Suis-je concerné par NIS2 ? Le test en 5 questions pour savoir si votre PME ou ETI est concernée
NIS2 concerne déjà environ 15 000 entités françaises, PME et ETI comprises, pas seulement les grands groupes. Pour savoir si vous êtes concerné, cinq critères suffisent à se faire une première idée : votre taille, votre secteur d'activité, le nombre de vos sites, vos relations avec des clients déjà soumis à NIS2, et la présence ou non d'un RSSI dans votre organisation.
Faites le test ci-dessous : si vous cochez deux critères ou plus, il y a de fortes chances que NIS2 vous concerne, directement ou par effet de cascade.
Le test en 5 questions
Cochez ce qui s'applique à votre structure :
☐ Vous employez 50 salariés ou plus, ou vous dépassez 10 M€ de chiffre d'affaires.
☐ Vous êtes dans un secteur listé par NIS2 (industrie, agroalimentaire, énergie, santé, déchets, chimie, numérique, transport...).
☐ Vous gérez plusieurs sites ou implantations.
☐ Un de vos clients ou donneurs d'ordres est probablement soumis à NIS2.
☐ Vous n'avez pas aujourd'hui de RSSI, ni interne ni externalisé.
Deux cases cochées ou plus ? Il y a de fortes chances que NIS2 vous concerne. Les sections suivantes détaillent chacun de ces cinq critères, pour comprendre précisément pourquoi il compte.
Votre taille : le seuil de 50 salariés ou 10 M€ de chiffre d'affaires
NIS2 distingue deux catégories d'entités, principalement selon la taille et le secteur. Une entité importante compte entre 50 et 249 salariés, ou réalise entre 10 et 50 millions d'euros de chiffre d'affaires (ou de bilan annuel). Une entité essentielle dépasse 250 salariés, ou 50 millions d'euros de chiffre d'affaires ou de bilan, mais uniquement dans les secteurs les plus critiques de l'annexe I : une grande entreprise de l'annexe II reste en principe une entité importante, pas essentielle, sauf désignation individuelle par l'État.
Quelques catégories d'entités (opérateurs de télécommunications, administrations publiques, prestataires de confiance qualifiés, registres de noms de domaine...) sont essentielles quelle que soit leur taille. En dessous de 50 salariés et 10 millions d'euros de chiffre d'affaires, vous êtes hors du périmètre principal de NIS2, sauf effet de cascade (voir le critère 4 ci-dessous) ou désignation individuelle.
Votre secteur d'activité : la liste des secteurs concernés par NIS2
NIS2 couvre 18 secteurs répartis en deux annexes.
L'annexe I regroupe les 11 secteurs les plus critiques : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC entre entreprises, administration publique, espace.
L'annexe II regroupe 7 autres secteurs critiques : services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires (y compris la distribution en gros), certaines activités de fabrication industrielle (dispositifs médicaux, électronique, équipements électriques, machines, véhicules), fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux) et recherche.
Si votre activité principale correspond à l'un de ces secteurs et que vous dépassez les seuils de taille du critère précédent, vous êtes concerné.
Vous gérez plusieurs sites : est-ce que ça change la réponse ?
Le nombre de sites ne détermine pas à lui seul si vous êtes soumis à NIS2 : ce sont la taille et le secteur qui tranchent. En revanche, si vous êtes concerné et multi-site, la mise en conformité elle-même change de nature.
Une organisation peut être qualifiée entité essentielle ou importante au niveau du groupe alors qu'un seul de ses sites a pris du retard sur la sécurité, et c'est ce site-là qui expose tout le monde. Notre équipe a harmonisé l'infrastructure réseau de 55 sites et 140 points d'accès pour le groupe Kertrucks, en Bretagne et en Mayenne : un projet réseau, qui applique la même méthode d'uniformisation en vue de la mise en conformité NIS2, site par site.
Vos clients vous demandent des garanties de sécurité : le signe d'un effet de cascade NIS2
Les entreprises soumises à NIS2 doivent sécuriser leur chaîne d'approvisionnement, ce qui peut se traduire par de nouvelles exigences de sécurité dans leurs contrats fournisseurs. Si un client ou un donneur d'ordres vous demande de prouver votre niveau de sécurité, sans que vous sachiez précisément quoi répondre, c'est souvent le signe que ce client est lui-même soumis à NIS2 et qu'il répercute une partie de son obligation sur vous, même si vous n'êtes pas directement dans le périmètre réglementaire.
Vous n'avez pas de RSSI : pourquoi ce critère compte autant que les autres
L'absence de RSSI, interne ou externalisé, n'est pas un critère réglementaire de NIS2, mais c'est un facteur d'urgence : plus vous êtes concerné par les quatre critères précédents, plus l'absence de pilotage dédié à la sécurité devient un risque.
Un RSSI interne à temps plein coûte environ 100 000 € par an, hors de portée de la plupart des PME. Un RSSI externalisé à raison de quelques jours par mois représente une alternative nettement plus accessible, avec un niveau d'expertise équivalent. Chez Transports Lahaye, notre RSSI externalisé pilote déjà la sécurité au quotidien.
Deux cases cochées ou plus : que faire maintenant ?
Échangez avec nos équipes cyber pour faire le point sur votre situation. Ce premier échange permet de préciser votre catégorie (entité essentielle ou entité importante), les mesures déjà attendues par l'ANSSI, et un ordre de priorité adapté à votre situation.
Questions fréquentes
Ce test en 5 questions suffit-il pour être sûr d'être concerné par NIS2 ?
Non, c'est un premier repérage. Lorsque le texte NIS2 sera transposée dans la loi française, seule une analyse précise de votre effectif, votre chiffre d'affaires, votre secteur exact et vos relations contractuelles permettra de confirmer votre statut. Vous pouvez échanger dès à présent avec nos experts pour vous situer dans l'importance des entités.
Je n'ai coché aucune case : suis-je définitivement hors du périmètre NIS2 ?
Probablement pas concerné aujourd'hui, mais la situation peut évoluer : un recrutement qui vous fait dépasser 50 salariés, un nouveau client soumis à NIS2, ou une précision apportée par les décrets français encore à venir peuvent changer la réponse. Mieux vaut refaire le test périodiquement que de considérer la question réglée une fois pour toutes.
Dois-je refaire ce test si ma situation change ?
Oui. Un changement de taille, un nouveau secteur d'activité après une diversification, l'ouverture d'un nouveau site, ou un nouveau client lui-même soumis à NIS2 sont autant de raisons de refaire le test.
Vous avez coché deux cases ou plus ? Renseignez-vous directement auprès de nos équipes, sans engagement
Non, c'est un premier repérage. Lorsque le texte NIS2 sera transposée dans la loi française, seule une analyse précise de votre effectif, votre chiffre d'affaires, votre secteur exact et vos relations contractuelles permettra de confirmer votre statut. Vous pouvez échanger dès à présent avec nos experts pour vous situer dans l'importance des entités.
Commentaires