Les 18 secteurs de NIS2 : annexe I (hautement critiques) et annexe II (critiques), sous-secteurs et types d'entités
NIS2 vise 18 secteurs : 11 secteurs hautement critiques à l'annexe I (énergie, transports, banque, marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, services TIC, administration publique, espace) et 7 autres secteurs critiques à l'annexe II (postal, déchets, chimie, alimentaire, fabrication, fournisseurs numériques, recherche). Chaque secteur se décline en types d'entités précis. Le test NIS2 applique cette liste.
Annexe I : les secteurs hautement critiques
| Secteur | Sous-secteurs et types d'entités |
|---|---|
| Énergie | Électricité (entreprises de fourniture, gestionnaires de réseaux de distribution et de transport, producteurs, opérateurs du marché, agrégateurs et stockage, exploitants de points de recharge) ; réseaux de chaleur et de froid ; pétrole (oléoducs, production, raffinage, stockage, entités centrales de stockage) ; gaz (fourniture, distribution, transport, stockage, GNL, raffinage) ; hydrogène (production, stockage, transport) |
| Transports | Aérien (transporteurs commerciaux, gestionnaires d'aéroports, contrôle aérien) ; ferroviaire (gestionnaires d'infrastructure, entreprises ferroviaires) ; par eau (transport maritime et fluvial de passagers et de fret, ports, services de trafic maritime) ; routier (autorités de gestion du trafic, systèmes de transport intelligents) |
| Secteur bancaire | Établissements de crédit |
| Infrastructures des marchés financiers | Plates-formes de négociation, contreparties centrales |
| Santé | Prestataires de soins, laboratoires de référence de l'UE, recherche et développement de médicaments, fabrication de produits pharmaceutiques de base, fabrication de dispositifs médicaux critiques en cas d'urgence |
| Eau potable | Fournisseurs et distributeurs d'eau destinée à la consommation humaine (activité principale) |
| Eaux usées | Collecte, évacuation, traitement des eaux usées (activité principale) |
| Infrastructure numérique | Points d'échange internet, fournisseurs DNS, registres de noms de domaine de premier niveau, informatique en nuage, centres de données, réseaux de diffusion de contenu, prestataires de services de confiance, réseaux et services de communications électroniques publics |
| Gestion des services TIC (interentreprises) | Fournisseurs de services gérés, fournisseurs de services de sécurité gérés |
| Administration publique | Administrations centrales et régionales (définies par le droit national) |
| Espace | Exploitants d'infrastructures terrestres soutenant des services spatiaux |
Annexe II : les autres secteurs critiques
| Secteur | Types d'entités |
|---|---|
| Services postaux et d'expédition | Prestataires de services postaux, y compris d'expédition |
| Gestion des déchets | Entreprises dont la gestion des déchets est l'activité principale |
| Produits chimiques | Fabrication de substances, distribution de substances ou mélanges, production d'articles à partir de substances (règlement REACH) |
| Denrées alimentaires | Entreprises du secteur alimentaire exerçant la distribution en gros, la production et la transformation industrielles |
| Fabrication | Dispositifs médicaux et de diagnostic in vitro ; produits informatiques, électroniques et optiques ; équipements électriques ; machines et équipements ; véhicules automobiles, remorques et semi-remorques ; autres matériels de transport (divisions NACE 26 à 30) |
| Fournisseurs numériques | Places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux |
| Recherche | Organismes de recherche |
Comment lire ces listes
Trois précisions évitent les erreurs. D'abord, la directive vise des types d'entités définis par renvoi à d'autres textes européens : un « prestataire de soins de santé » ou un « fournisseur de services gérés » a une définition précise, que la FAQ de l'ANSSI reprend. Ensuite, plusieurs lignes exigent que l'activité soit principale : un supermarché qui distribue de l'eau en bouteille n'est pas un distributeur d'eau potable. Enfin, la liste s'apprécie par entité juridique : un groupe peut avoir une filiale concernée et une autre non.
Secteurs voisins mais non listés
Le commerce de détail, l'hôtellerie-restauration, le bâtiment, les services aux entreprises hors TIC, l'enseignement et la culture ne figurent pas dans les annexes. Ils peuvent néanmoins être touchés indirectement : un client concerné leur imposera des exigences de sécurité de la chaîne d'approvisionnement (article 21). Les sous-traitants informatiques sont le cas le plus fréquent : un prestataire d'infogérance de 60 salariés est lui-même une entité importante (services gérés).
Et les seuils ?
Vérifier son secteur en pratique
Partez de votre code NACE ou APE, puis de la définition juridique du type d'entité citée par l'annexe : la FAQ de l'ANSSI reprend ces définitions et le simulateur de MonEspaceNIS2 les applique. Une entreprise diversifiée examine chacune de ses activités ; si l'une d'elles relève d'une annexe et que la taille est atteinte, l'entité est concernée, même si cette activité n'est pas majoritaire, sauf lorsque l'annexe exige explicitement qu'elle soit principale. En cas de doute persistant, l'ANSSI répond par le contact indiqué sur le portail, et une désignation individuelle reste possible pour les entités de petite taille jugées critiques.
Les secteurs les plus souvent oubliés
Trois lignes surprennent régulièrement : la fabrication (annexe II), qui couvre l'électronique, les équipements électriques, les machines et l'automobile, donc une large part de l'industrie française ; les services gérés et de sécurité gérés (annexe I), qui englobent l'infogérance, l'hébergement administré et les centres d'opérations de sécurité ; et la recherche (annexe II), qui vise les organismes de recherche, publics ou privés.
Appartenir à un secteur ne suffit pas : il faut atteindre la taille de moyenne entreprise, sauf catégories visées quelle que soit la taille. Le guide entité essentielle ou importante détaille les seuils, et le test combine secteur et taille. Pour comprendre le contexte, lisez NIS2, c'est quoi.
Questions fréquentes
Quelle différence entre annexe I et annexe II ?
L'annexe I liste les secteurs hautement critiques ; ses grandes entreprises sont des entités essentielles. L'annexe II liste les autres secteurs critiques ; ses entités, comme les moyennes entreprises de l'annexe I, sont des entités importantes.
Le commerce de détail est-il concerné ?
Non en tant que tel. Mais les places de marché en ligne (annexe II, fournisseurs numériques) et la distribution en gros de denrées alimentaires (annexe II) le sont.
Les collectivités locales sont-elles concernées ?
L'annexe I vise les administrations centrales et régionales ; les États membres peuvent étendre la directive aux administrations locales. La loi française précisera ce point.
Sources officielles
Faits vérifiés le 10 septembre 2026. Voir la méthodologie.