Entité essentielle ou entité importante : où se situe votre organisation ?

Avant de parler de catégorie, il faut être dans le champ de la directive. L'article 2 combine trois conditions : exercer une activité ou fournir un service dans l'Union européenne, relever d'un type d'entité listé à l'annexe I ou à l'annexe II, et atteindre au moins la taille d'une moyenne entreprise. Notre article Directive NIS 2 : quels sont les secteurs concernés ? détaille ces critères et propose un outil pour s'auto-évaluer ; nous ne le reprenons pas ici.

La taille s'apprécie avec la recommandation 2003/361/CE de la Commission sur la définition des PME. Selon la FAQ de l'ANSSI, les critères se calculent sur l'ensemble des activités de l'entité, pas seulement sur celles visées par les annexes, et le chiffre d'affaires s'entend hors taxes.

L'article 3 dresse la liste des entités essentielles. On y trouve :

• les entités de l'annexe I qui dépassent les plafonds des moyennes entreprises, c'est-à-dire les grandes entreprises des secteurs hautement critiques ;
• les prestataires de services de confiance qualifiés, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS, quelle que soit leur taille ;
• les fournisseurs de réseaux ou de services de communications électroniques publics qui sont des moyennes entreprises ;
• les entités de l'administration publique centrale ;
• les autres entités que l'État membre désigne comme essentielles, par exemple parce qu'elles sont le seul fournisseur d'un service essentiel dans le pays ou parce que leur perturbation aurait un impact important sur la sécurité ou la santé publiques ;
• les entités désignées comme entités critiques au titre de la directive (UE) 2022/2557 dite REC ;
• si l'État le prévoit, les anciens opérateurs de services essentiels de la première directive NIS.

Les entités importantes sont toutes les autres entités des annexes I et II qui entrent dans le champ : les moyennes entreprises de l'annexe I, les moyennes et grandes entreprises de l'annexe II, et celles que l'État désigne comme importantes.

Les obligations de fond sont identiques : mêmes mesures de gestion des risques (article 21), même notification des incidents (article 23), même implication de la direction (article 20). La différence tient au régime de supervision et aux sanctions.

Les montants d'amende sont des plafonds minimaux : chaque État peut aller au-delà, et il décide aussi si et dans quelle mesure des amendes s'appliquent aux administrations publiques. Les mécanismes de sanction sont expliqués dans Les sanctions de NIS 2.

Le projet de loi « résilience » reprend la logique de la directive. Selon le rapport de la commission spéciale du Sénat, environ 15 000 entités seraient concernées, dont environ 2 000 entreprises privées classées essentielles d'après l'ANSSI. La commission souligne que les entités devront déterminer elles-mêmes leur catégorie.

Pour les collectivités territoriales, que la directive laisse au choix des États, le rapport du Sénat évoquait environ 1 500 collectivités, groupements et organismes rattachés. Selon Maire-info (6 octobre 2026), le texte en discussion classe parmi les entités essentielles les régions, les départements, les communes de plus de 30 000 habitants, les communautés urbaines et d'agglomération, les métropoles, les services départementaux d'incendie et de secours et les centres de gestion, et parmi les entités importantes les communautés de communes ; des amendements déposés à l'Assemblée nationale voudraient limiter ce dernier cas aux communautés de plus de 30 000 habitants. Le même article indique que les collectivités sont exclues des amendes, sans être dispensées des obligations. Rien de cela n'est définitif au 9 octobre 2026 : tout dépend du vote de l'Assemblée, de la commission mixte paritaire éventuelle et des décrets. Les collectivités trouveront aussi une offre dédiée sur notre page secteur public.