NIS2 : un infogéreur de 80 salariés est-il entité essentielle ou importante ?

Sources vérifiées le 31 octobre 2026. Prochaine revue le 4 novembre 2026. Temps de lecture : 13 minutes.

RégulationMémoire

Sommaire

1. Votre activité est-elle un « service géré » au sens de NIS2 ?
2. Pourquoi NIS2 vise les infogéreurs, que la directive SRI ignorait
3. 80 salariés : pourquoi vous êtes au moins entité importante
4. Le piège du groupe : quand vos actionnaires changent la réponse
5. Essentielle ou importante : ce qui change
6. Trente minutes de panne : ce que le règlement d’exécution 2024/2690 fixe pour un infogéreur
7. Ce que répond le simulateur de l’ANSSI
8. Notre lecture
9. Ce que nous ne savons pas encore
10. Questions fréquentes
11. Ce qui a changé depuis la publication
12. Sources

Prenons un infogéreur de 80 salariés, construit pour l’exemple : 11 millions d’euros de chiffre d’affaires, 7 millions de bilan. Il administre à distance les serveurs, les pare-feu et les postes de travail d’une centaine de PME, et tient l’astreinte d’une clinique. Deux clients lui envoient le même questionnaire « NIS2 », son assureur lui pose la même question : êtes-vous entité essentielle ou importante ? La réponse tient en trois vérifications, dans cet ordre.

Votre activité est-elle un « service géré » au sens de NIS2 ?

Oui, dès qu’il installe, gère, exploite ou maintient les systèmes d’un client, chez lui ou à distance. L’annexe I de la directive range ces entreprises dans le secteur « Gestion des services TIC (interentreprises) », avec deux types d’entités : les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés.

L’article 6, point 39, définit le fournisseur de services gérés comme « une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretien de produits, de réseaux, d’infrastructures ou d’applications TIC ou d’autres réseaux et systèmes d’information », et cela « par l’intermédiaire d’une assistance ou d’une administration active, soit dans les locaux des clients, soit à distance ».

Notre infogéreur coche toutes les cases. Sa supervision de pare-feu le range aussi parmi les fournisseurs de services de sécurité gérés (point 40), sans effet sur sa catégorie : les deux types d’entités suivent les mêmes règles de taille.

Notre lecture. La tierce maintenance applicative et l’infogérance de production entrent dans cette définition. La régie, où un consultant intervient sur les systèmes du client sous la direction de celui-ci, est plus incertaine : le mot « assistance » ne l’exclut pas. Nous n’avons pas trouvé, à ce jour, de précision officielle française sur ce point. Dans le doute, mieux vaut compter ces contrats dans le périmètre que parier sur leur exclusion.

Pourquoi NIS2 vise les infogéreurs, que la directive SRI ignorait

Mémoire

La première directive sur la sécurité des réseaux, la directive (UE) 2016/1148, dite SRI, ne retenait comme services numériques que les places de marché, les moteurs de recherche et l’informatique en nuage (article 4, point 5, et annexe III). NIS2 ajoute les fournisseurs de services gérés à son annexe I, celle des secteurs hautement critiques, au même rang que l’énergie ou la santé. Notre lecture de ce choix : un incident chez un infogéreur peut atteindre plusieurs clients à la fois, puisqu’il dispose d’accès administrateur chez chacun.

80 salariés : pourquoi vous êtes au moins entité importante

La directive s’applique aux entreprises de ses annexes qui sont au moins de taille moyenne (article 2, paragraphe 1). Elle reprend la définition européenne des PME, fixée par la recommandation 2003/361/CE de la Commission du 6 mai 2003.

Une entreprise est petite si elle emploie moins de 50 personnes et si son chiffre d’affaires ou son bilan annuel ne dépasse pas 10 millions d’euros. Elle est moyenne si elle emploie moins de 250 personnes et si son chiffre d’affaires ne dépasse pas 50 millions d’euros ou son bilan 43 millions. Au-delà, elle est grande.

