Réponse directe : une entreprise de 50 salariés peut être concernée par NIS2 si elle opère dans l'un des 18 secteurs réglementés et dépasse le seuil de chiffre d'affaires. Ce double critère — taille et secteur — est la clé pour savoir si vous êtes dans le scope.
Depuis l'ordonnance du 3 octobre 2024, la directive NIS2 est en vigueur en France. Des milliers de PME françaises ignorent encore qu'elles sont concernées. Les contrôles de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) sont attendus dès 2026 — autant comprendre votre situation maintenant.
Les critères NIS2 : taille, secteur et chiffre d'affaires
NIS2 distingue deux catégories d'entités. Chaque catégorie a ses propres seuils et ses propres obligations (et sanctions). Une entité importante est soumise à des contrôles moins intrusifs qu'une entité essentielle, mais elle reste pleinement dans le scope de la directive.
| Catégorie | Effectif minimum | Chiffre d'affaires | Sanction max |
|---|---|---|---|
| Entité importante | ≥ 50 salariés | ≥ 10 M€ / an ou bilan ≥ 10 M€ | 7 M€ ou 1,4% CA mondial |
| Entité essentielle | ≥ 250 salariés | ≥ 50 M€ CA ou bilan ≥ 43 M€ | 10 M€ ou 2% CA mondial |
En pratique, une PME de 50 salariés dans un secteur NIS2 sera classée entité importante si elle dépasse 10 M€ de CA annuel. Elle n'a pas à atteindre le seuil des 250 salariés pour être soumise à la directive — c'est l'erreur la plus fréquente chez les dirigeants.
Le seuil NIS2 effectif est 50 salariés, pas 250. Une entreprise de taille intermédiaire entre 50 et 249 salariés dans un secteur réglementé est une entité importante — pleinement soumise à NIS2.
Le terme « NIS2 entreprise taille moyenne » dans les textes officiels désigne les ETI et grandes entreprises (entités essentielles). Les PME de 50 à 249 salariés constituent la catégorie « entités importantes ».
Les 18 secteurs concernés par NIS2
La directive NIS2 liste précisément les secteurs dans son annexe. Deux annexes distinctes — Annexe I (entités essentielles) et Annexe II (entités importantes) — couvrent au total 18 secteurs. Si votre activité principale correspond à l'un d'entre eux, vous êtes potentiellement dans le scope.
- Énergieélectricité, gaz, pétrole, hydrogène, chauffage urbain
- Transportaérien, ferroviaire, maritime, routier (TRM)
- Banqueétablissements de crédit, services de paiement
- Infrastructures des marchés financiersplateformes de négociation, contreparties centrales
- Santéhôpitaux, cliniques, laboratoires, dispositifs médicaux, pharma
- Eau potabledistribution et traitement des eaux
- Eaux uséescollecte, traitement et rejet des eaux usées
- Infrastructure numériqueIXP, DNS, TLD, cloud, centres de données, CDN
- Gestion des services TICMSP, MSSP, fournisseurs IT (B2B)
- Administration publiqueentités gouvernementales nationales et régionales
- Espaceopérateurs d'infrastructures spatiales terrestres
- Services postaux et de courrierprestataires de services postaux et colis
- Gestion des déchetscollecte, tri, traitement et recyclage
- Produits chimiquesfabrication, transport et distribution de produits chimiques dangereux
- Alimentationproduction, transformation et distribution alimentaire (grande échelle)
- Fabricationdispositifs médicaux, équipements électroniques, machines, véhicules
- Fournisseurs numériquesplaces de marché, moteurs de recherche, réseaux sociaux
- Rechercheorganismes de recherche (sens large, selon l'ANSSI)
Si votre secteur figure dans cette liste et que vous dépassez 50 salariés et 10 M€ de CA, présumez que vous êtes dans le scope. L'ANSSI publiera un registre des entités soumises à NIS2, mais en attendant, la responsabilité de l'auto-évaluation revient à chaque entreprise. En cas de doute, consultez un spécialiste ou votre MSP cybersécurité.
Que faire si vous êtes concerné — 3 étapes concrètes
Vous avez coché les cases (secteur + taille + CA) ? Voici les 3 actions prioritaires. Ne les faites pas dans cet ordre uniquement parce qu'elles sont numérotées — les étapes 1 et 2 peuvent se mener en parallèle.
Identifiez vos systèmes d'information critiques (ceux dont la défaillance impacterait la continuité de votre activité ou celle de vos clients). Listez vos prestataires IT qui ont accès à vos systèmes. C'est la base de votre analyse de risques — obligation centrale de NIS2. Un outil de diagnostic comme DETOXIO peut cartographier votre réseau en quelques minutes et identifier les expositions prioritaires.
NIS2 impose de notifier tout incident significatif à l'ANSSI dans les 24 heures suivant sa détection. Sans monitoring continu, vous ne pouvez pas respecter ce délai. La bonne pratique : un outil qui surveille votre réseau en permanence et génère des alertes automatiques. Un prestataire MSP cybersécurité peut opérer ce service pour vous si vous n'avez pas de ressources internes dédiées.
NIS2 impose que la gouvernance cyber soit portée au niveau de la direction. Désignez un responsable interne, formalisez votre politique de sécurité (même simple), et préparez un plan de continuité. Pour les obligations légales précises et l'enregistrement auprès de l'ANSSI, consultez un conseil juridique spécialisé ou votre MSP cybersécurité référent.
Vous êtes dans le scope NIS2 ? Notre guide MSP NIS2 complet couvre les 10 mesures techniques imposées, la chaîne d'approvisionnement et les étapes d'accompagnement client — avec les marges réelles pour monétiser la conformité de vos clients.
Obligations concrètes, sanctions et comment DETOXIO simplifie la conformité.
Les étapes opérationnelles à déployer chez vos clients PME, avec calendrier.
Questions fréquentes
Votre PME est concernée par NIS2 ?
DETOXIO s'installe en 5 minutes, monitore votre réseau en temps réel et génère les rapports de conformité requis par l'ANSSI. 49 €/mois, hébergé en France.
Demander une démo DETOXIO →