Seuils de taille lus au Journal officiel le 4 octobre 2026
NIS2 pour les petites entreprises : êtes-vous concerné ?
En général pas du fait de la taille. Quelques services sont concernés à toute taille, et les clients concernés vous interrogeront de toute façon sur votre sécurité.
- Réponse courte
- En général non
NIS2 commence à la taille moyenne. Une entreprise de moins de 50 salariés est petite sauf si son chiffre d'affaires et son total de bilan dépassent tous deux 10 M €, et une petite entreprise est hors champ sauf si une règle ci-dessous la vise quelle que soit sa taille.
- Pour qui
- Une entreprise de moins de 50 personnes, comptée avec ses entreprises partenaires et liées, dont le service est d'un type que les annexes de NIS2 énumèrent.
- Que faire
- Vérifiez la liste ci-dessous, consignez la conclusion par écrit avec sa date, et tenez vos dossiers de sécurité prêts pour les questions fournisseurs de vos clients.
Le seuil de taille
| Taille | Définition | NIS2 par la taille |
|---|---|---|
| Micro Hors champ | Moins de 10 salariés, et chiffre d'affaires ou bilan d'au plus 2 M € | Hors champ |
| Petite Hors champ | Moins de 50 salariés, et chiffre d'affaires ou bilan d'au plus 10 M € | Hors champ |
| Moyenne Concernée, si le type est listé | Moins de 250 salariés, et chiffre d'affaires d'au plus 50 M € ou bilan d'au plus 43 M € | Concernée, si le type est listé |
| Grande Concernée, si le type est listé | 250 salariés ou plus, ou chiffre d'affaires supérieur à 50 M € et bilan supérieur à 43 M € | Concernée, si le type est listé |
Article 2 de l'annexe de la recommandation 2003/361/CE, lu le 4 octobre 2026. L'article 2, paragraphe 1, de NIS2 vise les moyennes entreprises et au-delà.
Concerné quelle que soit la taille
Si l'un de ces points est vrai, la taille ne compte pas :
- Nous fournissons un réseau public de communications électroniques ou un service de communications électroniques accessible au public (article 2(2)(a)(i))
- Nous sommes un prestataire de services de confiance au sens du règlement (UE) nº 910/2014 (article 2(2)(a)(ii))
- Nous sommes un registre de noms de domaine de premier niveau ou un fournisseur de services DNS (article 2(2)(a)(iii))
- Nous fournissons des services d'enregistrement de noms de domaine (article 2(4))
- Notre État membre nous a identifiés comme seul fournisseur d'un service essentiel au maintien d'activités sociétales ou économiques critiques (article 2(2)(b))
- Notre État membre nous a identifiés au titre de l'article 2(2)(c) à (e) : une perturbation de notre service aurait un impact important sur la sécurité, la sûreté ou la santé publiques, ou induirait un risque systémique, ou nous sommes critiques pour notre secteur au niveau national ou régional
- Nous sommes identifiés comme entité critique au titre de la directive (UE) 2022/2557 (article 2(3))
Lancer la vérification du champ
Ce qui vous atteint quand même
Les clients qui sont des entités essentielles ou importantes doivent sécuriser leur chaîne d'approvisionnement. L'article 21, paragraphe 2, point d), leur demande :
« la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs »
L'article 21, paragraphe 3, ajoute qu'ils tiennent compte des vulnérabilités et des pratiques de sécurité de chaque fournisseur direct. C'est de là que viennent le questionnaire fournisseur et les clauses contractuelles.
StandardOS tient les politiques, le registre des risques et les preuves à partir desquels on répond à ces questions.
Ceci est la lecture de la directive par StandardOS, article cité. Le droit de votre État membre décide comment elle s'applique à vous.
Questions
- Notre groupe compte-t-il ?
- Oui. La recommandation compte l'entreprise avec ses entreprises partenaires et liées, si bien qu'une petite filiale d'un grand groupe n'est pas petite.
- Nous avons franchi le seuil cette année. Sommes-nous concernés ?
- Pas pour une seule année. Selon l'article 4, paragraphe 2, de la même annexe, le statut ne change que lorsqu'un seuil est dépassé, ou n'est plus atteint, sur deux exercices consécutifs.
- Notre État membre peut-il nous inclure ?
- Oui. Un État membre peut identifier une entité plus petite au titre de l'article 2, paragraphe 2, points b) à e), par exemple comme seul fournisseur d'un service essentiel, et il vous le ferait savoir.
Tenez les dossiers que vos clients demandent
Sans carte pour commencer · résiliable à tout moment dans l'app