NIS2 : analyser le périmètre de votre entreprise

Partir de la personne morale et des activités réelles

L’analyse du périmètre ne commence pas par l’achat d’une solution de sécurité. Elle commence par l’identification de l’entité et des activités qu’elle exerce. L’article 2 de la directive définit son champ d’application et renvoie notamment aux annexes sectorielles. La dénomination commerciale ou le code d’activité constituent des indices, mais ne décrivent pas nécessairement tous les services fournis. Il faut examiner les contrats, les offres et les activités réellement exercées.

L’ANSSI rappelle que l’entité reste responsable de sa propre analyse et que sa FAQ ne constitue pas une décision juridique. Le simulateur officiel peut orienter la préparation. Notre outil prépare les questions à examiner et ne délivre aucun classement. En cas de situation complexe, faites relire le dossier par un interlocuteur juridique compétent avant de conclure à une exclusion ou à un statut.

Examiner les critères dans le bon ordre

Dressez la liste des activités et recherchez leur correspondance éventuelle dans les annexes I et II. Étudiez ensuite les critères de taille pertinents et les règles particulières. Certains types d’entités peuvent entrer dans le champ indépendamment de leur taille. Une réponse « moins de cinquante salariés » ne suffit donc pas à exclure NIS2. Le détail des exceptions doit être lu dans le texte, pour l’activité considérée.

La taille repose sur les règles de la recommandation 2003/361/CE auxquelles renvoie la directive. Les liens entre entreprises peuvent modifier les données à retenir. Une filiale ne se traite pas automatiquement comme une entreprise autonome. Préparez l’actionnariat, les droits de contrôle et les informations financières nécessaires. Faites valider le calcul par les fonctions financières et juridiques, en conservant les hypothèses utilisées.

Identifier les juridictions et les cas particuliers

Recensez les établissements, les États où les services sont fournis et les catégories de services. Les règles de compétence peuvent différer selon les activités, notamment pour certains services numériques transfrontières. L’implantation d’un serveur ne règle pas, à elle seule, la juridiction d’une entité. Conservez les informations sur les établissements et sur l’organisation qui prend les décisions relatives aux services.

Une désignation ou un courrier reçu d’une autorité doit être intégré au dossier. Ne l’écartez pas au motif qu’un questionnaire interne donne une autre orientation. Distinguez également les obligations déjà applicables, les dispositions d’un projet et les recommandations destinées à préparer NIS2. Un délai européen de transposition ne permet pas de déduire une échéance française individuelle de mise en conformité.

Pièce du dossier	Question qu’elle aide à résoudre
Identité juridique et établissements	Quelle entité est examinée et dans quels États ?
Description des activités	Quelle catégorie sectorielle est pertinente ?
Effectifs et comptes	Quelles données de taille doivent être retenues ?
Organigramme capitalistique	Quelles entreprises sont liées ou partenaires ?
Correspondance d’autorité	Une désignation ou une qualification existe-t-elle ?

Exemple pédagogique : une activité secondaire

Une entreprise peut avoir une activité principale hors des annexes et fournir également un service numérique à des clients. Dans cet exemple fictif de raisonnement, il faut examiner le service secondaire au lieu de conclure à partir du seul métier dominant. La qualification dépend des définitions juridiques du service et de son exercice réel. L’existence d’un département informatique interne ne transforme pas automatiquement l’entreprise en fournisseur de services gérés.

Le dossier doit présenter les éléments qui soutiennent la qualification retenue : description du service, bénéficiaires, contrat et modalités opérationnelles. S’il manque une information déterminante, la conclusion reste ouverte. Le travail utile consiste à nommer cette information et à désigner la personne qui pourra la fournir. Une réserve explicite vaut mieux qu’un classement définitif fondé sur un libellé approximatif.

Maintenir une analyse révisable

L’analyse doit pouvoir être réexaminée lors d’un changement d’activité, d’une acquisition ou d’une évolution du cadre national. Conservez la date, les sources et les personnes ayant validé les hypothèses. Un changement de prestataire peut aussi révéler qu’un service externalisé est compris différemment de ce qui avait été retenu. La revue du périmètre doit être liée à la gouvernance et aux changements majeurs de l’organisation.

Même en cas de non-assujettissement direct, l’entreprise peut recevoir des exigences de sécurité de ses clients. Ces demandes relèvent alors d’une analyse contractuelle distincte. N’annoncez pas à un client une absence générale d’obligation sans avoir examiné ses clauses. Le guide sur les fournisseurs explique comment répondre sans confondre contrat commercial et classement réglementaire de l’entité.

Cahier de mission et critères de réception

La mission attendue doit aboutir à une note de périmètre, pas à une capture d’écran de simulateur. Demandez au prestataire la liste des activités examinées, les textes retenus, les données de taille, les exceptions analysées et les questions non résolues. Pour une organisation internationale, l’offre précise si l’analyse couvre un seul pays ou plusieurs droits nationaux. Une conclusion française ne vaut pas automatiquement pour une filiale établie ailleurs.

Préparez les entretiens avec la direction financière, le juridique et les responsables des offres. Les documents fournis doivent permettre de distinguer une activité effectivement exercée d’un projet commercial. La confidentialité est importante : fournissez les informations détaillées dans un canal prévu avec l’intervenant. Le formulaire initial peut se limiter au secteur, aux pays et à la structure générale du groupe.

Pour réceptionner le dossier, vérifiez qu’un tiers compétent peut comprendre le raisonnement. Les sources doivent être datées et les hypothèses explicites. Toute exclusion doit être motivée. Les points qui nécessitent une réponse de l’autorité ou une pièce supplémentaire doivent figurer dans une liste d’actions, avec responsable. Distinguez enfin la validation juridique du périmètre et le programme de sécurité : ces livrables mobilisent des compétences différentes et ne se remplacent pas.

Sources et portée réglementaire

Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.

Poursuivre le cadrage

Questions sur ce dossier

Le code d’activité suffit-il à déterminer le périmètre ?

Non. Il faut examiner les activités réellement exercées et leur correspondance avec les catégories de la directive. Le code peut orienter une recherche, mais ne remplace pas la description des services et l’analyse juridique.

Une petite entreprise est-elle toujours exclue ?

Non. Certaines catégories et situations particulières ne dépendent pas de la règle générale de taille. Examinez les exceptions et les éventuelles désignations avant de retenir une exclusion.

Quel document conserver après l’analyse ?

Une note datée indiquant l’entité, les activités, les données de taille et de groupe, les sources utilisées et les réserves. Cette note permet de réexaminer le raisonnement lors d’un changement.