatisme français déjà acquis.
Une petite entreprise peut-elle entrer dans NIS 2 ?
Oui, dans les cas d’exception de la directive, ou si le calcul des entreprises liées et partenaires lui fait franchir le seuil. Le nombre de salariés du seul établissement est insuffisant. Voir l’analyse PME.
Un sous-traitant d’OIV ou d’EE reçoit-il le même statut ?
Non du seul fait du contrat. Il peut avoir ses propres obligations sectorielles et recevoir des exigences de sécurité contractuelles du client. La méthode fournisseurs traite ce point.