NIS2 élargit le périmètre de la réglementation cybersécurité française à environ 15 000 entités, contre 300 à 500 sous l'ancien régime. La loi Résilience qui transpose cette directive reste en cours d'examen parlementaire mi-2026, mais l'ANSSI a déjà publié son référentiel de conformité — les entreprises concernées se préparent dès maintenant.
Obtenir un devis gratuitNIS2 est la directive européenne 2022/2555, adoptée le 14 décembre 2022 et entrée en vigueur au niveau européen le 16 janvier 2023. NIS2 remplace la première directive NIS de 2016 et élargit considérablement son périmètre : 18 secteurs stratégiques sont désormais couverts, contre une poignée auparavant, et le nombre d'entités concernées explose en conséquence dans chaque État membre.
NIS2 impose deux catégories d'obligations aux entités couvertes : des mesures de gestion des risques cyber (formalisées en France par le référentiel ANSSI) et une obligation de notification des incidents significatifs dans des délais courts. NIS2 prévoit également un régime de sanctions directement inspiré du RGPD, avec des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
La France accuse un retard significatif sur ce dossier : l'échéance européenne de transposition était fixée au 17 octobre 2024, et la loi française — le projet de loi « Résilience », qui transpose simultanément NIS2, la directive REC et le règlement DORA — n'était toujours pas promulguée à la mi-2026. Le texte, adopté par le Sénat en mars 2025, était encore en attente d'examen définitif à l'Assemblée nationale à cette date.
L'ANSSI n'a pas attendu la promulgation pour agir : l'agence a publié le 17 mars 2026 son Référentiel Cyber France (ReCyF), qui traduit les obligations NIS2 en 20 objectifs de sécurité concrets pour les entités essentielles et 15 pour les entités importantes. Ce référentiel n'a pas encore de valeur contraignante, mais il fait déjà office de norme de référence pour les entreprises qui anticipent leur mise en conformité.
Important — calendrier mouvant : les dates précises d'examen parlementaire et de promulgation ont déjà glissé plusieurs fois depuis 2024 et continuent de varier selon les sources à l'heure où cette page est rédigée. Vérifiez l'état d'avancement sur cyber.gouv.fr/nis2 avant toute communication commerciale précise sur une date.
| Catégorie | Seuils | Sanctions max. |
|---|---|---|
| Entité essentielle | ≥250 salariés OU CA >50M€ OU bilan >43M€ | 10M€ ou 2% du CA mondial |
| Entité importante | 50-249 salariés OU CA 10-50M€ OU bilan 10-43M€ | 7M€ ou 1,4% du CA mondial |
| Concernées quelle que soit la taille | Fournisseurs DNS, registres de domaines, prestataires de confiance qualifiés, opérateurs télécoms, entités critiques REC | Selon catégorie EE/EI |
La transposition française étend le périmètre au-delà du strict minimum européen : les collectivités territoriales entrent explicitement dans le champ d'application, avec les régions, départements et communes de plus de 30 000 habitants concernées — une extension que la directive laissait à l'appréciation de chaque État membre.
Les éditeurs de solutions de cybersécurité, cabinets d'audit et intégrateurs SOC/SIEM ont tout intérêt à cibler en priorité les DSI et RSSI d'entités importantes nouvellement assujetties : contrairement aux grands groupes déjà rodés à ces obligations sous NIS1, ces structures de taille intermédiaire découvrent souvent leur périmètre de conformité sans disposer d'une équipe cyber dédiée en interne. Un fichier B2B segmenté par secteur d'activité et taille d'effectif permet d'identifier ces entités avant que leurs concurrents ne les contactent.
Pilotent la mise en conformité technique et arbitrent le choix des prestataires de sécurité — l'interlocuteur central de cette réglementation.
Dans les structures sans DSI dédié, porte directement la responsabilité de la conformité NIS2 et arbitre le budget cyber.
Les prestataires informatiques figurent parmi les cibles naturelles d'un fichier NIS2 : les entreprises de conseil en systèmes et logiciels informatiques et de gestion d'installations informatiques sont elles-mêmes souvent qualifiées d'entités importantes en tant que fournisseurs de services numériques essentiels à leurs clients, au même titre que les sociétés de programmation informatique qui développent des systèmes d'information critiques pour des tiers.
Les opérateurs de télécommunications filaires sont quant à eux concernés sans condition de taille, comme l'ensemble des fournisseurs d'infrastructure réseau et de connectivité numérique désignés par la directive.
Calendrier détaillé, seuils EE/EI, grille de qualification par secteur — au format PDF téléchargeable, pour partage interne ou diffusion à vos équipes commerciales.
Pas encore pleinement : la loi de transposition française reste en cours d'examen parlementaire mi-2026. Le référentiel ANSSI (ReCyF) sert déjà de référence de fait, sans être encore juridiquement contraignant.
L'ANSSI estime le périmètre à environ 15 000 entités, contre 300 à 500 sous l'ancien régime NIS1 — une multiplication par 30 à 50 du nombre d'entreprises assujetties.
Le seuil dépend de l'effectif, du chiffre d'affaires et du secteur d'activité : au-delà de 250 salariés ou 50M€ de CA dans un secteur hautement critique, une entité est généralement qualifiée d'essentielle plutôt qu'importante, avec des obligations de contrôle renforcées.
Oui. Ce fichier cible des professionnels (DSI, RSSI, dirigeants) dans le cadre strict de la prospection B2B. Voir notre page confidentialité.
Précisez vos critères (secteur, taille d'entreprise, fonction) pour un comptage immédiat et un échantillon gratuit.
Demander un devis sur-mesure