Réglementation · 7 min · mis à jour le 4 novembre 2026
Entité essentielle ou entité importante : comment savoir ?
NIS 2 classe les organisations concernées en deux catégories. Le statut dépend de deux critères principaux : votre secteur d'activité et votre taille. Il détermine le nombre de mesures à appliquer, le type de contrôle et le montant maximal des amendes.
Critère 1 : le secteur
La directive liste 18 secteurs. Les 11 secteurs de l'annexe I sont dits hautement critiques : énergie, transports, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace. Les 7 secteurs de l'annexe II sont les autres secteurs critiques : services postaux, gestion des déchets, chimie, alimentation, industrie manufacturière, fournisseurs numériques et recherche.
Le projet de loi français y ajoute une partie des collectivités territoriales.
Critère 2 : la taille
| Catégorie | Effectif | ou chiffre d'affaires et bilan |
|---|---|---|
| Moyenne entreprise | 50 à 249 personnes | CA > 10 M€ et bilan > 10 M€ |
| Grande entreprise | 250 personnes ou plus | CA > 50 M€ et bilan > 43 M€ |
La taille suit la définition européenne des PME. Le seuil est franchi par l'effectif, ou par le chiffre d'affaires et le bilan pris ensemble.
La règle de classement
- Grande entreprise d'un secteur de l'annexe I : entité essentielle.
- Moyenne entreprise d'un secteur de l'annexe I : entité importante.
- Moyenne ou grande entreprise d'un secteur de l'annexe II : entité importante.
- Micro et petite entreprise : non concernée, sauf cas particuliers.
Les cas particuliers, quelle que soit la taille
- Prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau et fournisseurs DNS : entités essentielles.
- Fournisseurs de réseaux ou services de communications électroniques publics : essentiels dès la taille moyenne, importants en dessous.
- Administrations centrales de l'État : entités essentielles.
- Entité seule à fournir un service essentiel, ou dont l'arrêt aurait un impact important : désignation possible par l'autorité.
Ce qui change entre EE et EI
| Entité essentielle | Entité importante | |
|---|---|---|
| Objectifs ReCyF | 20 objectifs (152 mesures) | Objectifs 1 à 15 (77 mesures) |
| Contrôles | A priori et a posteriori | A posteriori (après un incident ou un signalement) |
| Amende maximale | 10 M€ ou 2 % du CA mondial | 7 M€ ou 1,4 % du CA mondial |
| Notification des incidents | 24 h, 72 h, 1 mois | 24 h, 72 h, 1 mois |
Attention aux groupes : la taille s'apprécie en tenant compte des entreprises partenaires et liées, selon la définition européenne.
Questions fréquentes
Une PME peut-elle être concernée par NIS 2 ?
Oui, dès 50 salariés (ou plus de 10 M€ de chiffre d'affaires et de bilan) dans un secteur visé. Certaines activités, comme les fournisseurs DNS ou les prestataires de confiance qualifiés, sont visées quelle que soit la taille.
Comment l'ANSSI saura-t-elle que je suis concerné ?
Les entités devront s'enregistrer auprès de l'ANSSI selon les modalités fixées par décret. La plateforme MonEspaceNIS2 propose déjà un test et une pré-inscription.