NIS2
Mon entreprise est-elle concernée par NIS2 ?
Trois critères principaux : votre secteur, votre taille et la nature de vos services. Voici comment les lire, puis comment vérifier officiellement.
Mis à jour le 29 octobre 2026
- Votre secteur figure à l'annexe II de la directive NIS2 (« secteurs critiques »).
- Votre taille estimée (moyenne entreprise) atteint les seuils prévus par la directive.
Estimation indicative, pas un avis juridique. Confirmez avec le simulateur officiel de l'ANSSI.
1. Votre secteur
La directive distingue des secteurs « hautement critiques » (annexe I) et « critiques » (annexe II).
Annexe I — secteurs hautement critiques
- Énergie (électricité, gaz, pétrole, chaleur, hydrogène)
- Transports (aérien, ferroviaire, maritime, routier)
- Banque
- Infrastructures des marchés financiers
- Santé (établissements, laboratoires, industrie pharmaceutique)
- Eau potable ou eaux usées
- Infrastructure numérique (cloud, datacenter, hébergement, CDN)
- Services informatiques gérés pour d'autres entreprises (infogérance, MSP, MSSP)
- Spatial
- Administration publique / collectivité
Annexe II — autres secteurs critiques
- Services postaux et d'expédition
- Gestion des déchets
- Fabrication ou distribution de produits chimiques
- Production, transformation ou distribution alimentaire
- Fabrication : dispositifs médicaux, électronique, équipements électriques, machines, véhicules
- Places de marché en ligne, moteurs de recherche, réseaux sociaux
- Organisme de recherche
2. Votre taille
En règle générale, NIS2 vise les entreprises au moins « moyennes » au sens européen : 50 salariés ou plus, ou un chiffre d'affaires annuel supérieur à 10 M€ et un total de bilan supérieur à 10 M€. Si votre entreprise appartient à un groupe, les effectifs et chiffres des entreprises liées peuvent être pris en compte.
3. Les cas particuliers
Certaines entités sont visées quelle que soit leur taille, par exemple :
- fournisseurs de réseaux ou services de communications électroniques publics ;
- prestataires de services de confiance ;
- registres de noms de domaine de premier niveau et fournisseurs de services DNS ;
- entités désignées comme seul fournisseur d'un service essentiel dans un pays.
Entité essentielle ou importante ?
Les entités concernées sont classées « essentielles » ou « importantes » selon leur secteur et leur taille. Les obligations de sécurité sont proches ; c'est surtout le niveau de supervision qui diffère.
Comment vérifier ?
Notre bilan donne une estimation prudente et explique chaque critère. Pour une vérification officielle, utilisez le simulateur de l'ANSSI sur MesServicesCyber, puis, en cas de doute, consultez un professionnel qualifié.
Hors périmètre ? La cybersécurité reste un enjeu majeur pour votre PME →