Périmètre et entités concernées

Pourquoi ce chapitre est le premier arbitrage à trancher

Avant de parler gouvernance, notification d'incidents ou mesures techniques, une question précède tout le reste : votre organisation est-elle concernée par NIS2, et si oui, sous quel statut ? La réponse conditionne l'intégralité du dispositif — obligations de sécurité, régime de sanction, autorité de supervision, délais de notification. Se tromper sur ce point en amont, c'est soit sous-investir face à une obligation réelle, soit mobiliser des ressources sur un cadre qui ne s'applique pas.

La directive (UE) 2022/2555, dite NIS2, remplace la directive NIS de 2016 et élargit considérablement son périmètre : elle est passée d'environ 500 entités couvertes en France sous NIS1 à un ordre de grandeur estimé entre 10 000 et 15 000 entités sous NIS2, tous secteurs confondus. ReCyF désigne le cadre de transposition français de cette directive, piloté par l'ANSSI, qui reprend l'architecture européenne tout en précisant certains points d'application nationale — désignation des autorités sectorielles, modalités de déclaration, articulation avec les dispositifs existants (OIV, LPM).

Le statut d'une entité n'est jamais présumé. Il résulte d'une combinaison précise entre secteur d'activité, taille de l'organisation, et, le cas échéant, critères d'exception qui priment sur la taille. Une entreprise peut légitimement ignorer qu'elle est en périmètre parce qu'elle raisonne uniquement en termes de chiffre d'affaires ou de notoriété, alors que le critère déterminant est la nature de son activité.

Les deux catégories : essentielle et importante

NIS2 introduit une distinction binaire entre deux statuts, qui ne reflète pas un jugement de valeur sur l'importance de l'activité mais un dosage du régime de supervision applicable.

Entité essentielle — soumise à un régime de supervision ex ante : l'autorité compétente peut effectuer des contrôles proactifs, avant même la survenue d'un incident, et exiger des audits de sécurité réguliers. Les sanctions administratives peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu.

Entité importante — soumise à un régime de supervision ex post : l'autorité intervient principalement après un incident, un signalement ou des éléments probants de non-conformité. Le plafond de sanction est fixé à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial annuel.

Les obligations de fond en matière de gestion des risques et de notification d'incidents sont largement identiques entre les deux catégories — ce chapitre n'entre pas dans ce détail, traité dans un chapitre ultérieur. Ce qui diffère structurellement, c'est l'intensité du contrôle et le niveau de sanction encouru.

Les secteurs couverts : annexe I et annexe II

NIS2 organise les secteurs en deux annexes, dont la logique conditionne directement le statut probable d'une entité.

Cette classification sectorielle n'est pas anecdotique : c'est elle, croisée avec la taille, qui détermine si une entité est essentielle ou importante. Une entité de l'annexe I peut être essentielle ou importante selon sa taille ; une entité de l'annexe II est, sauf exception, toujours importante, quelle que soit sa taille au-delà du seuil plancher.

Ne vous fiez pas à l'intitulé commercial de votre secteur. Le rattachement se fait à l'activité réellement exercée, telle que décrite dans les textes d'application, pas à la dénomination usuelle de votre marché. Un éditeur qui exploite une place de marché en ligne relève potentiellement de l'annexe II en tant que fournisseur numérique, même s'il se présente commercialement comme une société de e-commerce généraliste.

Le critère de taille : la règle du size-cap

NIS2 applique ce qu'on appelle la règle du size-cap : en principe, seules les moyennes et grandes entreprises entrent dans le périmètre. Les seuils retenus sont ceux de la recommandation européenne 2003/361 relative à la définition des PME :

• Moyenne entité : entre 50 et 249 salariés, ou chiffre d'affaires annuel compris entre 10 et 50 millions d'euros, ou total de bilan compris entre 10 et 43 millions d'euros.
• Grande entité : 250 salariés ou plus, ou chiffre d'affaires annuel supérieur à 50 millions d'euros, ou total de bilan supérieur à 43 millions d'euros.

En deçà de 50 salariés et de 10 millions d'euros de chiffre d'affaires ou de bilan, une organisation est en principe exclue du périmètre — sauf si elle relève de l'une des exceptions décrites plus loin, qui neutralisent précisément ce plafonnement.

Ce croisement donne une règle simple à mémoriser : seule la combinaison « annexe I + grande entité » produit une qualification essentielle par défaut. Toutes les autres combinaisons en périmètre — annexe I moyenne, annexe II grande ou moyenne — produisent une qualification importante.

Les exceptions qui neutralisent le critère de taille

La règle du size-cap connaît des dérogations volontaires, listées explicitement par le texte, qui font basculer une organisation en entité essentielle indépendamment de son effectif ou de son chiffre d'affaires. Ces exceptions reposent sur un raisonnement différent : certaines fonctions sont jugées si critiques pour la continuité des services numériques ou de l'État que la taille de l'opérateur devient sans objet.

Sont typiquement concernés, quelle que soit leur taille :

• les fournisseurs de services DNSDNSRéseauxSystème qui traduit un nom de domaine en adresse IP, par interrogations successives de la racine, des serveurs de premier niveau puis des serveurs faisant autorité.Voir dans le glossaire et les registres de noms de domaine de premier niveau (TLD) ;
• les prestataires de services de confiance qualifiés au sens du règlement eIDAS ;
• les fournisseurs de réseaux ou de services de communications électroniques publics, lorsqu'ils sont désignés par l'État membre ;
• les entités identifiées comme seul prestataire d'un service essentiel dans un État membre ;
• les entités dont une perturbation aurait un impact significatif sur l'ordre public, la sécurité publique ou la santé publique ;
• les administrations publiques centrales, et selon la transposition nationale, certaines administrations régionales.

