Entité essentielle ou entité importante : la différence concrète sous NIS 2
Sous NIS 2, une entité essentielle et une entité importante ont, dans la directive, les mêmes obligations de fond : enregistrement, responsabilité de la direction, dix mesures de gestion des risques, notification des incidents. La directive (UE) 2022/2555 du 14 décembre 2022 les distingue sur trois points : la supervision, possible à tout moment pour les entités essentielles et seulement a posteriori pour les entités importantes (articles 32 et 33) ; les mesures d'exécution les plus lourdes, réservées aux entités essentielles (article 32, paragraphe 5) ; les plafonds d'amende, au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial contre au moins 7 millions d'euros ou 1,4 % (article 34). Le projet de loi français, non adopté définitivement au 19 octobre 2026, reprend ces plafonds.
Deux catégories, un socle commun d'exigences
Ces articles visent « les entités essentielles et importantes » sans distinction :
- Enregistrement (article 3, paragraphe 4) : nom, coordonnées, plages IP, secteur et sous-secteur ; toute modification se notifie dans les deux semaines.
- Gouvernance (article 20) : les organes de direction approuvent les mesures, en supervisent la mise en œuvre, peuvent être tenus responsables de leur violation et suivent une formation.
- Dix mesures (article 21, paragraphe 2) : analyse des risques, incidents, continuité, chaîne d'approvisionnement, acquisition et maintenance, évaluation de l'efficacité, hygiène et formation, cryptographie, ressources humaines et accès, authentification à plusieurs facteurs.
- Notification des incidents importants (article 23, paragraphe 4) : alerte précoce dans les 24 heures suivant la prise de connaissance, notification dans les 72 heures, rapport final un mois au plus tard après celle-ci.
La directive n'allège rien pour une entité importante ; ce qui change, c'est le contrôle et la sanction. En France, la version de travail du Référentiel Cyber France (ReCyF) de l'ANSSI réserve certaines mesures aux entités essentielles, repérées « EE » (MonEspaceNIS2, consulté le 20 octobre 2026).
Comment une entité est classée
L'article 3 définit les entités essentielles et range le reste dans les entités importantes. Vérifiez d'abord si votre entreprise est concernée.
| Critère (directive, article 3) | Entité essentielle | Entité importante |
|---|---|---|
| Annexe I, au-delà de la moyenne entreprise | Oui (paragraphe 1, point a) | — |
| Annexe I, taille moyenne | — | Oui (paragraphe 2) |
| Annexe II, taille moyenne ou grande | — | Oui (paragraphe 2) |
| Prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau, fournisseurs de services DNS | Oui, quelle que soit la taille (point b) | — |
| Fournisseurs de communications électroniques publics de taille moyenne | Oui (point c) | — |
| Administrations publiques centrales | Oui (point d) | — |
| Entités critiques (directive (UE) 2022/2557) ; opérateurs de services essentiels identifiés avant le 16 janvier 2023, si l'État le prévoit | Oui (points f et g) | — |
| Entité désignée par l'État membre (article 2, paragraphe 2, points b à e) | Au choix de l'État (point e) | Au choix de l'État (paragraphe 2) |
Le texte adopté par le Sénat le 12 mars 2025 chiffre ces règles : entité essentielle (article 8) dès 250 personnes, ou plus de 50 millions d'euros de chiffre d'affaires et de 43 millions d'euros de bilan, dans un secteur hautement critique ; entité importante (article 9) dès 50 personnes, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan, dans un secteur listé. L'ANSSI affiche les mêmes seuils.
Exemple fictif : une clinique privée de 180 personnes, 24 millions d'euros de chiffre d'affaires et 18,5 millions d'euros de bilan est une entité importante (santé, annexe I, taille moyenne) ; à 300 personnes, elle devient essentielle.
Supervision a priori ou a posteriori
Pour les entités essentielles, l'article 32, paragraphe 2, autorise sans attendre un incident des contrôles « y compris des contrôles aléatoires » et des audits « réguliers et ciblés ». Pour les entités importantes, l'article 33, paragraphe 1, n'ouvre le contrôle qu'« au vu d'éléments de preuve, d'indications ou d'informations » de non-respect, « dans le cadre de mesures de contrôle ex post ».
| Supervision | Entité essentielle (article 32) | Entité importante (article 33) |
|---|---|---|
| Déclencheur | Programme de l'autorité, à tout moment | Éléments de preuve, indications ou informations |
| Inspections sur place et contrôles à distance | Oui, y compris aléatoires | Oui, ex post |
| Audits de sécurité | Réguliers et ciblés, plus audits ad hoc | Ciblés |
En France, l'article 29 du texte du Sénat liste ces formes de contrôle sans distinguer les deux catégories ; un décret en Conseil d'État en fixera les modalités (article 30).
