NIS2 entité essentielle ou importante : comment savoir dans quelle catégorie vous êtes

La qualification EE/EI repose sur une combinaison entre secteur d’activité, taille de l’entité et cas particuliers : elle doit être documentée avant toute feuille de route de conformité.

Avant de se demander comment se mettre en conformité avec NIS2, il faut répondre à une question plus simple, mais souvent mal posée : dans quelle catégorie se situe votre organisation ? La directive distingue deux statuts : entité essentielle (EE) et entité importante (EI), qui n'emportent pas les mêmes obligations, ni surtout le même régime de contrôle.

Voici la méthode pour vous situer, et ce que chaque statut implique concrètement.

Deux critères cumulatifs, pas un seul

La qualification ne dépend ni uniquement de votre secteur, ni uniquement de votre taille : elle résulte de la combinaison des deux. Pour entrer dans le périmètre de NIS2, une organisation doit :

1. Opérer dans l'un des secteurs listés par la directive ;
2. Dépasser les seuils de taille qui s'appliquent à son secteur.

En dessous des seuils, une organisation reste en principe hors périmètre direct, sous réserve de l'effet de cascade abordé plus bas.

Les secteurs : 18 au total, répartis en deux niveaux de criticité

NIS2 distingue deux annexes sectorielles, qui ne pèsent pas de la même façon dans la qualification :

Secteurs hautement critiques (11 secteurs) : énergie, transports, banque, infrastructures de marchés financiers, santé, eau potable et eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace, et quelques autres activités jugées vitales pour la société.

Secteurs critiques additionnels (7 secteurs) : services postaux, gestion des déchets, chimie, alimentation, fabrication, fournisseurs de services numériques, recherche.

Cette distinction sectorielle se combine ensuite avec la taille de l'organisation pour déterminer le statut final.

Les seuils de taille

En pratique, la qualification repose sur une lecture combinée des seuils : l’effectif peut suffire à caractériser la taille de l’entité. Lorsque l’analyse repose sur les critères financiers, le chiffre d’affaires et le bilan annuel doivent être examinés ensemble. Cela donne deux chemins principaux vers la qualification EE :

• Une grande entreprise dans un secteur hautement critique, dès lors qu’elle atteint les seuils d’effectif ou les seuils financiers applicables ;
• Certaines entités essentielles par nature, indépendamment de leur taille, c’est le cas par exemple de plusieurs acteurs d’infrastructure numérique ou d’entités désignées comme critiques par l’État pour la sécurité nationale.

Et un chemin vers la qualification EI :

• Une entreprise de taille moyenne, dans un secteur hautement critique ou dans un autre secteur critique, lorsqu’elle atteint les seuils d’effectif ou les seuils financiers applicables sans relever de la catégorie EE.

Ce que cela change concrètement : le régime de supervision

La distinction EE/EI n'est pas qu'administrative. Les mesures de sécurité attendues sont quasiment identiques entre les deux statuts, c'est le régime de supervision qui diverge radicalement, et c'est lui qui doit guider votre niveau de préparation.

Pour une entité essentielle, le futur cadre français devrait permettre une supervision ex ante : l’autorité compétente pourra intervenir de manière proactive, notamment par des contrôles ou audits, sans attendre nécessairement la survenance d’un incident.

Pour une entité importante, la supervision relève principalement d’une logique ex post : elle se déclenche notamment à la suite d’un incident, d’un signalement ou d’éléments laissant présumer un manquement.

Les sanctions suivent la même logique de gradation : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, contre 7 millions d'euros ou 1,4 % pour les entités importantes.

Le ReCyF distingue aussi le niveau d'exigence

Le Référentiel Cyber France (ReCyF), publié par l'ANSSI le 17 mars 2026 en version 2.5, structure les obligations en 20 objectifs de sécurité, et c'est là que la différence EE/EI redevient concrète sur le terrain :

• Les objectifs 1 à 15 s'appliquent à toutes les entités régulées, EE comme EI : gouvernance, protection (cartographie, gestion des accès, cryptographie), défense (détection, gestion des vulnérabilités, gestion des incidents) et résilience (sauvegardes, continuité d'activité).
• Les objectifs 16 à 20 sont réservés aux entités essentielles, avec des exigences renforcées : approche par les risques selon la méthode EBIOS RM, audits de sécurité périodiques, durcissement des configurations, supervision continue, et traitement approfondi de la chaîne d'approvisionnement.

