Vérification du périmètre NIS2 : êtes-vous une entité essentielle ou importante ?

Une décision de périmètre documentée et étape par étape pour NIS2 : mise en correspondance sectorielle, plafond de taille et comptage des groupes, règles indépendantes de la taille, entité essentielle ou importante, juridiction, et où s'enregistrer dans le Bénélux.

Réponse rapide : essayez le vérificateur de périmètre NIS2 gratuit, et découvrez ce que NIS2 signifie pour votre secteur dans l'aperçu de tous les 18 secteurs NIS2.

Ce guide s'adresse à toute personne qui doit répondre à la première question du conseil d'administration sur NIS2 : sommes-nous dans le champ d'application, et si oui, en quelle qualité ? Il transforme les règles de champ d'application de la directive en une séquence de décisions que vous pouvez documenter et justifier. Vous terminerez avec une décision écrite de champ d'application pour chaque entité juridique : dans le champ ou hors du champ, essentielle ou importante, quel pays a compétence, et où s'enregistrer. Si vous êtes hors du champ d'application, vous aurez également une vue de ce que vos clients pourraient encore vous demander.

Avant de commencer

Rassemblez les derniers comptes annuels approuvés pour chaque entité juridique. Vous avez besoin de l'effectif en unités de travail annuelles, du chiffre d'affaires et du total du bilan. Ajoutez l'organigramme du groupe avec les pourcentages de propriété et de droit de vote, ainsi qu'une liste des services que chaque entité fournit et dans quels États membres de l'UE. Demandez au service juridique ou financier de vérifier les chiffres. La décision en dépend, et une autorité de contrôle peut vous demander comment vous les avez calculés.

Étape 1 : Énumérez vos services et mettez-les en correspondance avec les annexes I et II

Le champ d'application de NIS2 commence par le type d'entité, non par sa taille. L'annexe I énumère les secteurs d'importance critique élevée : énergie, transports, services bancaires, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (interentreprises), administration publique et espace. L'annexe II énumère d'autres secteurs critiques : services postaux et de messagerie, gestion des déchets, produits chimiques, alimentation, fabrication (y compris dispositifs médicaux, électronique, équipements électriques, machines et véhicules), fournisseurs numériques tels que places de marché en ligne, moteurs de recherche et réseaux sociaux, et recherche^[1].

• Énumérez chaque service ou activité par entité juridique, non par marque ou unité commerciale.
• Associez-le au type d'entité de l'annexe et enregistrez le secteur et le sous-secteur.
• Notez les cas limites, comme un département informatique interne par rapport aux services gérés vendus à des tiers. Enregistrez la raison de votre décision.

Étape 2 : Vérifiez les règles qui s'appliquent indépendamment de la taille

Certaines entités sont couvertes quelle que soit leur taille. L'article 2, paragraphe 2, couvre les fournisseurs de réseaux ou de services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS. Il couvre également une entité qui est le seul fournisseur dans un État membre d'un service essentiel aux activités critiques, une entité dont la perturbation pourrait affecter considérablement la sécurité publique, la sécurité ou la santé ou créer un risque systémique, une entité critique au niveau national ou régional, et certaines entités de l'administration publique. Les entités identifiées comme critiques en vertu de la directive CER (UE) 2022/2557 et les fournisseurs de services d'enregistrement de noms de domaine sont également couverts indépendamment de leur taille.^[1].

• Vérifiez chaque service mis en correspondance par rapport à ces critères.
• Demandez si l'autorité vous a notifié une identification ou une désignation au titre de la directive CER.
• Si un critère s'applique, allez à l'étape 5 pour classer l'entité. Le test de taille ne décide plus si vous êtes dans le périmètre.

Étape 3 : Appliquez la règle du plafond de taille

Sinon, NIS2 s'applique uniquement aux entités qui se qualifient comme de taille moyenne ou qui dépassent les seuils de taille moyenne en vertu de la recommandation 2003/361/CE^[1]. En pratique, une entité est au moins de taille moyenne si elle compte 50 salariés ou plus, ou si son chiffre d'affaires annuel et son total du bilan dépassent tous deux 10 millions d'euros. Elle est grande si elle compte 250 salariés ou plus, ou si son chiffre d'affaires dépasse 50 millions d'euros et son total du bilan dépasse 43 millions d'euros^[2].

