Quels Secteurs sont Concernés par la Directive NIS2 ? Liste Complète 2025

Introduction : Une Directive Européenne qui Révolutionne la Cybersécurité

La directive NIS2 (Directive (UE) 2022/2555) marque un tournant décisif dans la réglementation européenne de la cybersécurité. Adoptée le 14 décembre 2022 et entrée en vigueur le 16 janvier 2023, cette révision majeure de la première directive NIS étend considérablement le champ des entités soumises à des obligations strictes en matière de sécurité des systèmes d’information.

Contrairement à la première version qui ne concernait que 7 secteurs, NIS2 introduit un cadre réglementaire ambitieux couvrant désormais 18 secteurs d’activité, classés en deux catégories distinctes selon leur niveau de criticité : les entités essentielles (Annexe I) et les entités importantes (Annexe II). Cette extension répond à la multiplication des cyberattaques ciblant les infrastructures critiques et les chaînes d’approvisionnement stratégiques.

Selon l’article 2 de la directive, l’objectif est “d’établir des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union”. Les enjeux pour les entreprises sont majeurs : mise en conformité opérationnelle, responsabilisation des dirigeants, sanctions financières significatives en cas de non-respect pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial pour les entités essentielles.

Les 11 Secteurs Hautement Critiques (Annexe I – Entités Essentielles)

L’Annexe I de la directive NIS2 liste 11 secteurs considérés comme hautement critiques pour le fonctionnement des sociétés et des économies européennes. Les entités opérant dans ces secteurs sont qualifiées d'”essentielles” lorsqu’elles atteignent les seuils de taille suivants : 250 salariés ou plus, OU un chiffre d’affaires annuel supérieur à 50 millions d’euros, OU un total de bilan supérieur à 43 millions d’euros.

1. Secteur de l’Énergie

Ce secteur couvre cinq sous-domaines stratégiques :

• Électricité : producteurs, gestionnaires de réseaux de transport et de distribution
• Gaz : opérateurs de transport, gestionnaires de réseaux, installations de stockage
• Pétrole : opérateurs d’oléoducs, raffineries, installations de stockage
• Hydrogène : production, stockage, transport
• Chauffage/refroidissement urbains : réseaux de chaleur et de froid

L’article 7 précise que “les États membres veillent à ce que les entités identifiées comme essentielles mettent en œuvre les mesures techniques et organisationnelles appropriées pour gérer les risques”.

2. Transports

Ce secteur inclut quatre modes de transport cruciaux :

• Transport aérien : compagnies aériennes, aéroports, contrôle aérien
• Transport ferroviaire : opérateurs ferroviaires, gestionnaires d’infrastructure
• Transport maritime et fluvial : armateurs, ports, services de trafic maritime
• Transport routier : gestion du trafic et infrastructures critiques

L’article 8 impose des “mesures proportionnées tenant compte de l’importance des services fournis pour la société et l’économie”.

3. Secteur Bancaire

Les établissements de crédit au sens du règlement CRR (Capital Requirements Regulation) sont concernés, avec une application conjointe du règlement DORA pour les aspects financiers. Cela inclut :

• Banques commerciales
• Banques d’investissement
• Sociétés de crédit-bail
• Institutions financières similaires

4. Infrastructures des Marchés Financiers

Ce secteur couvre :

• Opérateurs de plateformes de négociation
• Contreparties centrales
• Dépôts centraux de titres

L’article 21, paragraphe 3 exige “des mécanismes de contrôle d’accès robustes et des politiques de gestion des identités”.

5. Santé

Le secteur santé comprend :

• Hôpitaux et cliniques
• Laboratoires d’analyses médicales
• Fabricants de dispositifs médicaux
• Industrie pharmaceutique

L’article 23 impose des délais stricts : notification des incidents majeurs sous 24 heures à l’autorité compétente (ANSSI en France).

Les 7 Secteurs Critiques (Annexe II – Entités Importantes)

L’Annexe II liste 7 secteurs supplémentaires considérés comme critiques mais de moindre importance stratégique que ceux de l’Annexe I. Les entités de ces secteurs sont qualifiées d'”importantes” lorsqu’elles emploient entre 50 et 249 personnes ET ont un chiffre d’affaires compris entre 10 et 50 millions d’euros ET un total de bilan entre 10 et 43 millions d’euros.

