À retenir. La règle générale de la directive NIS 2 vise les entités des annexes I et II qui atteignent au moins la taille moyenne au sens de la recommandation européenne. Une entreprise sous cinquante salariés n’est pourtant pas automatiquement exclue : agrégation des entreprises liées et partenaires, exceptions sectorielles et désignation fondée sur la criticité peuvent modifier le résultat. Au 27 septembre 2026, la loi française de transposition reste en discussion parlementaire ; cette analyse sert à préparer une qualification documentée, sans présenter le projet comme droit français déjà entré en vigueur.
La question utile pour une PME est double : « Quel service précis fournissons-nous dans les annexes ? » puis « Quelle taille faut-il retenir après application des règles de groupe ? ». Un code NAF, une estimation commerciale ou le seul effectif local ne répondent pas à ces deux questions. Pour les catégories OIV, OSE, EE et EI, voir le guide de qualification.
1. Seuils : lire ensemble effectif et données financières
La recommandation 2003/361/CE définit la microentreprise par moins de dix personnes et un chiffre d’affaires annuel ou total de bilan n’excédant pas deux millions d’euros. La petite entreprise compte moins de cinquante personnes et un chiffre d’affaires ou bilan n’excédant pas dix millions. La moyenne entreprise compte moins de 250 personnes et un chiffre d’affaires n’excédant pas cinquante millions ou un bilan n’excédant pas 43 millions. Ces conditions ne se résument pas à un « OU » uniforme entre effectif et argent.
Pour savoir si une entité dépasse le plafond d’une catégorie, utilisez les comptes et les effectifs prévus par la recommandation ; documentez l’exercice retenu et les éventuelles entreprises à agréger. La règle des deux exercices consécutifs de l’article 4 de l’annexe importe lorsqu’un dépassement ou un retour sous seuil se produit : une seule année atypique ne change pas nécessairement la catégorie. L’effectif correspond aux unités de travail annuel selon l’article 5, et non à un nombre arbitraire de postes affichés sur un organigramme.
Exemple hypothétique : une entreprise indépendante a 48 unités de travail annuel, neuf millions d’euros de chiffre d’affaires et huit millions de bilan. Elle reste dans la catégorie « petite » au regard de ces données. Si elle acquiert une activité et franchit le seuil, la date et la stabilité du franchissement doivent être vérifiées selon la recommandation. La réponse NIS 2 exige ensuite encore de vérifier le type de service fourni et les exceptions.
2. Entreprise autonome, partenaire ou liée
L’article 3 de l’annexe à la recommandation distingue trois relations. Une entreprise autonome utilise ses propres données. Une entreprise partenaire, en général à partir d’une participation de 25 % sans contrôle caractérisant un lien, ajoute les données de ses partenaires à proportion. Une entreprise liée additionne en principe la totalité des données des entreprises liées, directement ou indirectement, sous réserve des règles de calcul et des comptes consolidés. Des exceptions existent pour certaines catégories d’investisseurs ; une participation de 25 % ne suffit donc pas à clore l’analyse.
Exemple hypothétique : une société de support informatique compte trente salariés et appartient à 100 % à un groupe de 800 salariés. Ses seuls trente salariés ne démontrent pas qu’elle est petite pour les seuils européens. Autre cas : une société de vingt personnes a un investisseur détenant 30 % du capital sans contrôle, et l’investisseur emploie 200 personnes. Il faut analyser l’entreprise partenaire, l’ajout proportionnel et les exceptions éventuelles ; la simple addition de 220 personnes serait fausse.
Conservez un schéma du capital, les droits de vote, les accords de contrôle et les comptes utilisés. Si un actionnaire change, réexaminez la fiche. Une cartographie des services et systèmes identifie ensuite la personne morale qui exploite le service : le groupe peut être grand, mais toutes ses filiales ne fournissent pas nécessairement le même type de service visé par l’annexe.
