La directive NIS2 range les organisations qu'elle vise en deux catégories : entités essentielles et entités importantes. Beaucoup de dirigeants industriels supposent qu'aucune des deux ne les concerne, parce qu'ils fabriquent des pièces, pas de l'électricité. C'est souvent faux. Voici comment se situer, sans ouvrir le texte européen.
Le législateur européen a voulu graduer l'effort. Une centrale électrique et un fabricant de machines-outils ne présentent pas le même risque systémique : si la première tombe, une région entière s'éteint. D'où deux niveaux de criticité, et deux régimes de surveillance.
Attention au malentendu, il est fréquent. Cette distinction ne porte pas sur les mesures de sécurité à mettre en place. Elles sont identiques dans les deux cas : gestion des risques, sécurisation de la chaîne d'approvisionnement, continuité d'activité, notification des incidents, formation de la direction. Ce qui change, c'est la façon dont le régulateur vous surveille, et le montant maximal qu'il peut vous réclamer.
Autrement dit, être classé "important" plutôt qu'"essentiel" ne réduit pas le travail. Ça réduit la pression du contrôle.
La mécanique tient en deux étapes. On regarde d'abord dans quelle annexe de la directive tombe votre activité, puis on applique des seuils de taille. Votre code d'activité décide, vous ne choisissez pas.
Énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion de services informatiques interentreprises, administration publique, espace.
Ce sont les activités dont l'arrêt provoque une réaction en chaîne à l'échelle d'un pays. Vos donneurs d'ordre s'y trouvent souvent.
Services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fournisseurs numériques, organismes de recherche. Et surtout, la ligne que peu de gens lisent jusqu'au bout : la fabrication. Dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines et équipements, véhicules automobiles et remorques, autres matériels de transport.
Une fois votre secteur identifié, trois critères, dont un seul suffit :
Une entreprise de l'annexe I qui dépasse 250 salariés, ou 50 millions d'euros de chiffre d'affaires avec un bilan supérieur à 43 millions, devient entité essentielle. Les entreprises moyennes de l'annexe I et toutes les entreprises moyennes et grandes de l'annexe II sont entités importantes.
Quelques cas particuliers échappent aux seuils et sont essentiels quelle que soit leur taille : fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance qualifiés, certaines administrations. Peu de chances que ça vous concerne si vous usinez des pièces en Lorraine.
Reprenons cette liste de l'annexe II. Machines et équipements. Véhicules automobiles et remorques. Produits informatiques, électroniques et optiques. Autres matériels de transport, ce qui englobe une partie de l'aéronautique et du ferroviaire.
Faites le calcul pour votre entreprise. Si vous fabriquez dans l'une de ces branches et que vous employez 55 personnes, ou que vous facturez 12 millions d'euros, vous n'êtes pas seulement soumis aux exigences de vos clients par effet cascade. Vous êtes une entité importante de plein droit, avec vos propres obligations d'enregistrement, de gestion des risques et de notification d'incident.
C'est le point aveugle le plus courant chez les sous-traitants industriels que nous rencontrons dans le Grand Est. Ils ont bien intégré que leur donneur d'ordre allait leur transmettre des exigences. Ils n'ont pas vu qu'ils figuraient eux-mêmes dans le texte.
Nuance utile : la distribution et la simple prestation de services autour de ces produits ne sont pas traitées comme la fabrication. Une entreprise de négoce de pièces automobiles ne relève pas de la même ligne qu'un équipementier qui les produit. Le classement se joue sur l'activité réelle, pas sur le secteur au sens large.
Vos clients vous demandent déjà des preuves de conformité.
Trente minutes pour mesurer où vous en êtes. Réserver un diagnostic (à partir de 2 500 € HT).
Pour une entité essentielle, la surveillance est proactive. L'autorité nationale, en France l'ANSSI, peut demander des documents, diligenter un audit ou une inspection sur place sans qu'aucun incident ne se soit produit. Le contrôle fait partie du quotidien.
Pour une entité importante, la logique s'inverse : le contrôle intervient a posteriori, quand un incident est signalé ou qu'un indice de manquement remonte. Tant que rien ne se passe, personne ne frappe à la porte.
Ce qui ne veut pas dire que rien n'est exigé. Simplement qu'on vous laisse tranquille jusqu'au jour où quelque chose casse. Et c'est précisément ce jour-là que l'absence de documentation coûte cher.
Deux barèmes. Entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Entités importantes : jusqu'à 7 millions d'euros ou 1,4 %.
Ces plafonds européens sont transposés en droit national. En France, la loi Résilience qui doit porter cette transposition n'était toujours pas promulguée à l'été 2026, au point que la Commission européenne a renvoyé la France devant la Cour de justice de l'Union européenne le 8 juillet 2026. Aucune sanction NIS2 n'est donc applicable en France à ce jour. Nous détaillons ce point, ainsi que la responsabilité personnelle des dirigeants, dans notre article sur les montants et la responsabilité du dirigeant.
C'est le point que nous répétons le plus souvent en rendez-vous. Essentielle ou importante, la liste des mesures à mettre en place est la même. Le texte impose notamment :
Aucune de ces obligations ne s'allège parce que vous êtes classé important plutôt qu'essentiel. Le régulateur vous laisse simplement tranquille plus longtemps.
Une remarque sur la formation des dirigeants, souvent négligée : le texte européen la mentionne explicitement. Ce n'est pas au responsable informatique de porter seul le sujet. Un dirigeant qui approuve une politique de sécurité qu'il ne comprend pas signe un document sans valeur, et cela se voit immédiatement lors d'un audit ou d'un questionnaire client un peu sérieux.
Enfin, les entités désignées, essentielles comme importantes, devront s'enregistrer auprès de l'ANSSI. Les modalités précises et le calendrier seront fixés par les décrets d'application, qui suivront la promulgation de la loi Résilience. Rien n'est ouvert à ce jour, inutile de chercher un formulaire.
Cas fréquent : 30 salariés, 6 millions d'euros de chiffre d'affaires, usinage de précision. Vous êtes sous les seuils. NIS2 ne vous désigne pas.
Vos clients, eux, vous désignent. L'entité régulée qui vous achète des pièces doit sécuriser sa chaîne d'approvisionnement, ce qui l'oblige à évaluer ses fournisseurs. Questionnaire sécurité, clause contractuelle, parfois exigence de certification ISO 27001. Le résultat pratique ressemble beaucoup à celui d'une entité importante, sans l'obligation d'enregistrement auprès de l'ANSSI.
La différence : votre échéance n'est pas fixée par un décret, elle est fixée par la prochaine revue fournisseurs de votre client.
Trois questions, dans l'ordre.
Votre activité principale figure-t-elle à l'annexe I ou à l'annexe II ? Si oui, franchissez-vous l'un des trois seuils, 50 salariés, 10 millions de chiffre d'affaires ou 10 millions de bilan ? Et si vous répondez non aux deux, quel est le poids de vos clients régulés dans votre carnet de commandes ?
Dans les trois cas, le chantier démarre au même endroit : savoir où vous en êtes réellement. Un diagnostic de conformité situe votre entreprise dans la classification, mesure l'écart avec les exigences applicables et livre un plan d'action priorisé et chiffré. Pour le cadre général, notre guide complet de la conformité NIS2 reprend l'ensemble des obligations.
Une dernière remarque. La catégorie dans laquelle vous tombez détermine le niveau de pression réglementaire, pas la difficulté du travail. Sur le terrain, une PME industrielle de 60 personnes classée entité importante et une PME de 40 personnes simplement prise dans la cascade mènent à peu près le même chantier. Autant s'en occuper avant que quelqu'un le demande.