Vous êtes concerné si votre activité relève de l'un des 18 secteurs listés par la directive (énergie, transports, santé, numérique, gestion des déchets, agroalimentaire, industrie manufacturière…) et si vous atteignez les seuils de taille — en première approche, 50 salariés ou 10 millions d'euros de chiffre d'affaires. Au-dessus de 250 salariés ou 50 M€ dans les secteurs hautement critiques, vous êtes « entité essentielle », au régime de supervision renforcé ; sinon « entité importante ». En France, la mise en œuvre est pilotée par l'ANSSI dans le cadre de la transposition nationale, avec une montée en charge progressive.
La première directive NIS visait quelques centaines d'opérateurs désignés individuellement. NIS2 inverse la logique : ce sont les critères — secteur d'activité et taille — qui déterminent l'assujettissement, sans notification individuelle préalable. Conséquence : des milliers d'entreprises françaises sont concernées, et beaucoup l'ignorent encore. C'est à chaque entreprise de faire son auto-diagnostic et, le cas échéant, de s'enregistrer auprès de l'autorité nationale.
Première question : votre secteur. L'annexe I liste les secteurs « hautement critiques » : énergie, transports, banque et infrastructures financières, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC (dont les fournisseurs de services managés — les MSP eux-mêmes sont dans le champ), administration publique, espace. L'annexe II liste les « autres secteurs critiques » : services postaux, gestion des déchets, chimie, agroalimentaire, industrie manufacturière (dispositifs médicaux, informatique, équipements électriques, machines, véhicules…), fournisseurs numériques, recherche.
Deuxième question : votre taille. Le seuil d'entrée général est celui de la moyenne entreprise : au moins 50 salariés ou plus de 10 M€ de chiffre d'affaires annuel. En dessous, on est en principe hors champ — avec des exceptions ciblées où le critère de taille ne s'applique pas (certains fournisseurs d'infrastructures numériques, bureaux d'enregistrement, entités uniques dans leur secteur, administration). Attention également au périmètre de groupe : les effectifs et chiffres d'affaires peuvent s'apprécier en tenant compte des entreprises liées — une filiale de 30 personnes d'un groupe de 300 peut entrer dans le champ.
Les obligations de fond sont largement communes — mesures de gestion des risques cyber, sécurité de la chaîne d'approvisionnement, notification des incidents significatifs, responsabilité des dirigeants, formation. Ce qui diffère, c'est le régime de supervision : les entités essentielles (grandes entreprises des secteurs hautement critiques, et cas particuliers) sont soumises à une supervision proactive — contrôles possibles a priori — tandis que les entités importantes relèvent d'une supervision a posteriori, déclenchée en cas d'indice de manquement. Les plafonds de sanction diffèrent également, calculés en pourcentage du chiffre d'affaires mondial.
La transposition française, portée par l'ANSSI, organise une montée en charge progressive : enregistrement des entités, référentiel de mesures, délais de mise en conformité échelonnés. Les détails — calendrier précis, modalités d'enregistrement, référentiel applicable — évoluent encore au moment où nous écrivons ; l'ANSSI publie un outil de qualification en ligne pour tester sa situation. Le réflexe sain : ne pas attendre la lettre recommandée. Les mesures attendues (MFA, sauvegardes testées, gestion des vulnérabilités, plan de réponse aux incidents) sont de toute façon celles qu'une entreprise sérieuse met en place — NIS2 ne fait que les rendre opposables.
Cas particulier à connaître : si votre entreprise est une entité financière, c'est DORA qui s'applique en tant que texte spécial pour l'essentiel des obligations, pas NIS2. Et si vous êtes client d'un fournisseur de services managés, sachez que votre MSP est lui-même dans le champ de NIS2 — sa propre conformité devient un critère de sélection.
En principe non, le seuil général étant de 50 salariés ou 10 M€ de chiffre d'affaires. Mais trois exceptions existent : certains secteurs où le critère de taille ne s'applique pas, l'appréciation des seuils au niveau du groupe pour les entreprises liées, et la possibilité de désignation en raison d'une criticité particulière.
Un socle de mesures de gestion des risques — politiques de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, MFA, formation — plus la notification des incidents significatifs dans des délais courts, et l'implication formelle des dirigeants, responsables du dispositif.
Les professions du chiffre et du droit ne figurent pas en tant que telles dans les annexes. Elles restent soumises au RGPD et à leurs obligations déontologiques — et subissent l'effet indirect de la directive : leurs clients assujettis leur demandent des garanties au titre de la sécurité de la chaîne d'approvisionnement.
DIGICAB — lui-même fournisseur de services managés dans le champ de NIS2 — aide les PME à qualifier leur assujettissement et à déployer le socle attendu : MFA, sauvegardes testées, réponse aux incidents. 30 minutes avec un ingénieur, sans démarchage ni engagement.
Prendre rendez-vous