3. La règle générale NIS 2 et les deux catégories
L’article 2, paragraphe 1, vise en règle générale les entités des annexes I ou II qui dépassent les plafonds de la petite entreprise ou sont au moins des entreprises moyennes. L’article 3 classe, sous conditions, les grandes entités de l’annexe I comme essentielles ; les autres entités relevant du champ sont importantes, sauf cas particuliers. Une PME moyenne de l’annexe I n’est donc pas automatiquement essentielle. Une activité de l’annexe II n’est pas toujours définitivement importante : certaines identifications spéciales peuvent conduire à la catégorie essentielle.
La qualification dépend du type d’entité décrit dans les annexes, et non du secteur au sens économique large. Une ESN qui vend des licences, une société qui administre l’infrastructure de clients et un centre de données exploité pour des tiers ne jouent pas le même rôle. Pour les services TIC, la frontière mérite une revue des contrats, droits d’accès, responsabilités d’exploitation et clientèle. Un audit de conformité vient ensuite ; le commencer avant de savoir quelle entité auditer peut conduire à examiner le mauvais périmètre.
4. Exceptions de taille : lesquelles vérifier ?
NIS 2 prévoit que certains types d’entités entrent dans son champ quelle que soit leur taille, notamment les fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance, qualifiés ou non, et fournisseurs de réseaux ou services de communications électroniques publics. L’article 2, paragraphe 2, point a), vise tous les prestataires de services de confiance pour l’exception de taille ; l’article 3, paragraphe 1, point b), classe spécifiquement les prestataires qualifiés parmi les EE. D’autres cas dépendent d’une identification étatique, par exemple un fournisseur unique d’un service essentiel ou une perturbation susceptible d’avoir un effet important sur la santé, la sûreté ou la sécurité publiques. Les catégories EE et EI de ces cas ne se déduisent pas toutes de la même règle ; relisez les articles 2 et 3.
Une petite société de services qui fournit un composant à un fournisseur DNS ne devient pas elle-même fournisseur DNS. En revanche, son client peut lui imposer des contrôles contractuels proportionnés au risque. De même, une startup proposant une signature électronique doit vérifier si elle fournit effectivement un service de confiance au sens d’eIDAS, puis si elle possède le statut qualifié ; l’absence de qualification n’écarte pas à elle seule l’exception de taille NIS 2. Les exceptions sont des catégories juridiques, pas des étiquettes marketing.
L’administration publique suit un raisonnement spécifique : la directive vise des entités centrales et régionales et laisse certains choix aux États pour le niveau local. Aucun nombre d’habitants universel, notamment « 30 000 », ne figure dans NIS 2 comme seuil d’exclusion des communes. La réponse française exige le texte de transposition définitif. Le dossier collectivités aide à préparer les acteurs publics sans annoncer une inclusion automatique de chaque mairie.
5. Cas pratiques de qualification
Cas hypothétique A : une boulangerie indépendante de douze salariés, sans autre activité visée. Elle est petite et ne semble pas relever d’un type d’entité des annexes. La simple transformation alimentaire ne suffit pas sans examiner la ligne exacte de l’annexe II et le rôle dans la chaîne de production ou distribution. Une politique de sauvegarde et de comptes reste utile pour des raisons de continuité, même si NIS 2 ne s’applique pas.
Cas hypothétique B : un fournisseur de services gérés administre à distance les serveurs de clients. Il est autonome, sans entreprise partenaire ni liée, et a compté 60 unités de travail annuel, réalisé 12 millions d’euros de chiffre d’affaires et présenté un bilan de huit millions d’euros sur chacun des deux exercices pertinents. Ces données étayent sa taille moyenne. Si ses prestations répondent à la définition du service géré de l’annexe I et qu’aucune autre règle spéciale ne modifie le classement, il serait en principe EI sous la directive. Il vérifie ses contrats, l’État de rattachement et ses éventuelles autres activités avant de conclure. Il conserve une note juridique, pas seulement une capture d’un questionnaire.