Avec 80 salariés, notre infogéreur n’est plus une petite entreprise, quel que soit son chiffre d’affaires : il entre dans le champ. Il reste sous les plafonds de la moyenne entreprise : il est donc entité importante (article 3, paragraphe 2). Pour un fournisseur de services gérés, la catégorie essentielle commence au-dessus de ces plafonds (article 3, paragraphe 1, point a).

Deux exceptions déplacent la frontière. L’État peut désigner comme essentielle une entité qui ne l’est pas par sa taille (article 3, paragraphe 1, point e). Il peut aussi faire entrer dans le champ une entreprise plus petite, par exemple si elle est le seul fournisseur d’un service essentiel dans le pays (article 2, paragraphe 2).

Le piège du groupe : quand vos actionnaires changent la réponse

Pour la directive, le calcul ne porte pas sur la seule société. L’annexe de la recommandation distingue trois situations (articles 3 et 6) :

• entreprise autonome : seuls ses propres comptes comptent ;
• entreprise partenaire, quand une entreprise en détient une autre à 25 % ou plus, en capital ou en droits de vote, sans la contrôler : on ajoute les données de la partenaire au prorata de la participation ;
• entreprise liée, en cas de contrôle (majorité des droits de vote, droit de nommer ou de révoquer la majorité de l’organe d’administration, de direction ou de surveillance, influence dominante prévue par contrat ou par les statuts, contrôle obtenu par accord avec d’autres actionnaires) : on ajoute 100 % des données des entreprises liées.

Si notre infogéreur est filiale à 100 % d’un groupe de 300 salariés, c’est l’effectif du groupe qui compte. Le groupe dépasse 250 personnes : au sens de la directive, l’infogéreur devient entité essentielle, sans que rien ait changé dans ses bureaux.

La directive laisse une marge aux États. Son considérant 16 indique qu’en appliquant l’article 6, paragraphe 2, de l’annexe de la recommandation, ils peuvent tenir compte de l’indépendance d’une entité vis-à-vis de ses partenaires et entreprises liées, au regard des réseaux et systèmes d’information qu’elle utilise et des services qu’elle fournit.

Et en France ? La question est ouverte. Le texte adopté par la commission spéciale de l’Assemblée nationale le 10 septembre 2025 écrit les seuils en toutes lettres (articles 8 et 9), sans renvoyer à la recommandation de 2003 ni aux règles d’entreprises liées et partenaires. Il ne précise un mode de calcul que pour les établissements publics et les régies, appréciés au niveau de la personne morale. Le simulateur de l’ANSSI indique, lui, que le test peut être fait pour chaque filiale ou pour le groupe.

Notre lecture. Tant que la loi et ses décrets n’ont pas tranché, faites les deux calculs, société seule et groupe consolidé, et conservez-les. Si le second vous classe en entité essentielle, préparez-vous au régime de contrôle le plus lourd.

Autre particularité : la directive écarte la règle de la recommandation selon laquelle une entreprise contrôlée à 25 % ou plus par des organismes publics ne peut pas être une PME (article 2, paragraphe 1, de la directive, qui neutralise l’article 3, paragraphe 4, de l’annexe). Une société d’économie mixte d’infogérance se mesure donc à ses effectifs et à ses chiffres, comme une autre.

Essentielle ou importante : ce qui change

Les obligations sont identiques ; le contrôle et les sanctions diffèrent.

