En France, NIS2 va concerner entre 15 000 et 18 000 organisations, contre quelques centaines sous NIS1. Mais toutes ne sont pas logées à la même enseigne.
La directive distingue deux catégories : les entités essentielles et les entités importantes, avec des niveaux de supervision, des obligations et des sanctions qui diffèrent sensiblement.
C'est une distinction que beaucoup de DSI et RSSI sous-estiment.
Savoir dans quelle catégorie vous tomberez conditionne directement l'intensité de votre effort de conformité, la nature des contrôles auxquels vous serez soumis, et les sanctions encourues en cas de manquement.
Ce guide répond à une question simple : comment déterminer avec certitude si vous êtes une entité essentielle ou entité importante et ce que ça implique concrètement pour votre organisation.
Nous couvrons les critères de classification, les cas particuliers qui échappent aux règles générales, les différences opérationnelles entre les deux statuts, et la démarche concrète pour s'auto-évaluer et s'enregistrer auprès de l'ANSSI.
Pour une vue d'ensemble sur NIS2, périmètre, obligations, sanctions et feuille de route de conformité, consultez notre guide complet NIS2 en France 2026.
NIS2 ne classe pas les organisations selon leur dangerosité intrinsèque, mais selon deux critères combinés : le secteur d'activité et la taille. De cette combinaison résulte un statut entité essentielle (EE) ou entité importante (EI), qui détermine l'intensité de la supervision et le niveau des sanctions applicables.
Les entités essentielles (EE)
Une organisation est considérée comme entité essentielle si elle emploie au moins 250 personnes ou a un chiffre d'affaires annuel supérieur à 50 millions d'euros et un bilan annuel supérieur à 43 millions d'euros Cyber, et qu'elle opère dans l'un des secteurs hautement critiques listés à l'annexe I de la directive : énergie, transport, banque, santé, eau, infrastructures numériques, administration publique, espace.
Certaines organisations sont essentielles par nature, indépendamment de leur taille. C'est le cas des fournisseurs de réseaux de communications électroniques publics, des prestataires de services de confiance qualifiés, des registres de noms de domaine de premier niveau, et des entités désignées comme critiques par l'État pour la sécurité nationale. Pour ces organisations, les seuils de taille ne s'appliquent pas.
Les entités importantes (EI)
Les entités importantes sont celles qui ne sont pas des entités essentielles et qui emploient au moins 50 personnes ou ont un chiffre d'affaires et un bilan annuel supérieur à 10 millions d'euros. Cyber Elles opèrent dans les secteurs hautement critiques (annexe I) ou dans les secteurs critiques (annexe II) : services postaux, gestion des déchets, chimie, alimentation, fabrication industrielle, fournisseurs numériques, recherche.
Un point souvent mal compris : pour les secteurs listés en annexe II, seules les grandes et moyennes entreprises sont considérées comme entités importantes. Les petites entreprises ne sont pas concernées par la directive NIS2.