Catégorie	Personnel (UTA)	Et : chiffre d'affaires	Ou : bilan
Petite (hors du périmètre sauf si l'étape 2 s'applique)	< 50	≤ €10m	≤ €10m
Moyenne	< 250	≤ €50m	≤ €43m
Grande (dépasse les plafonds de taille moyenne)	≥ 250	ou : chiffre d'affaires > 50 M€ et bilan > 43 M€

• Utilisez les chiffres des derniers comptes approuvés, avec l'effectif en unités de travail annuelles.
• Montrez votre calcul, pas seulement le résultat.

Étape 4 : Ajoutez les entreprises partenaires et liées

La recommandation ne dimensionne pas une entité juridique isolément. Ajoutez les données des entreprises partenaires proportionnellement à la participation (généralement 25 % à 50 %). Ajoutez les données des entreprises liées en totalité (généralement au-delà de 50 %, ou en cas d'influence dominante)^[2]. NIS2 écarte une disposition de la recommandation, l'article 3, paragraphe 4, de son annexe, qui traite du contrôle par les organismes publics^[1]. Par conséquent, une petite filiale d'un grand groupe est généralement traitée comme grande. Le considérant 16 permet aux États membres de peser le degré d'indépendance d'une entité par rapport à son groupe, notamment dans son réseau et ses systèmes d'information. Vérifiez la position publiée de votre autorité avant de vous y fier.

• Tracez la chaîne de propriété vers le haut et vers le bas, y compris les partenaires des entreprises liées.
• Recalculez la taille avec les données agrégées.
• Documentez tout argument concernant l'indépendance et, si cela s'avère pertinent, consultez l'autorité.

Étape 5 : Classer comme entité essentielle ou importante

Selon l'article 3, les entités essentielles comprennent les entités de l'annexe I qui dépassent les seuils de taille moyenne (c'est-à-dire les grandes entités). Elles comprennent également les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les prestataires de services DNS de toute taille, les prestataires de communications électroniques publiques de taille moyenne ou plus grande, les entités de l'administration centrale, les entités critiques CER, et les entités qu'un État membre désigne. Toute autre entité de l'annexe I ou II relevant du champ d'application est importante^[3]. La classification change la façon dont vous êtes supervisés. Les entités essentielles font l'objet d'une supervision ex ante, tandis que les entités importantes sont principalement supervisées ex post. Elle fixe également les plafonds d'amende : au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.^[1].

• Enregistrez la classification pour chaque entité juridique et le point de l'article sur lequel elle s'appuie.
• Si les entités d'un même groupe ont des classifications différentes, documentez-le explicitement.

Étape 6 : Déterminer la juridiction et l'établissement principal

La règle générale est que l'État membre où une entité est établie a compétence. Les fournisseurs de communications électroniques publics relèvent de chaque État membre où ils fournissent des services. Les fournisseurs de services DNS, les registres de domaines de premier niveau, les fournisseurs de services d'enregistrement de noms de domaine, les fournisseurs d'informatique en nuage, de centres de données et de CDN, les fournisseurs de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche et les réseaux sociaux relèvent de l'État membre de leur établissement principal. C'est là que les décisions concernant les mesures de gestion des risques en matière de cybersécurité sont principalement prises. Si cela ne peut être déterminé, c'est là où les opérations de cybersécurité sont menées, et à défaut, où l'entité compte le plus de salariés dans l'UE. Les fournisseurs non-UE de ces services doivent désigner un représentant dans l'UE^[4].

• Pour chaque entité, notez la règle qui s'applique et le ou les États membres qui en résultent.
• Pour les cas d'établissement principal, documentez où les décisions en matière de cybersécurité sont prises, par exemple dans les procès-verbaux du conseil ou un mandat du RSSI.