	Entité essentielle	Entité importante
Mesures de gestion des risques (article 21)	Oui	Oui
Approbation et supervision par la direction, formation des dirigeants (article 20)	Oui	Oui
Notification des incidents importants (article 23) : alerte précoce sous 24 heures, notification sous 72 heures, rapport final un mois après	Oui	Oui
Contrôle	Inspections sur place, contrôles aléatoires, audits réguliers et ciblés, sans attendre d’indice de manquement (article 32)	A posteriori, au vu d’éléments, d’indications ou d’informations laissant penser à un manquement (article 33)
Plafond d’amende que la loi doit au minimum prévoir, pour un manquement aux articles 21 ou 23 (article 34)	10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent de l’entreprise à laquelle l’entité appartient, le montant le plus élevé étant retenu	7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial de l’exercice précédent de l’entreprise à laquelle l’entité appartient, le montant le plus élevé étant retenu
Sanctions réservées (article 32, paragraphe 5)	Suspension temporaire d’une certification ou d’une autorisation ; interdiction temporaire d’exercer pour un dirigeant	Non prévues

Pour notre infogéreur, le plafond pertinent est donc de 7 millions d’euros, plus de la moitié de son chiffre d’affaires. La loi française peut le relever, pas l’abaisser. C’est un plafond, pas un tarif.

Trente minutes de panne : ce que le règlement d’exécution 2024/2690 fixe pour un infogéreur

Pour les fournisseurs de services gérés, la Commission a déjà défini l’incident important : un service totalement indisponible plus de 30 minutes suffit. Le règlement d’exécution (UE) 2024/2690 du 17 octobre 2024 vise nommément les fournisseurs de services gérés et de services de sécurité gérés (article 1^er). Son annexe détaille les mesures techniques attendues au titre de l’article 21 de la directive. Son article 10 tient un incident pour important, chez ces fournisseurs, dans quatre cas :

• le service est totalement indisponible pendant plus de 30 minutes ;
• sa disponibilité est limitée pendant plus d’une heure pour plus de 5 % de ses utilisateurs dans l’Union, ou pour plus d’un million d’entre eux, le seuil le plus bas étant retenu ;
• l’intégrité, la confidentialité ou l’authenticité des données est compromise par une action suspectée d’être malveillante ;
• la même atteinte touche plus de 5 % des utilisateurs du service dans l’Union, ou plus d’un million d’entre eux, le seuil le plus bas étant retenu.

S’ajoutent les critères communs de l’article 3, dont une perte financière directe, réelle ou potentielle, supérieure à 500 000 euros ou à 5 % du chiffre d’affaires annuel de l’entité sur le dernier exercice complet, le plus faible des deux montants étant retenu. Les interruptions programmées et les effets prévus des maintenances programmées ne sont pas des incidents importants (article 3, paragraphe 2). Ces critères sont les mêmes pour une entité essentielle et pour une entité importante. Pour notre infogéreur, 5 % de 11 millions font 550 000 euros : c’est le seuil de 500 000 euros qui s’applique.

Le règlement est en vigueur depuis le 7 novembre 2024 et directement applicable. Notre lecture. Il précise des obligations que seule la loi nationale impose à une entreprise. Tant que la loi française n’est pas adoptée, sa force contraignante pour un infogéreur établi en France se discute. Nous le lisons comme le cahier des charges qui s’appliquera à l’entrée en vigueur de la loi, et que des clients déjà soumis à NIS2 dans d’autres pays de l’Union peuvent reprendre dans leurs contrats.

Ce que répond le simulateur de l’ANSSI

Il confirme la frontière, à condition de lui donner les bons chiffres. Nous avons soumis notre cas au simulateur NIS 2 de l’ANSSI, sur la plateforme MesServicesCyber, le 31 octobre 2026. Le questionnaire porte sur une éventuelle désignation au titre de NIS 1, le pays d’établissement, le type de structure, la taille, les secteurs, les activités et le pays où se prennent les décisions de cybersécurité.

Avec « 50 à 249 » salariés, un chiffre d’affaires de « 10 à 50 millions € », le secteur « Gestion des services TIC » et les activités de fournisseur de services gérés et de services de sécurité gérés, il répond : entité importante. En passant l’effectif à « ≥ 250 », sans rien changer d’autre, il répond : entité essentielle.