Cas hypothétique C : un petit fournisseur DNS de huit salariés. L’exception de taille appelle une analyse même s’il est micro. Il faut encore distinguer un vrai service DNS entrant dans la définition du texte d’une simple configuration de domaine faite pour un client. L’entité prépare les éléments décrivant son architecture, ses clients et son rôle dans la résolution des noms.
Cas hypothétique D : une filiale hospitalière de 120 personnes appartient à un grand groupe de santé. L’effectif local n’est pas le dernier mot. La relation capitalistique, le service de santé exact et les règles éventuelles applicables au groupe influencent le classement. Sa direction doit aussi distinguer les exigences HDS d’hébergement des données de santé, si elles s’appliquent, des obligations NIS 2.
6. Proportionnalité des mesures : ce qu’elle signifie
L’article 21 exige des mesures appropriées et proportionnées, compte tenu de l’exposition, de la taille et de la probabilité et gravité possibles des incidents. Il ne donne pas un forfait de « dix outils obligatoires » ni un pourcentage de budget informatique. Une PME qui exploite un service hautement dépendant d’un prestataire cloud doit traiter cette dépendance ; une autre qui héberge un système industriel isolé peut privilégier l’accès de maintenance et la reprise de production. La même liste de mesures peut produire des preuves très différentes.
Le ReCyF publié par l’ANSSI le 17 mars 2026 est présenté comme un document de travail préparatoire. Il aide à structurer l’écart et le plan d’action, sans permettre d’annoncer que tous ses objectifs sont déjà des prescriptions réglementaires françaises opposables. Les méthodes comme EBIOS Risk Manager peuvent guider l’analyse ; elles ne sont pas imposées indistinctement à toutes les PME. Voir la méthode EBIOS.
Pour une PME moyenne, commencez par les services critiques et par les scénarios plausibles : compte administrateur compromis, indisponibilité du fournisseur d’identité, rançongiciel, panne du prestataire d’hébergement. Décidez les contrôles qui réduisent ces risques, attribuez un responsable et prévoyez une preuve de fonctionnement. Un achat d’outil non déployé ou un certificat fournisseur expiré ne démontre aucune réduction du risque.
7. Dossier de décision en six pièces
Première pièce : liste des personnes morales et services fournis. Deuxième : correspondance argumentée avec les lignes des annexes. Troisième : calcul PME détaillé, y compris partenaires et liées. Quatrième : décisions de désignation ou analyse des exceptions. Cinquième : textes applicables aujourd’hui en France, par exemple OSE ou OIV lorsque l’entité est déjà désignée. Sixième : conclusion datée, hypothèses et événement déclenchant une nouvelle revue. L’ANSSI propose MonEspaceNIS2 pour l’orientation des futures entités ; gardez votre propre dossier pour justifier les réponses saisies.
Une conclusion peut rester conditionnelle : « probablement EI sous la directive, sous réserve de la loi française et de l’analyse de la filiale ». C’est préférable à une affirmation définitive fondée sur un tableau simplifié. Si le groupe franchit un seuil ou si un service se transforme, documentez l’événement et réévaluez. Pour les achats et contrats, notez séparément les exigences reçues d’un client déjà régulé : être fournisseur d’une EE n’est pas équivalent à être EE, mais le contrat peut créer des engagements concrets.
8. Préparer la sécurité sans attendre le classement
Un plan proportionné commence par un inventaire des services, comptes privilégiés et dépendances ; il continue par la limitation des accès, la protection du poste, des sauvegardes restaurées à l’essai et un chemin de signalement d’incident. La sécurité des données selon l’article 32 RGPD peut déjà exiger des mesures pour les traitements personnels, quelle que soit la transposition NIS 2. Une politique de sécurité courte mais appliquée facilite la gouvernance.
Ne présentez pas l’authentification multifactorielle partout, un EDR donné, un délai universel de correction de trente jours ou un rythme trimestriel d’exercice comme des seuils légaux généraux. Choisissez les mesures par risque : MFA prioritaire pour les comptes administrateurs et accès distants exposés ; délais de correctif selon l’exposition et la gravité ; restauration testée selon les objectifs métiers. La stratégie de sauvegarde donne des options, et le plan de continuité relie les tests au service.