1. Services Postaux et de Messagerie

Sont concernés :

• Opérateurs postaux désignés
• Prestataires de services express
• Services de livraison de colis

L’article 24 précise que “les mesures doivent tenir compte de l’état de l’art et des coûts de mise en œuvre”.

2. Gestion des Déchets

Ce secteur inclut :

• Collecte et traitement des déchets dangereux
• Installations d’incinération
• Centres de tri et recyclage

L’article 25 exige “une analyse d’impact régulière sur les risques émergents”.

3. Fabrication et Production

Sont couverts :

• Industrie automobile
• Aéronautique et spatial
• Industrie lourde

L’article 26 impose “des plans de continuité d’activité testés régulièrement”.

4. Fabrication de Produits Chimiques

Ce secteur comprend :

• Production de produits chimiques de base
• Fabrication de produits pharmaceutiques de base
• Production de pesticides

5. Production et Transformation de Denrées Alimentaires

Sont concernés :

• Industrie agroalimentaire
• Production agricole à grande échelle
• Unités de transformation alimentaire

6. Fabrication d’Équipements Spécifiques

Ce secteur inclut :

• Fabrication de matériel médical
• Production d’équipements de mesure
• Fabrication d’équipements de contrôle industriel

7. Fournisseurs Numériques

Sont couverts :

• Prestataires de services cloud
• Fournisseurs de services de data centers
• Opérateurs de réseaux de distribution de contenu

FAQ : Vos Questions sur les Secteurs NIS2

Quels sont les critères exacts pour déterminer si une entreprise est concernée par NIS2 ?

La directive établit des seuils précis selon deux catégories :
– Entités essentielles (Annexe I) : ≥250 salariés OU ≥50M€ CA OU ≥43M€ bilan
– Entités importantes (Annexe II) : 50-249 salariés ET 10-50M€ CA ET 10-43M€ bilan
Les États membres peuvent classer des entités en dessous de ces seuils si leur activité est jugée critique.

Comment savoir si mon entreprise est dans un secteur couvert par NIS2 ?

Il faut vérifier deux éléments :
1. Votre activité principale correspond-elle à l’un des 18 secteurs listés dans les Annexes I et II ?
2. Vos chiffres clés (effectifs, CA, bilan) atteignent-ils les seuils réglementaires ?
En cas de doute, consulter le guide sectoriel publié par l’ANSSI ou solliciter un audit de conformité.

Quelles sont les sanctions pour non-conformité à NIS2 ?

Les sanctions administratives prévues à l’article 34 sont :
– Pour les entités essentielles : jusqu’à 10M€ ou 2% du CA mondial (le montant le plus élevé)
– Pour les entités importantes : jusqu’à 7M€ ou 1,4% du CA mondial
Les dirigeants peuvent également faire l’objet de sanctions personnelles (interdiction d’exercice).

Quand la directive NIS2 entre-t-elle en application ?

Le calendrier officiel est :
– Date limite de transposition : 17 octobre 2024 (dépassée par la France)
– Application effective : 18 octobre 2024
– Période de mise en conformité : jusqu’en 2027 pour certaines mesures
La France a adopté son projet de loi en mars 2025, avec un vote final prévu en septembre 2025.

Les Secteurs de l’Énergie et des Transports

La directive NIS2 place un accent particulier sur les secteurs de l’énergie et des transports, considérés comme critiques pour le fonctionnement des États membres de l’Union européenne. Ces secteurs sont essentiels pour assurer la continuité des services publics et la sécurité des citoyens.

Dans le domaine de l’énergie, la directive couvre les entreprises impliquées dans la production, le transport, la distribution et la fourniture d’électricité, de gaz et de pétrole. Cela inclut les centrales électriques, les réseaux de distribution, les pipelines et les infrastructures de stockage. Les opérateurs de ces infrastructures doivent mettre en place des mesures de sécurité renforcées pour prévenir les cyberattaques qui pourraient perturber l’approvisionnement énergétique.

Pour les transports, la directive NIS2 vise les entreprises opérant dans les secteurs aérien, ferroviaire, maritime et routier. Les aéroports, les compagnies aériennes, les ports maritimes, les gestionnaires de réseaux ferroviaires et les entreprises de transport routier sont concernés. Ces entités doivent garantir la sécurité des systèmes de contrôle de trafic, des systèmes de réservation et des infrastructures logistiques. La protection des données personnelles des passagers est également une priorité.