Étape 7 : S'enregistrer dans chaque pays pertinent

L'enregistrement demande généralement le nom de l'entité, l'adresse et les coordonnées, les plages d'adresses IP, le secteur et le sous-secteur, ainsi que les États membres où les services relevant du champ d'application sont fournis. Les modifications doivent être notifiées dans un délai de deux semaines^[3]. Les procédures Benelux sont énoncées ci-dessous. Chaque pays propose également un outil de détermination du champ d'application que vous pouvez utiliser pour vérifier votre propre analyse.

• Enregistrez chaque entité juridique relevant du champ d'application dans chaque pays qui a compétence.
• Conservez la confirmation et définissez un rappel pour examiner les données chaque trimestre.

Étape 8 : Planifier l'impact indirect si vous êtes hors du champ d'application

Une entité qui n'est pas dans le champ d'application n'est pas nécessairement non affectée. Les entités relevant du champ d'application doivent traiter la sécurité de la chaîne d'approvisionnement, y compris les pratiques de sécurité de leurs fournisseurs et prestataires de services directs^[1]. Attendez-vous à des questionnaires, des clauses contractuelles et des demandes de preuves. Le CCB de la Belgique, par exemple, recommande que les entités NIS2 demandent à leurs fournisseurs de mettre en œuvre au moins CyFun BASIC^[5]. Voir aussi la gestion des risques liés aux tiers en 2026.

• Énumérez les clients susceptibles d'être dans le champ d'application et ce qu'ils peuvent demander.
• Préparez un pack de sécurité standard couvrant les politiques, une auto-évaluation et des certificats.
• Répétez la vérification du champ d'application chaque année, ou après une fusion, une acquisition ou un nouveau service.

Le modèle d'accompagnement comprend une feuille de calcul de décision de champ d'application pour chaque entité, une calculatrice d'agrégation de taille et un journal de juridiction et d'enregistrement. Dans Secrato, le résultat de votre décision de champ d'application définit quelles obligations NIS2 et quels contrôles CyFun ou ISO sont activés pour chaque entité.

Comment cela se connecte à d'autres référentiels

Les entités financières relevant de DORA appliquent DORA pour la gestion du risque lié aux TIC et la notification des incidents. Votre analyse du périmètre doit néanmoins indiquer que DORA en est la raison. Les entités CER critiques sont automatiquement dans le champ d'application de NIS2. ISO/IEC 27001 ne détermine pas le champ d'application, mais un périmètre de SMSI bien défini facilite beaucoup la démonstration des services couverts par les mesures NIS2. En savoir plus sur NIS2.

Questions fréquemment posées

Nous avons 40 salariés, 12 millions d'euros de chiffre d'affaires et 9 millions d'euros de bilan. Sommes-nous de taille moyenne ?

Sur ces seuls chiffres, non. Avec moins de 50 salariés et un bilan inférieur à 10 millions d'euros, vous restez une petite entreprise. Avant de conclure, ajoutez les données de toute entreprise partenaire ou liée.

Une entreprise informatique interne du groupe est-elle un prestataire de services gérés ?

Cela dépend des faits. Enregistrez les services qu'elle fournit, à qui et sur quelle base contractuelle, et consultez les orientations de votre autorité nationale. Si elle ne dessert que des sociétés du groupe, l'analyse peut différer de celle d'une entreprise qui vend à des tiers.

Pouvons-nous être dans le champ d'application dans plus d'un pays ?

Oui. À l'exception des types numériques qui suivent la règle du siège principal, chaque établissement relève de la loi de l'État membre où il est établi. Les fournisseurs de services de communications électroniques publics relèvent de chaque pays où ils fournissent des services.^[4].

Que se passe-t-il si notre classification change ?

Notifiez l'autorité des modifications apportées à vos données d'enregistrement dans un délai de deux semaines^[3], et mettez à jour votre plan de conformité. Le passage du statut d'entité importante à celui d'entité essentielle entraîne une supervision ex ante et, en Belgique, une évaluation de la conformité obligatoire.