Trois constats en le remplissant. Il ne pose aucune question sur le groupe : l’accueil précise seulement que le test vaut pour une filiale ou pour le groupe ; à vous d’entrer des chiffres consolidés. Il ne demande le bilan que lorsqu’il fait la différence : par exemple, avec 50 à 249 salariés et un chiffre d’affaires d’au moins 50 millions d’euros, il pose la question, puisqu’une telle entreprise reste moyenne si son bilan ne dépasse pas 43 millions. Enfin, il met en garde contre une confusion fréquente, cocher le secteur de ses clients au lieu du sien : l’infogéreur d’une clinique ne coche pas « Santé ».

Le résultat est présenté comme « strictement indicatif » et renvoie vers le pré-enregistrement auprès de l’ANSSI. Nous avons depuis passé sept profils au simulateur : voir notre retour de terrain.

Notre lecture

Pour un infogéreur, la question décisive est d’entrer ou non dans le champ. Une fois dedans, les mesures et les délais de notification sont les mêmes ; la catégorie change le mode de contrôle, le plafond des amendes et deux sanctions.

Le calcul de taille au niveau du groupe mérite une demi-journée de la direction financière : selon la directive, c’est lui qui peut faire passer une filiale en entité essentielle, et la loi française n’a pas encore dit comment elle le traitera.

Ce que nous ne savons pas encore

Le calendrier français reste ouvert, alors que la Commission européenne a saisi la Cour de justice de l’UE, le 8 juillet 2026, d’un recours en manquement contre la France, en demandant des sanctions financières.

• La date de vote de la loi française. Retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre 2026, le projet de loi n’a pas été réinscrit lors des conférences des présidents des 13, 20 et 27 octobre. Prochain rendez-vous : la conférence des présidents du 3 novembre 2026.
• Comment la loi française comptera les groupes : le texte de la commission spéciale fixe les seuils sans renvoyer à la recommandation de 2003 ni aux règles d’entreprises liées et partenaires, et ne dit rien de la faculté ouverte par le considérant 16.
• Comment l’autorité française traitera la régie et l’assistance ponctuelle au regard de la définition du service géré.

Questions fréquentes

Un infogéreur de 30 salariés est-il concerné par NIS2 ?

En principe non, s’il emploie moins de 50 personnes et que son chiffre d’affaires ou son bilan ne dépasse pas 10 millions d’euros. Il le devient si son groupe lui fait franchir ces seuils, ou si l’État le fait entrer dans le champ, par exemple parce qu’il est le seul à fournir un service essentiel (article 2, paragraphe 2).

Nous sommes établis en France mais servons des clients en Belgique : quelle loi s’applique ?

La loi et l’autorité de l’État de l’établissement principal, celui où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité (article 26). Si elles se prennent en France, ce sera la loi française et l’autorité française. À défaut, on retient l’État où sont menées les opérations de cybersécurité, puis celui de l’établissement qui compte le plus de salariés dans l’Union.

Être entité importante dispense-t-il de notifier les incidents ?

Non. L’article 23 vaut pour les deux catégories, avec les mêmes délais : alerte précoce sous 24 heures, notification sous 72 heures, rapport final au plus tard un mois après la notification.

Un infogéreur qui développe et commercialise sous son nom son propre logiciel, par exemple un agent de supervision ou une console, en est le fabricant au sens du Cyber Resilience Act. Depuis le 11 septembre 2026, il doit aussi signaler les vulnérabilités activement exploitées de ce logiciel et les incidents graves qui touchent sa sécurité : voir notre analyse de l’article 14.

Ce qui a changé depuis la publication

31 octobre 2026 : publication.

31 octobre 2026, correction : nous écrivions que le simulateur ne demande pas le bilan. Il le demande quand il fait la différence, par exemple de 50 à 249 salariés avec un chiffre d’affaires d’au moins 50 millions d’euros. Le reste de l’analyse est inchangé.

31 octobre 2026, ajout : renvoi vers notre analyse de l’article 14 du Cyber Resilience Act, pour l’infogéreur qui commercialise son propre logiciel. Le reste de l’analyse est inchangé.