05 Août Comment savoir si une organisation est concernée par NIS2 ?
Comment savoir si une organisation est concernée par NIS2 ?
Mis à jour le 5 août 2026.
Point de situation en France
La transposition nationale de NIS2 est encore en cours. L’ANSSI parle donc de futures entités essentielles et importantes et invite les organisations potentiellement concernées à se préparer sans attendre la publication de l’ensemble des textes français.
La qualification ne dépend pas d’un seul critère. Il faut croiser le secteur d’activité, la taille, la nature du service fourni et les éventuels cas particuliers prévus par le texte.
Arbre de décision pratique
- Identifier l’activité réelle. Ne partez pas uniquement du code NAF : décrivez les services effectivement fournis.
- Vérifier le secteur. NIS2 couvre des secteurs listés par la directive et distingue les catégories d’entités.
- Examiner les seuils de taille. Dans le cas général, les critères d’effectif et financiers participent à la qualification.
- Rechercher les cas particuliers. Certains types d’entités peuvent être concernés indépendamment du raisonnement général.
- Documenter la conclusion. Conservez les hypothèses, chiffres, périmètres juridiques et sources utilisées.
Si l’organisation semble concernée
Gouvernance
Clarifier les responsabilités de la direction, du RSSI, de la DSI, des métiers et des prestataires.
État des lieux
Risques, incidents, continuité, chaîne d’approvisionnement, accès, actifs, cryptographie, formation et preuves disponibles.
Erreur fréquente
Attendre la fin de la transposition pour commencer toute préparation. Le bon réflexe est de distinguer ce qui est déjà certain au niveau européen, ce qui relève de la préparation recommandée par l’ANSSI et ce qui dépendra des textes français définitifs.
No Comments