Une entité importante n'a donc pas à se calquer sur le niveau d'exigence d'une entité essentielle, mais elle doit néanmoins couvrir l'intégralité du socle commun des 15 premiers objectifs.

Le cas particulier des collectivités territoriales

La France a fait un choix qui dépasse le minimum européen : étendre le périmètre NIS2 à un nombre significatif de collectivités territoriales, groupements et organismes sous tutelle. Selon les projets de texte en circulation, ce périmètre couvrirait notamment les communautés de communes et structures comparables, avec un seuil d'entrée abaissé par rapport aux seuils privés classiques.

Pour une collectivité, deux points sont à retenir : d'abord, la responsabilité personnelle des élus dirigeants s'applique selon la même logique que celle des dirigeants du secteur privé. Ce n'est pas un sujet réservé aux entreprises. Ensuite, les systèmes numériques de la collectivité (SI eau, SI financier, plateformes citoyens) entrent dans le périmètre des dix mesures minimales attendues, au même titre que n'importe quel système d'information régulé.

Le périmètre exact applicable aux collectivités reste néanmoins à confirmer par la promulgation définitive de la loi Résilience, un point à surveiller plutôt qu'à tenir pour acquis à ce stade.

L'effet de cascade : et si vous êtes hors périmètre direct ?

Beaucoup d'ETI et de PME se considèrent à tort comme totalement hors sujet parce qu'elles ne franchissent pas les seuils ou n'opèrent pas dans un secteur listé. C'est une lecture incomplète. NIS2 impose aux entités essentielles et importantes de sécuriser l'ensemble de leur chaîne d'approvisionnement, ce qui signifie qu'un client régulé répercutera mécaniquement ses propres exigences sur ses prestataires, sous-traitants et fournisseurs critiques, par voie contractuelle.

Concrètement : un prestataire informatique, un hébergeur, un éditeur de logiciel ou tout fournisseur d'une entité essentielle ou importante peut se retrouver à devoir démontrer un niveau de sécurité comparable, sans être lui-même directement régulé. Ne pas l'anticiper, c'est risquer de perdre des marchés au moment où vos clients régulés durciront leurs exigences contractuelles : un mouvement déjà observable chez les cyber-assureurs, qui resserrent leurs conditions de couverture en l'absence de preuve de maturité cyber.

Comment qualifier votre situation, en pratique

Trois étapes simples pour sortir de l'incertitude :

1. Identifiez votre secteur parmi les 18 secteurs couverts (Annexe I ou Annexe II), en tenant compte de toutes les activités de votre organisation. Une entité peut être qualifiée dès qu’une seule de ses activités relève d’un secteur listé.
2. Croisez avec votre taille (effectif, chiffre d’affaires, bilan) pour déterminer si vous franchissez le seuil de moyenne ou de grande entreprise.
3. Documentez la décision dans une note de cadrage validée par la direction. C’est cette note qui sera demandée en premier lors d’un contrôle, et qui sécurise votre position si la qualification est ultérieurement contestée.

L'ANSSI met à disposition MonEspaceNIS2, un espace numérique permettant aux organisations de s'auto-évaluer et, à terme, de procéder à leur inscription officielle. Même si la loi n'est pas encore définitivement promulguée, l'ANSSI recommande de s'y inscrire et de s'auto-évaluer dès maintenant : la qualification ne dépend pas de la date de promulgation, elle découle mécaniquement de votre secteur et de votre taille.

Pourquoi cette qualification est le point de départ, pas une formalité

Se tromper de catégorie a un coût dans les deux sens. Sous-estimer son statut expose à découvrir tardivement des audits ANSSI auxquels on n'était pas préparé. Se sur-classer par excès de prudence déclenche un effort de mise en conformité disproportionné par rapport à l'obligation réelle, c'est pourquoi la qualification EE/EI doit être la première étape documentée d'une démarche de conformité. Avant le choix de tout outil ou de toute méthode. C'est aussi la première des six décisions structurantes qu'un COMEX doit prendre face au choc réglementaire 2026-2027 : qualifier précisément son exposition avant d'allouer ses ressources.

Livre blanc - Risques Cyber

GRATUIT

Comment piloter vos risques et votre conformité à l'ère de NIS2, CRA et DORA ?

Unifiez votre conformité pour faire face aux nouvelles exigences réglementaires.

Télécharger le guide