NIS2 : entité essentielle ou entité importante ? Seuils, critères et conséquences

Publié le 10 septembre 2026 · Mis à jour le 10 septembre 2026 · L'équipe Test NIS2

La directive NIS2 distingue deux catégories. Une entité essentielle relève d'un secteur hautement critique (annexe I) et dépasse les plafonds des moyennes entreprises (250 salariés ou plus, ou plus de 50 M€ de chiffre d'affaires), ou appartient à une catégorie visée quelle que soit sa taille. Une entité importante relève des annexes I ou II et atteint la taille de moyenne entreprise (50 salariés ou plus, ou plus de 10 M€). Les obligations sont les mêmes ; la supervision et les sanctions diffèrent. Le test NIS2 applique ces règles.

Les seuils de taille, exactement

La directive renvoie à la recommandation 2003/361/CE, qui définit les catégories d'entreprises.

NIS2 s'applique à partir de la moyenne entreprise (article 2 §1). Une entité de l'annexe I qui dépasse les plafonds de la moyenne entreprise est essentielle (article 3 §1 a) ; les autres entités des annexes I et II sont importantes (article 3 §2). Point de vigilance : la recommandation prévoit la prise en compte des entreprises partenaires et liées, ce qui peut faire basculer une filiale de 40 salariés dans la catégorie de son groupe.

L'arbre de décision

1. Votre entité est-elle un fournisseur DNS, un registre de premier niveau, un prestataire de services de confiance qualifié ou une administration centrale ? Oui → essentielle, quelle que soit la taille.
2. Est-elle un fournisseur de réseaux ou services de communications électroniques publics d'au moins taille moyenne ? Oui → essentielle.
3. Relève-t-elle de l'annexe I et dépasse-t-elle les plafonds de la moyenne entreprise ? Oui → essentielle.
4. Relève-t-elle des annexes I ou II et atteint-elle la taille de moyenne entreprise ? Oui → importante.
5. Est-elle une petite entité désignée par l'État (fournisseur unique, impact important, dépendances critiques, article 2 §2) ? Oui → catégorie fixée par la désignation.
6. Sinon → non concernée.

Ce qui change selon la catégorie

Cas concrets

Fournisseur de services d'hébergement en nuage, 40 salariés, 12 M€ de CA. Annexe I, moyenne entreprise (par le CA) → importante.

Même fournisseur avec 300 salariés. Dépasse les plafonds → essentielle.

Registre de noms de domaine de 15 salariés. Visé quelle que soit la taille → essentielle.

Fabricant d'équipements électriques, 200 salariés. Annexe II → importante, même en dépassant les seuils de la grande entreprise (l'annexe II ne produit pas d'entités essentielles par la taille).

Laboratoire d'analyses de 45 salariés, 8 M€. Petite entreprise → non concernée, sauf désignation.

Comment se déclarer

Les entreprises liées et partenaires

La recommandation 2003/361/CE ne compte pas seulement les salariés de l'entité juridique : elle ajoute, en totalité, les effectifs et chiffres d'affaires des entreprises liées (contrôle majoritaire) et, au prorata, ceux des entreprises partenaires (participation de 25 % à 50 %). Une filiale de 30 salariés détenue par un groupe de 2 000 salariés est donc, au sens de la recommandation, une grande entreprise. La directive prévoit toutefois que les États membres peuvent tenir compte du degré d'indépendance réel d'une entité vis-à-vis de ses entreprises liées lorsque ses systèmes d'information sont indépendants ; la loi française et la FAQ de l'ANSSI précisent ce point, à vérifier au cas par cas.

Quand la catégorie change

Une entité passe d'importante à essentielle lorsqu'elle franchit les plafonds de la moyenne entreprise dans un secteur de l'annexe I, ou lorsqu'elle entre dans une catégorie visée quelle que soit la taille (par exemple en devenant prestataire de services de confiance qualifié). Elle sort du périmètre si elle descend durablement sous les seuils de la moyenne entreprise, sous réserve d'une désignation par l'État. Les informations d'enregistrement doivent être mises à jour ; une revue annuelle, lors de l'arrêté des comptes, suffit.

Trois erreurs d'appréciation fréquentes

Raisonner en code NAF plutôt qu'en définition juridique de l'annexe : une entreprise dont le code NAF est « conseil » mais qui exploite un service en nuage est un fournisseur de services en nuage. Ignorer le total de bilan, qui peut à lui seul faire franchir un seuil. Croire que l'annexe II ne concerne que les grandes entreprises : dès 50 salariés ou 10 M€, une entreprise de fabrication ou de l'alimentaire est une entité importante.

L'enregistrement se fait sur MonEspaceNIS2, le portail de l'ANSSI, qui propose un simulateur officiel. Le classement retenu conditionne le régime de supervision ; en cas de doute entre les deux catégories, la FAQ de l'ANSSI et le contact monespacenis2 répondent. Les sanctions par catégorie sont détaillées dans les sanctions NIS2 ; la liste des secteurs dans les 18 secteurs.