Simulateur NIS 2 de l’ANSSI : sept profils testés, trois angles morts

Tests effectués le 31 octobre 2026. Prochaine revue à l’adoption de la loi française. Temps de lecture : 7 minutes.

Retour de terrainRégulation

Sommaire

1. Ce que nous avons fait
2. Ce qui fonctionne
3. Trois angles morts
4. Notre lecture
5. Ce que nous ne savons pas encore
6. Questions fréquentes
7. Ce qui a changé depuis la publication
8. Sources

Ce que nous avons fait

Nous avons rempli le questionnaire sept fois de bout en bout, avec les trois mêmes premières réponses : pas de désignation au titre de NIS 1, établissement en France, entreprise privée. Nous avons fait varier la taille, le secteur et l’activité, puis relevé la réponse affichée.

Le parcours compte six étapes numérotées. Pour plusieurs activités numériques, dont les services gérés et l’informatique en nuage, une question s’ajoute : le pays où sont prises les décisions de cybersécurité. C’est l’application de l’article 26 de la directive, qui rattache ces entités à l’État de leur établissement principal.

Profil	Effectif	Chiffre d’affaires	Secteur et activité cochés	Réponse du simulateur
1. Infogéreur	50 à 249	10 à 50 millions €	Gestion des services TIC : services gérés et services de sécurité gérés	Entité importante
2. Le même, compté avec son groupe	≥ 250	10 à 50 millions €	Idem	Entité essentielle
3. Éditeur SaaS ou fournisseur cloud	50 à 249	10 à 50 millions €	Infrastructure numérique : services d’informatique en nuage	Entité importante
4. Le même, compté avec son groupe	≥ 250	10 à 50 millions €	Idem	Entité essentielle
5. ESN qui coche « Autre activité »	50 à 249	10 à 50 millions €	Gestion des services TIC : autre activité	Non régulée
6. Petit opérateur de centre de données	1 à 49	Moins de 10 millions €	Infrastructure numérique : centres de données	Non régulée
7. Petit prestataire de services de confiance non qualifié	1 à 49	Moins de 10 millions €	Infrastructure numérique : services de confiance non qualifiés	Entité importante

Ce qui fonctionne

Sur ces profils, les réponses suivent la directive. Une entreprise moyenne d’un secteur de l’annexe I est classée importante, une grande essentielle (article 3). Un petit prestataire de services de confiance non qualifié reste dans le champ, puisque l’article 2, paragraphe 2, vise ces prestataires quelle que soit leur taille. Un petit fournisseur de services de centre de données en sort.

Il existe d’autres exceptions que nous n’avons pas testées : les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS sont essentiels quelle que soit leur taille (article 3, paragraphe 1, point b).

Dans nos essais, l’outil n’a demandé le bilan que lorsqu’il peut changer la catégorie : avec moins de 50 salariés et un chiffre d’affaires de 10 à 50 millions d’euros, et avec 50 à 249 salariés et un chiffre d’affaires « ≥ 50 millions € ». C’est cohérent avec la définition européenne des PME, où le bilan peut maintenir une entreprise dans la catégorie inférieure. Nous n’avons pas testé le cas de moins de 50 salariés avec plus de 50 millions d’euros de chiffre d’affaires.

L’outil met en garde contre une confusion fréquente, cocher le secteur de ses clients au lieu du sien. Ses pages de résultat rappellent que le gouvernement peut désigner une entité au cas par cas. Elles indiquent aussi que les entités critiques au sens de la directive (UE) 2022/2557 seront entités essentielles (article 3, paragraphe 1, point f).

Trois angles morts

Le groupe

Aucune question ne porte sur les sociétés liées ou partenaires. L’accueil indique seulement que le test peut être réalisé « pour chaque entreprise filiale, ou pour le groupe ». La directive renvoie pourtant à la définition européenne des PME, qui ajoute 100 % des données des entreprises liées et, au prorata, celles des partenaires (annexe, articles 3 et 6). Un infogéreur de 80 salariés contrôlé par un groupe de 300 personnes passe donc a priori du profil 1 au profil 2. Le considérant 16 permet toutefois aux États de tenir compte de son indépendance, notamment pour ses réseaux et systèmes d’information. Le texte français en discussion ne dit pas encore comment il comptera les groupes ; nous l’avons détaillé dans notre analyse sur les infogéreurs.

La case « Autre activité »

Dans les deux secteurs que nous avons ouverts, la dernière case est « Autre activité ». Cochée seule, elle fait sortir du champ : l’ESN du profil 5, de même taille que l’infogéreur du profil 1, obtient « non régulée ». Aucune définition n’accompagne cette case. Pour une ESN qui fait à la fois de la régie et de la tierce maintenance applicative, le résultat dépend de ce choix.

La directive, elle, définit le fournisseur de services gérés par ses services : l’installation, la gestion, l’exploitation ou l’entretien de produits, réseaux, infrastructures ou applications TIC, « par l’intermédiaire d’une assistance ou d’une administration active » (article 6, point 39). C’est cette définition qui fixe le statut, pas la case cochée.

Le SaaS

L’info-bulle reprend la définition de la directive. Le service d’informatique en nuage y est « un service numérique qui permet l’administration à la demande et l’accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris lorsque ces ressources sont réparties à différents endroits » (article 6, point 30). Le mot SaaS n’y figure pas.

Le considérant 33, qui éclaire l’interprétation sans avoir la force du dispositif, cite parmi les modèles de services d’informatique en nuage « les logiciels services (SaaS) », avec l’IaaS, le PaaS et le NaaS. Un éditeur SaaS de 50 à 249 salariés qui coche cette activité obtient « entité importante » (profil 3).

Notre lecture. Un éditeur SaaS dont le service répond à la définition de l’article 6, point 30, relève de cette catégorie, même sans précision de l’ANSSI. Cocher « Autre activité » ne change pas ce statut ; cela fausse seulement le résultat du simulateur.

Notre lecture

Sur nos sept profils, l’outil a classé chaque entreprise conformément à la directive dès que les chiffres et l’activité étaient justes. Les erreurs possibles se situent donc avant le test : le périmètre du groupe et le choix de l’activité. Une note datée qui justifie ces deux choix permet d’expliquer le résultat à un client, à un assureur ou à l’ANSSI.

Ce que nous ne savons pas encore

• Si l’outil changera après le vote de la loi. Son accueil annonce qu’il sera tenu à jour « au fil des précisions apportées par la transposition ».
• Comment la loi française comptera les groupes.
• Si l’ANSSI précisera le cas des éditeurs SaaS et des ESN de régie.

Questions fréquentes

Le résultat du simulateur a-t-il une valeur juridique ?

Non. L’outil présente son résultat comme « strictement indicatif » et rappelle qu’il ne remplace pas une analyse approfondie, notamment juridique, qui revient à l’entité elle-même.

Passer le simulateur vaut-il enregistrement auprès de l’ANSSI ?

Non. L’outil indique qu’il ne permet pas de s’acquitter de la future obligation d’enregistrement. Le pré-enregistrement est une démarche distincte et facultative, ouverte depuis le 24 novembre 2025.

Le simulateur fonctionne-t-il pour une entreprise établie hors de France ?

Pas encore. Il indique être centré, dans un premier temps, sur les entités établies en France ; les autres choix de pays sont désactivés.

Ce qui a changé depuis la publication

31 octobre 2026 : publication.