Secteurs au Journal officiel
18
11 hautement critiques, 7 autres. Directive du 14 décembre 2022, L 333 du 27 décembre [1].
À retenir
- Le champ général part des entreprises moyennes, ou au-dessus, dans un type d'entité des annexes. La petite entreprise en sort, sauf cas listés quelle que soit la taille.
- L'article 8 voté au Sénat le 12 mars 2025 retient au moins 250 personnes, ou un chiffre d'affaires au-dessus de 50 millions d'euros et un bilan au-dessus de 43 millions. Ce texte n'est pas une loi.
- 15 000 est une estimation de l'étude d'impact et du Sénat. L'ANSSI écrit « plusieurs milliers » et, dans une FAQ, « environ 600 types ». Aucune liste nominative n'a été ouverte.
- MesServices aligne 18 intitulés, pas toujours ceux du Journal officiel. Une FAQ du 28 octobre 2024 écrit « plus de dix-huit secteurs ».
La directive fixe les secteurs et renvoie à une recommandation de 2003 pour la taille. Le projet de loi, adopté au Sénat et transmis à l'Assemblée, réécrit ces seuils et ajoute des collectivités. L'état du dossier est sur la page NIS2 et transposition française [6].
Moins de 250 personnes, ou un plafond financier
La recommandation 2003/361/CE est datée du 6 mai 2003. Elle est publiée au Journal officiel L 124 le 20 mai 2003. L'annexe, article 2, paragraphe 1, constitue la catégorie des PME des entreprises qui occupent moins de 250 personnes et dont le chiffre d'affaires annuel n'excède pas 50 millions d'euros ou dont le total du bilan annuel n'excède pas 43 millions d'euros [2].
Le « ou » est à l'intérieur de la définition. Une entreprise de moins de 250 personnes reste dans la catégorie si l'un des deux plafonds financiers tient, le chiffre d'affaires ou le bilan. Le paragraphe 2 définit la petite entreprise : moins de 50 personnes, et un chiffre d'affaires annuel ou un total de bilan qui n'excède pas 10 millions d'euros. Le paragraphe 3 pose la microentreprise à moins de 10 personnes, et à 2 millions d'euros de chiffre d'affaires ou de bilan [2].
L'article 4 de la même annexe prend les données du dernier exercice clos. Le chiffre d'affaires est hors TVA et hors autres droits ou taxes indirects. Un dépassement ne fait changer de catégorie que s'il dure deux exercices consécutifs. L'effectif est un nombre d'unités de travail par année. Il compte les salariés, les personnes assimilées, les propriétaires exploitants et les associés actifs. Il laisse de côté les apprentis et la durée des congés de maternité ou parentaux [2].
L'article 6 distingue l'entreprise autonome, dont on ne retient que les comptes, de l'entreprise partenaire ou liée, dont les données s'agrègent, au prorata ou en totalité. L'article 3, paragraphe 4, refuse la qualité de PME si 25 % ou plus du capital ou des droits de vote sont contrôlés par un organisme public. L'article 2 de la directive dit que ce seul paragraphe ne s'applique pas. Le texte lu ne met pas de côté la règle des deux exercices [1].
Moyennes, ou au-dessus des plafonds
L'article 2, paragraphe 1, applique la directive aux entités publiques ou privées d'un type des annexes I ou II qui sont des entreprises moyennes selon l'article 2 de l'annexe de la recommandation, ou qui dépassent les plafonds du paragraphe 1 de cet article, et qui exercent dans l'Union. Le mot « moyenne » n'a pas de paragraphe à lui seul dans la recommandation : le paragraphe 1 couvre micro, petites et moyennes ensemble [1].
L'article 3, paragraphe 1, qualifie d'essentielles les entités de l'annexe I qui dépassent ces plafonds de moyennes entreprises. Les entités des annexes qui ne sont pas essentielles sont importantes. Le paragraphe 3 demandait une liste nationale au plus tard le 17 avril 2025, puis au moins tous les deux ans. Aucune liste française d'entités nommées n'a été ouverte le 27 septembre 2026 [1].
La FAQ de l'ANSSI mise à jour le 4 juin 2025 reprend le renvoi, sans recopier les montants. Elle ajoute une règle de périmètre : les effectifs, le chiffre d'affaires et le bilan se calculent sur l'ensemble des activités de l'entité, pas seulement sur celles des annexes. Elle renvoie aussi au chiffre d'affaires hors TVA. Elle se dit dépourvue de force juridique et désigne la directive publiée comme seule référence [8].