Les sanctions prévues pour chaque catégorie
La directive fixe des minima que chaque État peut dépasser (articles 32, 33 et 34).
| Mesure | Entité essentielle | Entité importante |
|---|---|---|
| Avertissement, injonction, ordre de cesser ou de se conformer dans un délai | Oui (32 §4 a à d) | Oui (33 §4 a à d) |
| Ordre d'informer les personnes exposées, de suivre les recommandations d'audit | Oui (32 §4 e et f) | Oui (33 §4 e et f) |
| Désignation d'un responsable du contrôle | Oui (32 §4 g) | — |
| Ordre de rendre publics les aspects de la violation | Oui (32 §4 h) | Oui (33 §4 g) |
| Amende maximale (montant le plus élevé retenu) | Au moins 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial (34 §4) | Au moins 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial (34 §5) |
| Suspension temporaire d'une certification ou autorisation | Oui, si les mesures a à d et f restent inefficaces après le délai fixé (32 §5 a) | — |
| Interdiction temporaire d'exercer des responsabilités dirigeantes | Oui, même condition (32 §5 b) | — |
L'article 37 du texte du Sénat reprend ces plafonds, sauf pour les administrations de l'État, les collectivités territoriales, leurs groupements et leurs établissements publics administratifs ; l'interdiction de diriger y est réservée aux entités essentielles, « en dernier recours ». L'article 31 ajoute une astreinte jusqu'à 5 000 euros par jour de retard. Ce n'est qu'un projet, retiré le 6 octobre 2026 de l'ordre du jour de l'Assemblée nationale des 7 et 9 octobre, sans nouvelle date au relevé du 13 octobre 2026. Détail des montants : l'article sur les sanctions NIS 2.
Ce que cela change dans un plan d'action
- Entité importante : la preuve avant le contrôle. Un signalement ou un incident peut fournir les « indications » qui déclenchent un contrôle ex post : vos preuves doivent être prêtes avant la demande.
- Entité essentielle : prévoir des audits réguliers. Dans les deux catégories, l'audit ciblé confié à un organisme indépendant est à la charge de l'entité, sauf décision motivée de l'autorité (articles 32 et 33, paragraphe 2).
- Dans les deux cas, mêmes dix mesures et mêmes délais : le plan d'action sur 90 jours suit la même trame ; une entité essentielle y ajoute les mesures « EE » du ReCyF.
- Surveiller la classification : effectif, rachat ou arrêté de désignation peuvent la changer.
Questions fréquentes
Une entité importante peut-elle être contrôlée sans avoir subi d'incident ?
Oui. L'article 33, paragraphe 1, exige seulement des « éléments de preuve, des indications ou des informations » de non-respect : un signalement peut suffire. Les audits réguliers, les audits ad hoc et les contrôles aléatoires restent réservés aux entités essentielles.
Les dirigeants risquent-ils personnellement quelque chose ?
L'article 20, paragraphe 1, impose que les organes de direction « puissent être tenus responsables » de la violation de l'article 21, selon le droit national. L'interdiction temporaire de diriger n'existe que pour les entités essentielles (article 32, paragraphe 5, point b), en dernier recours dans le texte du Sénat.
Peut-on choisir d'être entité importante plutôt qu'essentielle ?
Non. La catégorie découle du type d'entité, de l'annexe et de la taille, calculée avec les entreprises partenaires et liées (recommandation 2003/361/CE), sauf indépendance retenue par l'État (considérant 16 de la directive). L'État peut aussi désigner une entité (article 3, paragraphe 1, point e ; article 10 du projet de loi).
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022 (EUR-Lex).
- ANSSI, MonEspaceNIS2 (messervices.cyber.gouv.fr/nis2, consulté le 20 octobre 2026).
- Sénat, texte adopté n° 78 du 12 mars 2025 ; Assemblée nationale, relevés de la Conférence des présidents des 6 et 13 octobre 2026.