Votre entreprise relève-t-elle de NIS2, et est-elle essentielle ou importante ?

La directive dresse des types d'entités par secteur ; une entreprise entre dans le champ en étant l'une d'elles, pas en étant le fournisseur de l'une d'elles. Choisissez la ligne qui décrit ce que vous fournissez. Un éditeur qui exploite son produit en tant que service est en général un fournisseur de services d'informatique en nuage ; celui qui exploite les systèmes de ses clients, un fournisseur de services gérés.

Tailles au sens de l'annexe de la recommandation 2003/361/CE, comptées pour l'entreprise avec ses entreprises partenaires et liées. L'article 2(1) de la directive vise les entreprises moyennes et au-delà. Franchir un seuil sur un seul exercice ne change pas le statut : en vertu de l'article 4, paragraphe 2, de la même annexe, il ne change que si les seuils sont dépassés, ou ne sont plus atteints, sur deux exercices consécutifs.

L'article 2(2) à (4) fait entrer certaines entités quelle que soit leur taille. Les quatre premières se décident par ce que vous fournissez ; les deux suivantes supposent un acte de votre État membre, qui vous l'aura notifié ; la dernière est un statut au titre de la directive sur les entités critiques.

L'article 26 donne à chaque entité un État membre. Pour les fournisseurs de services en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés, de services de sécurité gérés, de places de marché, de moteurs de recherche et de réseaux sociaux, c'est l'établissement principal dans l'Union, le lieu où les décisions de cybersécurité sont principalement prises ; un fournisseur non établi dans l'Union désigne un représentant dans un État où il offre ses services (article 26(3)).