En somme, les secteurs de l’énergie et des transports sont au cœur des préoccupations de la directive NIS2, car toute perturbation dans ces domaines pourrait avoir des conséquences économiques et sociales majeures.

Les Secteurs de la Santé et des Services Publics

La santé et les services publics sont également des domaines clés visés par la directive NIS2. Ces secteurs jouent un rôle vital dans la protection de la population et doivent être protégés contre les cybermenaces.

Dans le secteur de la santé, la directive s’applique aux hôpitaux, aux cliniques, aux laboratoires de recherche médicale et aux fabricants de dispositifs médicaux. Les systèmes d’information hospitaliers, les dossiers médicaux électroniques et les équipements médicaux connectés doivent être sécurisés pour éviter les intrusions malveillantes. La protection des données de santé sensibles est également un enjeu majeur, car leur divulgation pourrait avoir des conséquences graves pour les patients.

Les services publics, quant à eux, incluent les administrations gouvernementales, les collectivités locales et les organismes publics chargés de la gestion des infrastructures critiques. Ces entités doivent renforcer la sécurité de leurs systèmes d’information pour prévenir les cyberattaques qui pourraient perturber les services essentiels tels que l’eau potable, les déchets ou les services d’urgence.

La directive NIS2 reconnaît l’importance de ces secteurs pour la sécurité nationale et la protection des citoyens. Elle impose donc des obligations strictes en matière de cybersécurité pour garantir la continuité des services.

Les Secteurs Financiers et des Services Numériques

Le secteur financier et les services numériques sont également ciblés par la directive NIS2, en raison de leur rôle central dans l’économie numérique et de leur exposition accrue aux cybermenaces.

Dans le secteur financier, la directive concerne les banques, les compagnies d’assurance, les bourses et les institutions financières. Ces entités doivent protéger leurs systèmes de traitement des transactions, leurs plateformes de trading et leurs données clients contre les cyberattaques. La directive impose également des mesures pour prévenir les fraudes financières et garantir la confiance des consommateurs dans les services financiers.

Les services numériques incluent les fournisseurs de services cloud, les plateformes de commerce électronique, les moteurs de recherche et les réseaux sociaux. Ces entreprises doivent mettre en place des mesures de sécurité pour protéger les données des utilisateurs et garantir la disponibilité de leurs services. La directive NIS2 vise à renforcer la résilience de ces services face aux menaces telles que les attaques par déni de service (DDoS) ou les fuites de données.

En conclusion, les secteurs financiers et des services numériques sont des piliers de l’économie numérique. La directive NIS2 leur impose des obligations strictes pour garantir leur sécurité et la confiance des utilisateurs.

Les Secteurs de la Recherche et de l’Éducation

La directive NIS2 s’étend également aux secteurs de la recherche et de l’éducation, reconnaissant leur importance pour l’innovation et le développement des compétences numériques.

Dans le domaine de la recherche, la directive concerne les instituts de recherche, les universités et les laboratoires publics ou privés. Ces entités doivent protéger leurs données de recherche, leurs systèmes informatiques et leurs infrastructures contre les cybermenaces. La protection des résultats de recherche sensibles, notamment dans des domaines tels que la santé, l’énergie ou la défense, est une priorité.

Le secteur de l’éducation inclut les écoles, les universités et les organismes de formation. Ces institutions doivent sécuriser leurs systèmes d’information pour protéger les données des étudiants et des enseignants. La directive NIS2 encourage également la sensibilisation à la cybersécurité auprès des étudiants et des professionnels de l’éducation.

En somme, les secteurs de la recherche et de l’éducation sont essentiels pour le développement économique et social. La directive NIS2 leur impose des obligations pour garantir la sécurité de leurs infrastructures et promouvoir une culture de la cybersécurité.

La Directive NIS2 représente un tournant majeur dans la réglementation européenne en matière de cybersécurité. Elle vise à protéger les infrastructures critiques et les services essentiels contre les cyberattaques de plus en plus sophistiquées. Les entreprises concernées doivent donc agir rapidement pour se conformer à ces nouvelles exigences.

En conclusion, la Directive NIS2 est une opportunité pour les entreprises de renforcer leur sécurité numérique et de protéger leurs données sensibles. En se conformant à ces nouvelles règles, elles peuvent non seulement éviter les sanctions, mais aussi gagner la confiance de leurs clients et partenaires. Ne tardez pas à prendre les mesures nécessaires pour vous conformer à la Directive NIS2.