Le 12 mars 2025, Mme Clara Chappaz, ministre déléguée, explique le passage du texte européen au projet : la directive vise les grandes et les moyennes entreprises, et la rédaction française applique ce qu'elle appelle un principe de contraposition. Sa phrase : les entités essentielles « emploient au moins 250 personnes ou dont le chiffre d'affaires excède 50 millions d'euros et dont le bilan annuel excède 43 millions d'euros ». Le rapporteur, M. Patrick Chaize, dit que passer de la forme négative à la forme positive conduit à échanger les « et » et les « ou ». Les amendements qui voulaient l'échange inverse n'ont pas été adoptés [4].
L'article 8, dans le texte mis en discussion ce jour-là, est déjà écrit ainsi : au moins 250 personnes, ou un chiffre d'affaires annuel qui excède 50 millions d'euros et un total de bilan qui excède 43 millions, pour une entreprise d'un secteur hautement critique. L'article 9 vise, hors essentielles, au moins 50 personnes, ou un chiffre d'affaires et un bilan qui excèdent chacun 10 millions d'euros, dans un secteur hautement critique ou critique. L'amendement n° 98, adopté, ajoute « relevant d'un type d'entités ». L'article 8 modifié est adopté. L'amendement n° 99 sur l'article 9 est adopté. Le vote de l'article 9 lui-même n'est pas sur la page de compte rendu ouverte [4].
L'étude d'impact du 15 octobre 2024, elle, écrit une autre liaison : au moins 250 personnes, ou un chiffre d'affaires au-dessus de 50 millions, ou un bilan au-dessus de 43 millions. Pour les importantes, la même page retient au moins 50 personnes ou un bilan au-dessus de 10 millions, sans répéter le chiffre d'affaires dans cette phrase. L'étude décrit le projet déposé. Le compte rendu décrit le texte de commission discuté cinq mois plus tard. Les deux formules sont publiées l'une à côté de l'autre [3].
MesServices, lu le 27 septembre 2026, se rapproche de la séance : essentielles à partir de 250 personnes, ou avec un chiffre d'affaires supérieur à 50 millions d'euros et un bilan supérieur à 43 millions ; importantes si elles ne sont pas essentielles et emploient au moins 50 personnes, ou ont un chiffre d'affaires et un bilan supérieurs à 10 millions. La page ne cite pas la recommandation à cet endroit [7].
Onze secteurs, puis sept
| Secteur | Annexe | Sous-secteurs | Types d'entité |
|---|---|---|---|
| Énergie | I, hautement critique | Électricité, chaleur et froid, pétrole, gaz, hydrogène | Fourniture d'électricité, réseaux, producteurs, marché, stockage, points de recharge, oléoducs, gaz et GNL, hydrogène |
| Transports | I, hautement critique | Aérien, ferroviaire, par eau, routier | Transporteurs aériens, aéroports, contrôle aérien, infrastructure et entreprises ferroviaires, ports, trafic maritime, autorités routières, systèmes de transport intelligents |
| Secteur bancaire | I, hautement critique | Aucun sous-secteur dans le tableau | Établissements de crédit |
| Infrastructures des marchés financiers | I, hautement critique | Aucun sous-secteur dans le tableau | Plates-formes de négociation, contreparties centrales |
| Santé | I, hautement critique | Aucun sous-secteur dans le tableau | Soins, laboratoires de référence, recherche de médicaments, NACE division 21, dispositifs médicaux critiques |
| Eau potable | I, hautement critique | Aucun sous-secteur dans le tableau | Eaux destinées à la consommation humaine, hors distribution accessoire |
| Eaux usées | I, hautement critique | Aucun sous-secteur dans le tableau | Collecte, évacuation ou traitement, hors activité accessoire |
| Infrastructure numérique | I, hautement critique | Aucun sous-secteur dans le tableau | Points d'échange, DNS, registres, nuage, centres de données, diffusion de contenu, confiance, communications électroniques |
| Gestion des services TIC (interentreprises) | I, hautement critique | Aucun sous-secteur dans le tableau | Services gérés, services de sécurité gérés |
| Administration publique | I, hautement critique | Aucun sous-secteur dans le tableau | Pouvoirs publics centraux, administration au niveau régional |
| Espace | I, hautement critique | Aucun sous-secteur dans le tableau | Infrastructures terrestres de services spatiaux |
| Services postaux et d'expédition | II, autre secteur critique | Aucun sous-secteur dans le tableau | Services postaux, y compris l'expédition |
| Gestion des déchets | II, autre secteur critique | Aucun sous-secteur dans le tableau | Gestion des déchets lorsque c'est l'activité principale |
| Fabrication, production et distribution de produits chimiques | II, autre secteur critique | Aucun sous-secteur dans le tableau | Substances, mélanges, articles fabriqués à partir de substances ou de mélanges |
| Production, transformation et distribution des denrées alimentaires | II, autre secteur critique | Aucun sous-secteur dans le tableau | Distribution en gros, production et transformation industrielles |
| Fabrication | II, autre secteur critique | Dispositifs médicaux, divisions NACE 26, 27, 28, 29 et 30 | Dispositifs médicaux et de diagnostic in vitro, produits informatiques, équipements électriques, machines, véhicules, autres matériels de transport |
| Fournisseurs numériques | II, autre secteur critique | Aucun sous-secteur dans le tableau | Places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux |
| Recherche | II, autre secteur critique | Aucun sous-secteur dans le tableau | Organismes de recherche |
Télécharger ce tableau au format CSV. Directive (UE) 2022/2555, annexes I et II, Journal officiel L 333 du 27 décembre 2022, PDF consulté le 27 septembre 2026.
