NIS 2 : mon entreprise est-elle concernée, et par quoi exactement ?

NIS 2 élargit considérablement le nombre d'entités régulées et introduit un mécanisme de proportionnalité. Elle distingue deux catégories selon le niveau de criticité : les entités essentielles et les entités importantes. Les obligations et le régime de contrôle diffèrent entre les deux, mais les deux catégories sont bien régulées.

Deux critères se combinent. D'abord le secteur d'activité : la directive liste des secteurs hautement critiques et des secteurs critiques dans ses annexes. Ensuite la taille : l'entité doit atteindre au moins le seuil d'une moyenne entreprise au sens de la définition européenne, ou dépasser les plafonds prévus. Les entités essentielles relèvent généralement de secteurs hautement critiques avec plus de 250 salariés en équivalent temps plein.

Une fois que l'entité a évalué qu'elle entre dans le périmètre, elle doit s'enregistrer auprès de l'ANSSI. Cet enregistrement se fait en ligne, sur la plateforme MonEspaceNIS2. C'est une démarche déclarative : c'est à l'entreprise de faire l'analyse, pas à l'administration de venir la chercher.

Depuis le 17 mars 2026, l'ANSSI met à disposition le référentiel cyber français (ReCyF), qui recense les mesures qu'elle recommande pour atteindre les objectifs de sécurité fixés par NIS 2. C'est le document de référence à confronter à votre situation actuelle, plutôt que de partir d'une liste générique trouvée en ligne.

Dans la pratique, les chantiers reviennent souvent aux mêmes : savoir qui a accès à quoi et le tracer, disposer d'une authentification forte, savoir détecter et journaliser un incident, avoir des sauvegardes testées et pas seulement configurées, et pouvoir déclarer un incident dans les délais. Sur un environnement Microsoft, une grande partie de ces briques existe déjà dans les licences en place et n'est simplement pas activée.

Commencez par l'analyse de périmètre, écrite et datée, même si la conclusion est que vous n'êtes pas concerné : c'est ce document qui vous protège si la question revient. Si vous êtes dans le périmètre, faites ensuite un écart entre le référentiel et l'existant. C'est cet écart qui donne le plan de travail, pas un catalogue d'outils.