Une question revient régulièrement chez les dirigeants d’ETI qui ont fait l’analyse de leur exposition NIS2 : « Nous avons regardé en 2024, nous étions juste en dessous des seuils, donc nous ne sommes pas concernés ». L’analyse est ponctuellement correcte. Elle est stratégiquement insuffisante.
La directive (UE) 2022/2555 utilise pour qualifier le périmètre des seuils définis par la recommandation européenne 2003/361/CE sur la définition de la PME. Ces seuils ne sont pas absolus : ils s’apprécient à un instant donné, et ils peuvent être franchis par croissance organique ou par opération de croissance externe. Une entreprise hors périmètre en 2024 peut être pleinement dans le périmètre en 2026 sans qu’elle s’en rende compte si elle ne suit pas ses indicateurs.
Les seuils, dans leur formulation correcte
Une organisation est susceptible d’être qualifiée d’Entité Importante NIS2 si elle exerce une activité dans un des secteurs visés par l’Annexe I ou II de la directive, et si elle atteint au moins le seuil de la moyenne entreprise au sens de la recommandation 2003/361/CE. Ce seuil n’est pas un seuil unique mais une combinaison : l’organisation doit employer au moins 50 personnes et soit réaliser un chiffre d’affaires annuel d’au moins 10 millions d’euros, soit présenter un bilan annuel d’au moins 10 millions d’euros.
Cette formulation est subtile et souvent mal interprétée. Le critère n’est pas « 50 salariés ou 10 millions d’euros de chiffre d’affaires », ce qui ferait basculer une PME de 30 salariés à 12 millions d’euros de chiffre d’affaires dans le périmètre. Le critère est « 50 salariés et (10 millions d’euros de chiffre d’affaires ou 10 millions d’euros de bilan) ». Les deux conditions doivent être réunies, pas une seule.
Pour basculer en Entité Essentielle, les seuils sont à la fois plus élevés et formulés différemment. Il faut soit employer au moins 250 personnes, soit réaliser un chiffre d’affaires annuel supérieur à 50 millions d’euros et présenter un bilan supérieur à 43 millions d’euros. La logique entre Entité Importante et Entité Essentielle dépend également du secteur d’activité : certains secteurs hautement critiques (énergie, santé, transports, finance) basculent en Entité Essentielle dès l’atteinte des seuils de grande entreprise, d’autres secteurs critiques (industrie, alimentation, services postaux, gestion des déchets) restent en Entité Importante quel que soit leur taille.
Le piège de la croissance
Une entreprise française qui réalisait 9 millions d’euros de chiffre d’affaires en 2023, avec 45 salariés, ne relevait pas du périmètre NIS2. Si en 2025 elle a réalisé une acquisition la portant à 60 salariés et 12 millions d’euros de chiffre d’affaires, elle bascule potentiellement dans le périmètre, sous réserve que son secteur d’activité figure aux annexes I ou II. La même logique s’applique pour une croissance organique soutenue, ou pour une internationalisation qui élargit le bilan.
L’effet est doublement piégeant. D’une part, le franchissement de seuil peut être progressif et ne pas être identifié comme un évènement structurant par la direction générale, qui considère sa croissance comme une bonne nouvelle commerciale. D’autre part, l’autorité de contrôle (l’ANSSI en France) ne procédera pas à une notification systématique de chaque entreprise franchissant les seuils — c’est à l’entité de s’auto-évaluer et de procéder à son enregistrement le cas échéant.
Le piège du groupe
Une seconde nuance concerne les entreprises filiales d’un groupe. La recommandation européenne 2003/361/CE prévoit que les seuils s’apprécient au niveau de l’entreprise concernée, mais avec consolidation partielle ou totale selon la nature de la relation capitalistique. Une PME française détenue à plus de 25 % par un groupe de 5 000 salariés et 500 millions d’euros de chiffre d’affaires sera très probablement requalifiée en grande entreprise pour les besoins NIS2, même si sa propre taille reste celle d’une moyenne entreprise.
Cette logique conduit à des situations où une filiale de 30 salariés peut se retrouver classée Entité Importante voire Entité Essentielle au titre de son appartenance à un groupe, alors qu’elle aurait été hors périmètre prise isolément. Les directions de filiales françaises de groupes étrangers sont particulièrement exposées à ce piège.
La réévaluation annuelle implicite
Le règlement NIS2 ne prévoit pas explicitement une obligation formelle de réévaluation périodique du statut. Mais la logique du dispositif rend cette réévaluation indispensable. L’enregistrement auprès de l’ANSSI via la plateforme MonEspaceNIS2 doit refléter la situation actuelle de l’entité. Une entreprise qui se serait enregistrée comme Entité Importante en 2025 et qui basculerait dans le périmètre Entité Essentielle en 2027 du fait de sa croissance devrait mettre à jour son enregistrement et basculer dans le régime de supervision ex ante avec audits réguliers ANSSI.
À l’inverse, une entreprise qui se serait enregistrée par excès de prudence en Entité Essentielle et qui aurait perdu en taille pourrait, théoriquement, demander une révision à la baisse de sa classification. Dans la pratique, ce sens du basculement est plus rare et les autorités sont peu enclines à diminuer le périmètre d’une entité une fois enregistrée.
Recommandation opérationnelle
Trois actions simples permettent à une organisation d’éviter de se retrouver en non-conformité par franchissement de seuil non détecté.
Première action : intégrer dans le processus annuel de clôture comptable une vérification explicite du statut NIS2. La direction administrative et financière compile les chiffres consolidés à un moment où l’opération est faite naturellement. Ajouter une ligne « franchissement de seuils NIS2 » au tableau de bord du contrôleur de gestion ne coûte rien et évite l’angle mort.
Deuxième action : intégrer la même vérification dans les processus de due diligence préalables à toute opération de croissance externe. Une acquisition qui fait franchir le seuil à l’entreprise mère ou à la cible bascule potentiellement le groupe entier dans un nouveau périmètre de conformité, avec un coût qui doit être anticipé dans la valorisation et le plan de retour sur investissement.
Troisième action : pour les filiales françaises de groupes étrangers, demander explicitement au groupe une position sur le statut NIS2 de la filiale et sur les obligations qui pourraient en découler. Cette demande, faite par le dirigeant de la filiale en début d’année, force la maison-mère à se positionner et protège juridiquement le dirigeant local en cas de manquement ultérieur.
En conclusion
La logique « nous avons vérifié une fois, nous sommes hors périmètre » est dangereuse en matière NIS2. Le périmètre est dynamique. Il s’apprécie sur des indicateurs de taille qui évoluent avec la performance commerciale et financière de l’entreprise, ainsi qu’avec sa structure capitalistique. Une bonne pratique consiste à intégrer la vérification du statut dans le rythme annuel de l’entreprise, en s’appuyant sur les indicateurs existants plutôt qu’en créant un processus dédié.
Cette vérification annuelle a un autre mérite : elle force le dirigeant et la direction financière à se rappeler que la cybersécurité est désormais une matière qui s’inscrit dans le pilotage stratégique de l’organisation, au même titre que la conformité fiscale ou sociale. C’est probablement la conséquence la plus durable de NIS2.
Sources : directive (UE) 2022/2555 ; recommandation européenne 2003/361/CE relative à la définition des PME ; FAQ MonEspaceNIS2 (ANSSI) ; loi n° 2024-449 du 24 mai 2024 et projet de loi Résilience en cours d’examen.
Commentaires récents