Pourquoi l’effectif local ne suffit pas
Une PME peut être autonome, partenaire d’autres entreprises ou liée à un groupe. La directive NIS2 renvoie à la recommandation 2003/361/CE pour certaines règles de taille. Les données de la seule filiale peuvent donc être insuffisantes. Commencez par décrire les participations et les droits de contrôle avant de conclure à partir d’un effectif ou d’un chiffre d’affaires local.
La recommandation définit la catégorie des PME à partir de l’effectif et de critères financiers. Le calcul peut nécessiter une agrégation proportionnelle pour les entreprises partenaires et une prise en compte des entreprises liées, selon les règles détaillées. Il ne s’agit pas d’additionner intuitivement les sociétés portant la même marque. Faites établir les données par les fonctions financières et relire la qualification des liens.
Réunir les données utiles
Préparez les comptes de référence, les informations sur les effectifs et l’organigramme capitalistique. Identifiez le statut des données : comptes approuvés, situation intermédiaire ou estimation. La période retenue doit être justifiée. Une évolution récente d’actionnariat peut rendre nécessaire une analyse particulière ; ne conservez pas automatiquement un ancien résultat de simulateur.
Les effectifs sont à traiter selon les définitions de la recommandation, notamment les unités de travail annuelles. Une simple liste de comptes actifs dans l’annuaire ne représente pas cette donnée. Les utilisateurs externes et les salariés ne se confondent pas. La DSI fournit la cartographie des services, tandis que les ressources humaines et la finance produisent les données utiles au calcul de taille.
Lire les critères ensemble
La définition des PME ne repose pas sur un seul seuil isolé. Elle combine l’effectif avec un critère de chiffre d’affaires ou de bilan. La recommandation fixe notamment, pour la catégorie des PME, moins de 250 personnes et un chiffre d’affaires annuel n’excédant pas 50 millions d’euros ou un total de bilan n’excédant pas 43 millions d’euros. Ces maxima ne constituent pas à eux seuls un test complet d’assujettissement NIS2.
Le champ NIS2 dépend aussi des activités et des exceptions. Une taille donnée ne classe pas automatiquement toute entreprise comme EE ou EI. Distinguez la détermination des données, la catégorie de taille et la conclusion de périmètre. Ce découpage permet de corriger une donnée financière sans perdre la trace du raisonnement sectoriel et de ses éventuelles réserves.
| Information | Fonction à associer | Point de vigilance |
|---|---|---|
| Effectifs de référence | Ressources humaines | Définition et période retenues |
| Chiffre d’affaires et bilan | Finance | Comptes et unités cohérentes |
| Participations et contrôle | Juridique | Entreprises partenaires ou liées |
| Activités et services | Direction métier | Catégories de la directive |
| Implantations | Juridique et direction | Juridictions et établissements |
Un exemple de raisonnement, sans verdict
Imaginons une filiale qui se présente comme petite parce que son effectif propre est limité. Elle utilise des services de sa maison mère et appartient à un ensemble contrôlé. Cet exemple est pédagogique et ne représente aucun client. L’analyse doit d’abord déterminer la nature des liens selon la recommandation. Elle étudie ensuite les données à agréger et les activités de la personne morale.
Le résultat ne peut pas être obtenu à partir de la seule phrase « nous sommes moins de cinquante ». Il faut conserver les pièces et les hypothèses. Si une entreprise partenaire n’a pas encore fourni ses données, indiquez ce manque et la manière dont il affecte le calcul. La direction pourra décider de faire compléter le dossier plutôt que d’utiliser une conclusion provisoire comme une exclusion définitive.
Articuler groupe juridique et SI mutualisé
Le calcul de taille répond à une question juridique et économique. Le périmètre de sécurité répond à la manière dont les services fonctionnent. Ces deux cartes peuvent différer. Un groupe peut partager un annuaire, une équipe d’exploitation et une plateforme de sauvegarde, tout en comprenant plusieurs entités juridiques. L’analyse de sécurité doit identifier les dépendances sans effacer les responsabilités propres à chaque entité.
Pour chaque service mutualisé, désignez le propriétaire et les interlocuteurs de chaque filiale. Demandez comment les décisions de sécurité sont prises et comment un incident serait communiqué. Le contrat de prestation doit préciser quelles sociétés seront interrogées et quelles preuves seront accessibles. Une offre pour une seule filiale ne couvre pas implicitement tous les services de la maison mère.
Cahier de mission et critères de réception
Le cahier de mission doit prévoir une note de calcul vérifiable, avec les sources des chiffres, les périodes et les règles d’agrégation retenues. Demandez que les données inconnues soient séparées des hypothèses validées. Aucun chiffre ne doit être créé pour remplir une case. Le livrable précise les sociétés étudiées et celles qui restent hors de la consultation, ainsi que la conséquence de cette exclusion.
Organisez un circuit de validation entre finance et juridique. Une personne compétente doit confirmer la nature des participations et la disponibilité des comptes. Le RSSI ne doit pas recevoir seul la responsabilité de qualifier des liens capitalistiques. Pour les activités internationales, indiquez les documents nécessaires et les pays inclus. Le prestataire précise les limites de son analyse et les compétences mobilisées pour les questions de droit.
À la réception, prenez une ligne d’agrégation et retracez son origine jusqu’au document fourni. Vérifiez l’absence de double comptage et l’identification des entreprises liées ou partenaires. Le rapport doit distinguer les chiffres établis, la conclusion de taille et la conclusion NIS2. Prévoyez les événements qui déclencheront une revue, par exemple une acquisition, une cession ou une nouvelle activité. La revue doit conserver l’ancienne version afin d’expliquer les changements.
Sources et portée réglementaire
- Recommandation 2003/361/CE : définition des PME
- Directive (UE) 2022/2555 : texte européen
- Source institutionnelle du sujet
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.
Poursuivre le cadrage
- Accompagnement NIS2 : du périmètre au plan de préparation
- Notre méthode : sélection des prestataires et traitement de la demande
- Calendrier NIS2 en France : directive, projet et textes applicables
- NIS2 et fournisseurs : répondre aux demandes des grands comptes
Questions sur ce dossier
Le nombre d’utilisateurs informatiques vaut-il effectif juridique ?
Non. L’effectif doit être établi selon les règles pertinentes, avec les fonctions financières et ressources humaines. Un annuaire contient aussi des comptes techniques ou des prestataires.
Doit-on agréger toutes les sociétés portant la même marque ?
La marque ne détermine pas les liens. Il faut qualifier les entreprises autonomes, partenaires et liées selon la recommandation, puis appliquer les règles de calcul correspondantes.
Une donnée manquante autorise-t-elle une exclusion provisoire ?
Une conclusion doit conserver sa réserve. Identifiez la donnée manquante et la personne chargée de la fournir ; ne transformez pas une estimation en preuve de non-assujettissement.