Comment savoir si la directive NIS 2 s'applique à mon entité ?
De manière générale, pour déterminer si l'activité d'une entité relève d'un secteur ou d'un sous-secteur identifié dans l'une des annexes de la directive, il convient de se référer aux définitions auxquelles ces annexes renvoient.
L'entité titulaire de la personnalité morale serait alors susceptible d'être considérée comme entité essentielle ou comme entité importante si l'une de ses activités relève d'un secteur ou sous-secteur identifié dans les annexes de la directive. Elle doit également remplir les autres critères de définition d’une entité essentielle ou importante énoncés par la directive tels que le fait d’excéder les seuils (effectif, chiffre d’affaire ou bilan annuel de l’entreprise) correspondant, selon les cas, aux petites ou au moyennes entreprises au sens de la définition de la PME donnée à l’article 2 de l’annexe de la recommandation européenne 2003/361. Il appartient à l'entité de déterminer si elle entre dans l’une de ces catégories. L'ANSSI met également à disposition MonEspaceNIS2, un espace numérique permettant aux futures entités essentielles et importantes de déterminer si elles relèvent de la règlementation. Ce portail permettra aussi de s’enregistrer en ligne.
Par exemple, l’annexe 1 de la directive mentionne la « gestion des services TIC » et l’article 6 §39 définit un « fournisseur de services gérés » : « une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC ou d’autres réseaux et systèmes d’information, par l’intermédiaire d’une assistance ou d’une administration active, soit dans les locaux des clients, soit à distance ».
En revanche, si vous ne retrouvez pas, à première vue, l’une des activités de votre entité dans ces annexes, alors les consultations sur le périmètre permettront d’obtenir des éléments complémentaires. Ces consultations se font avec les ministères de tutelle mais aussi avec les fédérations professionnelles des secteurs d’activité pour les acteurs économiques. Des consultations sont également effectuées avec les associations et les représentants d’élus pour les collectivités territoriales.
Pour aller plus loin :
Simulateur "mon entité est-elle concernée ?"
Quels sont les seuils financiers et d'effectifs à prendre en compte pour déterminer si mon entité est régulée ?
Application de la directive pour les entités multinationales et disposant de Systèmes d'Information dans plusieurs Etats membres
La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.
L'entité titulaire de la personnalité morale serait alors susceptible d'être considérée comme entité essentielle ou comme entité importante si l'une de ses activités relève d'un secteur ou sous-secteur identifié dans les annexes de la directive. Elle doit également remplir les autres critères de définition d’une entité essentielle ou importante énoncés par la directive tels que le fait d’excéder les seuils (effectif, chiffre d’affaire ou bilan annuel de l’entreprise) correspondant, selon les cas, aux petites ou au moyennes entreprises au sens de la définition de la PME donnée à l’article 2 de l’annexe de la recommandation européenne 2003/361. Il appartient à l'entité de déterminer si elle entre dans l’une de ces catégories. L'ANSSI met également à disposition MonEspaceNIS2, un espace numérique permettant aux futures entités essentielles et importantes de déterminer si elles relèvent de la règlementation. Ce portail permettra aussi de s’enregistrer en ligne.
Par exemple, l’annexe 1 de la directive mentionne la « gestion des services TIC » et l’article 6 §39 définit un « fournisseur de services gérés » : « une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC ou d’autres réseaux et systèmes d’information, par l’intermédiaire d’une assistance ou d’une administration active, soit dans les locaux des clients, soit à distance ».
En revanche, si vous ne retrouvez pas, à première vue, l’une des activités de votre entité dans ces annexes, alors les consultations sur le périmètre permettront d’obtenir des éléments complémentaires. Ces consultations se font avec les ministères de tutelle mais aussi avec les fédérations professionnelles des secteurs d’activité pour les acteurs économiques. Des consultations sont également effectuées avec les associations et les représentants d’élus pour les collectivités territoriales.
Pour aller plus loin :
Simulateur "mon entité est-elle concernée ?"
Quels sont les seuils financiers et d'effectifs à prendre en compte pour déterminer si mon entité est régulée ?
Application de la directive pour les entités multinationales et disposant de Systèmes d'Information dans plusieurs Etats membres
La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.
Mis à jour le : 20/11/2024
Merci !