Une petite structure qui pense être hors périmètre parce qu'elle compte 15 salariés peut être qualifiée essentielle du jour au lendemain si son activité correspond à l'un de ces cas. C'est un point de vigilance particulier pour les éditeurs de solutions d'infrastructure numérique (résolution DNS, PKI, hébergement critique) qui opèrent souvent avec des effectifs réduits mais une fonction structurellement critique.

Une société de 22 salariés qui exploite un service de résolution DNS récursif utilisé par plusieurs opérateurs de télécommunications d'un même État membre entre en périmètre en tant qu'entité essentielle, alors même qu'elle serait exclue par le seul critère de taille. À l'inverse, un fabricant industriel de 400 salariés relevant de l'annexe II (fabrication de machines) reste qualifié importante : sa taille dépasse largement le seuil, mais son secteur ne bascule jamais automatiquement vers le statut essentiel.

Le cas des groupes et des filiales

NIS2 raisonne par entité juridique, pas par groupe consolidé. Chaque filiale est évaluée individuellement au regard de son propre secteur d'activité et de sa propre taille — le fait que la maison mère soit une multinationale ne rend pas automatiquement chaque filiale essentielle, et inversement, une filiale de petite taille rattachée à un grand groupe ne devient pas hors périmètre par simple appartenance à un ensemble plus vaste si elle remplit elle-même les critères.

Cette approche a deux conséquences pratiques importantes :

1. Cartographie obligatoire par entité juridique. Un groupe avec dix filiales opérant dans des secteurs différents (énergie, logistique, informatique interne) doit produire dix évaluations distinctes, et non une évaluation globale au niveau de la holding.
2. Hétérogénéité des statuts au sein d'un même groupe. Il est parfait normal, et fréquent, qu'une filiale soit qualifiée essentielle pendant qu'une autre filiale du même groupe reste hors périmètre ou relève du statut importante.

Sur le plan de la territorialité, le rattachement se fait en principe au lieu d'établissement principal dans l'Union européenne. Pour certaines catégories spécifiques — fournisseurs de DNS, registraires TLD, fournisseurs de cloud, de centres de donnéesdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire, de réseaux de diffusiondiffusionIAFamille de modèles génératifs qui synthétisent une image (ou autre signal) en dénisant progressivement un bruit.Voir dans le glossaire de contenu, de moteurs de recherche, de places de marché en ligne et de réseaux sociaux — un mécanisme de guichet unique s'applique : l'entité est rattachée à l'État membre où se trouve son établissement principal, même si elle sert des clients dans toute l'Union, voire si son siège est situé hors UE mais qu'elle offre des services dans l'Union.

Une entité établie hors de l'Union européenne mais qui propose des services dans les catégories numériques mentionnées ci-dessus peut être tenue de désigner un représentant dans un État membre où elle opère, sur le modèle de mécanismes déjà connus en matière de protection des données.

Où en est ReCyF, la transposition française

La directive NIS2 fixait une échéance de transposition au 17 octobre 2024, échéance que la France, comme la majorité des États membres, n'a pas respectée dans les délais initiaux. Le cadre ReCyF reprend l'architecture de la directive tout en précisant l'articulation avec les dispositifs français préexistants, notamment le statut d'opérateur d'importance vitale (OIV) issu du code de la défense et les obligations posées par la loi de programmation militaire. L'ANSSI est confirmée comme autorité nationale de référence, avec un rôle de guichet pour l'enregistrement des entités et la réception des notifications d'incidents.

Dans l'attente de la publication définitive des textes d'application et des listes sectorielles précises, l'approche prudente pour une organisation qui se situe dans une zone grise consiste à anticiper sur la base des critères européens, plutôt que d'attendre une clarification nationale qui peut intervenir tardivement au regard des délais de mise en conformité.

Checklist pour trancher un cas concret

Pour statuer sur le périmètre d'une entité, procédez dans cet ordre :

1. Identifier précisément l'activité exercée par l'entité juridique concernée (pas le groupe, pas la marque commerciale).
2. Vérifier si cette activité correspond à un secteur de l'annexe I ou de l'annexe II.
3. Calculer la taille selon les trois critères — effectif, chiffre d'affaires, total de bilan — et retenir la catégorie la plus favorable au dépassement de seuil, comme le prévoit la recommandation PME.
4. Vérifier systématiquement si l'entité relève d'une des exceptions qui neutralisent le critère de taille, indépendamment du résultat de l'étape 3.
5. Pour un groupe, répéter les étapes 1 à 4 pour chaque filiale, sans présumer d'un statut uniforme.
6. Documenter le raisonnement retenu : en cas de contrôle, l'autorité attend une justification, pas seulement une conclusion.

Pièges fréquents

• Confondre secteur d'activité déclaré au registre du commerce et activité réellement exercée pour les besoins de la qualification.
• Ignorer les exceptions de taille parce qu'on s'arrête au calcul de l'effectif et du chiffre d'affaires.
• Traiter un groupe comme une entité unique alors que la logique NIS2 est strictement individuelle par personne morale.
• Sous-estimer la portée extraterritoriale pour les fournisseurs numériques établis hors UE mais actifs sur le marché européen.
• Considérer la qualification comme figée : une croissance d'effectif ou un changement d'activité peut faire basculer le statut d'une entité d'une année sur l'autre.