1. Les deux catégories NIS2 en 30 secondes
La directive (UE) 2022/2555 classe les entités soumises à NIS2 en deux niveaux selon leur criticité sectorielle et leur taille. Cette classification détermine l'intensité des obligations, les délais de notification d'incident et le niveau des sanctions en cas de manquement.
- Entité Essentielle (EE) : niveau le plus élevé — secteurs à haute criticité (Annexe I) + grande entreprise. Surveillance proactive de l'ANSSI, audits obligatoires.
- Entité Importante (EI) : niveau intermédiaire — secteurs Annexe I en taille moyenne, ou secteurs Annexe II (criticité secondaire) quelle que soit la taille. Contrôle a posteriori.
2. Critères de classification : secteur + taille
Deux critères cumulatifs déterminent votre catégorie : votre secteur d'activité (Annexe I ou II de la directive) et la taille de votre organisation.
Seuils de taille (définition européenne PME/GE)
- Grande entreprise : ≥ 250 salariés OU CA annuel > 50 M€ ET bilan > 43 M€.
- Moyenne entreprise : 50 à 249 salariés OU CA annuel 10–50 M€.
Entité Essentielle (EE)
- Secteur Annexe I (ex. : énergie, transports, banque, santé, eau potable, infrastructures numériques, administrations publiques, espace) ET grande entreprise.
- Cas particuliers indépendants de la taille : prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau (TLD), fournisseurs DNS.
Entité Importante (EI)
- Secteur Annexe I ET moyenne entreprise.
- Secteur Annexe II (ex. : services postaux, gestion des déchets, fabrication, chimie, alimentation, fournisseurs numériques, recherche) ET moyenne ou grande entreprise.
Résumé : si vous êtes dans un secteur Annexe I et dépassez 250 salariés → EE. Si vous êtes dans un secteur Annexe II et dépassez 50 salariés → EI. Dans le doute, utilisez notre simulateur.
3. Ce qui change concrètement entre EE et EI
Délais de notification d'incident
- EE et EI : alerte précoce sous 24 h dès qu'un incident significatif est constaté (Art. 23(1)(a)).
- EE et EI : notification détaillée sous 72 h (Art. 23(1)(b)).
- EE uniquement : rapport final dans un délai d'un mois (Art. 23(1)(d)) — obligation plus contraignante.
Surveillance et audits
- EE : surveillance proactive et continue de l'ANSSI, audits de sécurité obligatoires réalisés par des organismes indépendants (Art. 32(1)).
- EI : contrôles a posteriori — l'ANSSI intervient en cas de preuve de non-conformité ou d'incident déclaré (Art. 33(1)). Moins d'audits imposés, mais obligations de fond identiques.
Sanctions maximales
- EE : amende administrative d'au moins 10 M€ ou 2 % du CA mondial annuel (le plus élevé des deux) — Art. 32(4) de la directive.
- EI : amende administrative d'au moins 7 M€ ou 1,4 % du CA mondial annuel (le plus élevé des deux) — Art. 33(4) de la directive.
4. Comment vérifier votre statut en 2 minutes
Notre simulateur gratuit analyse votre secteur NIS2, vos effectifs et votre chiffre d'affaires pour vous donner instantanément votre classification EE ou EI, vos obligations principales et un premier plan d'action. Aucune inscription requise.
Source : directive (UE) 2022/2555, Annexes I et II, Articles 23, 32 et 33. Ce contenu est fourni à titre informatif — consultez un conseil juridique pour votre situation spécifique.