Le tableau suit les intitulés du PDF, pas ceux du site de l'Agence. MesServices écrit « Énergies », « Eaux potables », « Eaux non potables », « Infrastructures numériques », « Industries manufacturières » et « Transport » au singulier. Le décompte affiché reste 18 : onze lignes hautement critiques, sept autres. La FAQ mise à jour le 28 octobre 2024 écrit, elle, « plus de dix-huit secteurs ». Aucune des trois pages n'explique l'écart de formulation [7] [9].
Plusieurs types sont bornés. L'eau potable écarte une distribution accessoire. Les déchets écartent l'activité qui n'est pas principale. L'annexe II écarte les dispositifs médicaux déjà visés à l'annexe I comme critiques en cas d'urgence sanitaire. Les divisions NACE citées sont la 21, puis les 26 à 30. Les définitions renvoyées, électricité, gaz, crédit, ports, n'ont pas été rouvertes [1].
L'article 6, point 39, définit le fournisseur de services gérés : installation, gestion, exploitation ou entretien, par une assistance active, sur place ou à distance. Le point 41 définit l'organisme de recherche par une exploitation commerciale des résultats, et il exclut les établissements d'enseignement. La FAQ du 20 novembre 2024 recopie le point 39 et écrit qu'il appartient à l'entité de dire si elle entre dans une catégorie [10].
Des entités visées même en dessous des seuils
L'article 2, paragraphe 2, ajoute des cas quelle que soit la taille. Les services concernés sont les réseaux de communications électroniques publics et les services accessibles au public, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS. S'y ajoutent le prestataire unique d'un service essentiel, l'impact important sur la sécurité, la sûreté ou la santé publiques, le risque systémique, l'importance nationale ou régionale, l'administration centrale, et l'administration régionale après une évaluation des risques [1].
Le paragraphe 3 vise les entités critiques de la directive (UE) 2022/2557, sans seuil de taille. Le paragraphe 4 vise l'enregistrement de noms de domaine, sans seuil non plus. Le paragraphe 5 laisse chaque État décider d'inclure l'administration locale et les établissements d'enseignement, surtout s'ils mènent des activités de recherche critiques. Le paragraphe 7 écarte les entités de l'administration publique dans la sécurité nationale, la sécurité publique, la défense et l'application de la loi [1].
L'article 3 précise qui, parmi ces cas, est essentiel sans passer par le plafond des moyennes entreprises : prestataires de services de confiance qualifiés, registres de premier niveau, fournisseurs de services DNS, administration centrale, entités critiques, et, si l'État le décide, opérateurs de services essentiels identifiés avant le 16 janvier 2023. Les fournisseurs de communications électroniques qui sont des moyennes entreprises sont aussi essentiels. La FAQ du 4 juin 2025 répète une partie de cette liste et ajoute que le périmètre des collectivités « sera défini à la promulgation » [8].
L'article 2, paragraphe 10, sort du champ les entités qu'un État a exclues du règlement (UE) 2022/2554, selon l'article 2, paragraphe 4, de ce règlement. Le règlement n'a pas été rouvert. Le sort des prestataires informatiques des banques et des assureurs est traité sur la page du règlement DORA [1].