9. Contrats fournisseurs et petites entreprises hors champ
Une PME non soumise directement à NIS 2 peut être un fournisseur critique d’une entité couverte. L’article 21 demande à cette dernière de traiter la sécurité de sa chaîne d’approvisionnement. Le client peut ainsi demander des preuves de sécurité, une procédure de notification, un plan de reprise ou des droits de vérification. Ces obligations sont alors d’abord contractuelles pour le fournisseur, sous réserve de ses propres régimes légaux. Le guide sous-traitants aide à négocier un niveau réaliste.
Exemple hypothétique : un prestataire de paie de vingt salariés sert plusieurs entreprises d’énergie. Il n’est pas automatiquement EI parce que ses clients pourraient l’être. Il devrait néanmoins examiner la confidentialité des paies, les accès à distance et la continuité, puis convenir avec chaque client d’un délai de signalement qui lui laisse le temps d’évaluer et de transmettre les faits. Une clause « NIS 2 conforme » sans périmètre, contrôle ni procédure expose les deux parties à une fausse assurance.
10. Notifications et sanctions : éviter les raccourcis
Les séquences de 24 heures, 72 heures et un mois figurent à l’article 23 de la directive pour les incidents significatifs. Elles ne qualifient pas tous les incidents informatiques et ne suppriment pas les notifications d’autres régimes. Une violation de données personnelles peut nécessiter une notification RGPD sous 72 heures, selon le risque pour les personnes. Préparez une chronologie et un responsable par canal ; ne supposez pas qu’un fournisseur signale directement à l’autorité pour le compte de tous ses clients.
Les montants de dix millions/2 % pour EE et sept millions/1,4 % pour EI sont des minimums de plafond à transposer fixés par l’article 34, et non des amendes automatiques pour une PME française. La décision éventuelle dépendra des faits et de la procédure nationale adoptée. Le guide sanctions explique la distinction entre seuil européen, droit français actuel et projet de loi. Aucune « phase pédagogique jusqu’en 2027 » ne peut être garantie sans décision officielle.
11. Événements qui imposent une nouvelle revue
Reprenez la fiche lorsque la société dépasse durablement un seuil, achète une filiale, change de contrôle ou passe de la vente de logiciel à l’exploitation d’un service géré. Faites de même lorsqu’un contrat modifie la responsabilité d’administration, qu’une autorité adresse une notification, que l’annexe ou une définition européenne évolue, ou que la loi française est promulguée. Le responsable juridique conserve la source et la date ; les finances et le RSSI fournissent les données de fond.
La revue peut tenir sur deux pages si elle est précise. Une première page expose les services et le calcul ; la seconde tranche les exceptions et liste les points ouverts. Si une incertitude subsiste, formulez la question à résoudre, la source manquante et la mesure de sécurité à maintenir entre-temps. Cette discipline rend l’échange avec l’autorité ou un conseil externe plus rapide et évite de refaire le travail après chaque changement d’organigramme.
Questions fréquentes
Une entreprise de trente salariés est-elle exclue ?
Pas toujours. Vérifiez son autonomie, ses partenaires et entreprises liées, son service exact et les exceptions de taille. Une simple déclaration du nombre de salariés ne suffit pas.
Une PME moyenne de l’annexe I est-elle essentielle ?
En règle générale, elle relève de la catégorie importante ; les cas spéciaux de l’article 3 peuvent changer l’issue. Une note de qualification doit citer la ligne d’annexe et la disposition utilisée.
Une mairie de moins de 30 000 habitants est-elle hors champ ?
Ce chiffre n’est pas un seuil universel de la directive. Le périmètre local dépend de la transposition française finale et des éventuelles désignations. Les mesures de sécurité adaptées restent utiles indépendamment de ce classement.