15 000, plusieurs milliers, environ 600 types
L'étude d'impact du 15 octobre 2024 écrit une augmentation « de 500 à 15 000 entités environ », et « de 6 à 18 secteurs ». Plus loin, elle écrit « près de 15 000 » et « environ 15 000 ». Aucun tableau ne ventile ce total par secteur, par taille ou par département. Le 6 désigne, dans une autre section, les six secteurs que la directive de 2016 jugeait prioritaires. La France y avait ajouté six autres : assurance, restauration, traitement des eaux, éducation, emploi et formation, organismes sociaux. Ce second six n'est pas l'annexe II [3].
La page « La loi en clair », lue le 27 septembre 2026, écrit « quelque 15 000 » entités essentielles ou importantes, après « environ 500 » infrastructures critiques sous la directive précédente, et « près de 1 500 » collectivités, groupements et organismes sous tutelle. La synthèse du rapport n° 393 reprend 15 000 et environ 500, puis détaille le 1 500 : toutes les régions et tous les départements, près de 1 000 communautés de communes et près de 300 communes de plus de 30 000 habitants. Le PDF écrit aussi « 18 secteur », sans s. Les trois documents sont du Sénat ou du projet. Ils ne sont pas un comptage de l'ANSSI [5] [6].
MesServices écrit « Plusieurs milliers d'entités réparties sur 18 secteurs d'activité ». La FAQ du 28 octobre 2024 écrit « des milliers d'entités » et « Environ 600 types d'entités différentes », « des administrations de toutes tailles et des entreprises allant des PME aux groupes du CAC40 ». Elle ne publie pas la liste de ces 600 types. Le nombre 15 000 n'apparaît pas sur ces deux pages de l'Agence [9].
L'étude dit aussi que les entités ne seront pas désignées une par une, à la différence de la directive précédente : chacune analyse les critères, puis s'enregistre si elle est concernée. MesServices écrit qu'une entité qui a estimé entrer dans le périmètre « doit s'enregistrer » auprès de l'ANSSI, et ouvre en même temps un pré-enregistrement. Le caractère volontaire de ce pré-enregistrement, et le fait que la loi n'est pas promulguée, sont développés sur la page de la transposition [3] [7].
Communes, agglomérations, 30 000 habitants
L'article 8, avant les amendements du 12 mars 2025, range parmi les essentielles les régions, les départements et les communes d'une population supérieure à 30 000 habitants, ainsi que leurs établissements publics administratifs dont l'activité est dans un secteur listé. Les syndicats visés le sont si leur population dépasse le même seuil. Les communautés urbaines, les communautés d'agglomération et les métropoles y figurent sans ce seuil dans le texte initial de l'alinéa [4].
Trois amendements identiques sont adoptés. Ils insèrent, après « communautés d'agglomération », « comprenant au moins une commune d'une population supérieure à 30 000 habitants ». M. Pierre Ouzoulias dit que 120 communautés d'agglomération sortiraient ainsi du dispositif des essentielles, et que 110 y resteraient. L'article 8 modifié est ensuite adopté [4].
L'article 9, dans le texte mis en discussion, place les communautés de communes du côté des importantes, si leur activité s'inscrit dans un secteur hautement critique ou critique. L'amendement n° 115, présenté par la commission, voudrait y ajouter les communautés d'agglomération qui n'ont pas au moins une commune de plus de 30 000 habitants. Le rapporteur parle de 120 communautés. La page ouverte s'interrompt avant le vote de cet amendement. La synthèse du rapport écrit que la séance des 11 et 12 mars a fait passer ces communautés d'agglomération vers les importantes. Le compte rendu lu confirme le vote sur l'article 8, pas celui de l'amendement n° 115 [4] [5].
La ministre attribue à l'ANSSI, dans la même discussion, une attaque sur quatre contre les collectivités et un parcours déjà suivi par 60 % des 229 communautés d'agglomération. Ces deux nombres sont ceux du compte rendu. Aucune page de l'Agence ouverte le 27 septembre 2026 ne les reprend [4].
L'étude du 15 octobre 2024 plaçait déjà les communes de plus de 30 000 habitants parmi les essentielles, et les communautés de communes parmi les importantes. Elle ne contient pas l'amendement du 12 mars. La FAQ du 4 juin 2025 écrit que le périmètre des collectivités sera défini à la promulgation. Ni les prix d'un consultant en cybersécurité, ni le contenu d'un audit du système d'information n'y figurent [3] [8].
Ce que les pages ouvertes ne donnent pas
Aucune page ouverte ne nomme les entreprises françaises qui seraient essentielles ou importantes. L'échéance du 17 avril 2025 est celle de la directive. Elle ne tient pas lieu de liste. La FAQ du 28 octobre 2024 annonce environ 600 types sans les énumérer. On ne reconstitue pas ce total à partir des lignes des annexes [9].
Le fascicule du texte adopté par le Sénat n'a pas été ouvert : le compte rendu et la synthèse tiennent lieu des votes qu'ils impriment. Le texte de l'Assemblée n'a pas été rouvert. Les pourcentages d'attaques en tête de la synthèse ne sont pas rattachés à une étude nommée. Ils ne sont pas repris [5].
Questions fréquentes
NIS2 qui est concerné ?
La directive vise les entités d'un type des annexes I ou II qui sont des entreprises moyennes au sens de la recommandation 2003/361/CE, ou qui dépassent ces plafonds, et qui exercent dans l'Union. Des cas s'ajoutent quelle que soit la taille : communications électroniques, services de confiance, DNS, enregistrement de noms. Au 27 septembre 2026, le projet adopté au Sénat le 12 mars 2025 n'est pas promulgué.
NIS2 PME : une entreprise de moins de 50 salariés est-elle concernée ?
La recommandation définit la petite entreprise comme occupant moins de 50 personnes, avec un chiffre d'affaires ou un bilan n'excédant pas 10 millions d'euros. L'article 2 de la directive vise les entreprises moyennes ou celles qui dépassent les plafonds des moyennes. Une petite entreprise sort donc du cas général. Elle peut rester visée si un cas « quelle que soit la taille » s'applique, par exemple un service de confiance, un DNS, ou une désignation pour criticité.
Combien d'entreprises sont concernées par NIS2 en France ?
L'étude d'impact du 15 octobre 2024 écrit 15 000 entités environ, après 500. La page « La loi en clair » écrit quelque 15 000 entités essentielles ou importantes, et environ 500 infrastructures critiques. L'ANSSI, sur MesServices, écrit plusieurs milliers d'entités sur 18 secteurs. Une FAQ du 28 octobre 2024 écrit des milliers d'entités et environ 600 types. Aucune de ces pages n'est une liste nominative.
Quels secteurs la directive NIS2 vise-t-elle ?
L'annexe I compte 11 secteurs hautement critiques : énergie, transports, banque, marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace. L'annexe II en compte 7 : postes, déchets, chimie, alimentation, fabrication, fournisseurs numériques, recherche. MesServices en compte aussi 18, avec d'autres intitulés. Une FAQ du 28 octobre 2024 écrit plus de dix-huit secteurs.
Une commune de moins de 30 000 habitants est-elle une entité essentielle ?
Dans le texte de l'article 8 mis aux voix le 12 mars 2025, les communes d'une population supérieure à 30 000 habitants figurent parmi les entités essentielles, avec les régions et les départements. Le seuil ne vise pas les communes en dessous. Les communautés de communes sont, dans l'article 9 de la même séance, du côté des entités importantes si leur activité est dans un secteur listé. Ce texte est un projet adopté au Sénat, pas une loi.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022, Journal officiel L 333 du 27 décembre 2022, PDF du texte publié, eur-lex.europa.eu, consulté le 27 septembre 2026.
- Recommandation 2003/361/CE de la Commission du 6 mai 2003, Journal officiel L 124 du 20 mai 2003, europe-en-france.gouv.fr, consulté le 27 septembre 2026.
- Sénat, étude d'impact du projet de loi n° 33, déposée le 15 octobre 2024, senat.fr, consulté le 27 septembre 2026.
- Sénat, compte rendu de la séance du 12 mars 2025, articles 8 et 9, senat.fr, consulté le 27 septembre 2026.
- Sénat, synthèse du rapport n° 393 (2024-2025), commission spéciale, senat.fr, consulté le 27 septembre 2026.
- Sénat, « La loi en clair », projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, senat.fr, consulté le 27 septembre 2026.
- ANSSI, page « Directive NIS 2 » sur MesServicesCyber (date de mise à jour non affichée dans l'extrait lu), messervices.cyber.gouv.fr, consulté le 27 septembre 2026.
- ANSSI, FAQ « Quels sont les seuils financiers et d'effectifs », mise à jour le 4 juin 2025, aide.monespacenis2.cyber.gouv.fr, consulté le 27 septembre 2026.
- ANSSI, FAQ « Concrètement qui sera concerné », mise à jour le 28 octobre 2024, aide.monespacenis2.cyber.gouv.fr, consulté le 27 septembre 2026.
- ANSSI, FAQ « Comment savoir si la directive NIS 2 s'applique à mon entité », mise à jour le 20 novembre 2024, aide.monespacenis2.cyber.gouv.fr, consulté le 27 septembre 2026.