L’essentiel
Le dossier NIS2 donne la liste des dix-huit secteurs. Pour un industriel, la question se joue à un niveau plus fin : la nature exacte de ce qu’il fabrique.
Les activités industrielles citées par les annexes
| Activité | Annexe | Critère retenu par la directive |
|---|---|---|
| Produits informatiques, électroniques et optiques | II | NACE Rév. 2, division 26 |
| Équipements électriques | II | NACE Rév. 2, division 27 |
| Machines et équipements non classés ailleurs | II | NACE Rév. 2, division 28 |
| Véhicules automobiles, remorques et semi-remorques | II | NACE Rév. 2, division 29 |
| Autres matériels de transport | II | NACE Rév. 2, division 30 |
| Dispositifs médicaux et dispositifs de diagnostic in vitro | II | Fabricants au sens des règlements (UE) 2017/745 et 2017/746 |
| Produits chimiques | II | Fabrication de substances, distribution de substances ou de mélanges, production d’articles à partir de substances ou de mélanges, au sens du règlement REACH |
| Denrées alimentaires | II | Production et transformation industrielles, distribution en gros |
| Produits pharmaceutiques de base et préparations pharmaceutiques | I (santé) | NACE Rév. 2, division 21 |
| Dispositifs médicaux critiques en cas d’urgence de santé publique | I (santé) | Liste établie au titre du règlement (UE) 2022/123 |
La nomenclature française NAF rév. 2 reprend les divisions de la NACE : les deux premiers chiffres du code APE indiquent la division.
Trois points de lecture
L’activité exercée, pas seulement le code APE
Pour les divisions 26 à 30, la directive vise les entreprises « exerçant l’une des activités économiques » de la division. Elle ne précise pas qu’il doit s’agir de l’activité principale, alors qu’elle le fait pour la gestion des déchets. Le code APE, attribué d’après l’activité principale, donne donc un premier indice ; une activité secondaire de fabrication mérite d’être examinée.
La ligne « produits chimiques » est plus large que son intitulé
Elle couvre aussi la production d’articles à partir de substances ou de mélanges, au sens de REACH. Un transformateur de matières vérifie ce point avant de conclure.
Le travail des métaux n’est pas dans la liste
La division 25, fabrication de produits métalliques, mécanique générale comprise, ne figure dans aucune des deux annexes. Un atelier d’usinage n’a donc pas d’obligation directe à ce titre. La fabrication d’équipements automobiles, elle, relève de la division 29.
Essentielle ou importante : ce qui change pour un industriel
Les activités de l’annexe II relèvent de la catégorie des entités importantes, y compris pour une grande entreprise. Un constructeur de machines de 2 000 salariés est une entité importante. Un laboratoire pharmaceutique de même taille, visé par l’annexe I, est une entité essentielle. L’État peut par ailleurs désigner une entité dont l’arrêt aurait des conséquences particulières.
Quatre cas d’industriels
| Situation | Lecture |
|---|---|
| Fabricant d’équipements de conditionnement, 180 salariés | Division 28 et taille moyenne : entité importante. |
| Atelier de mécanique générale, 70 salariés, sous-traitant de plusieurs constructeurs | Division 25, absente des annexes : pas d’obligation directe. Ses donneurs d’ordre concernés lui adresseront leurs exigences de sécurité. |
| Industriel agroalimentaire, 300 salariés | Transformation industrielle de denrées, annexe II : entité importante, y compris pour une grande entreprise. |
| Groupe de trois sociétés : une holding, une usine de moteurs électriques de 140 salariés, une société de négoce de 30 salariés | La qualification se fait société par société. L’usine relève de la division 27 : entité importante. La société de négoce n’exerce pas une activité visée, même si les effectifs du groupe s’additionnent pour le calcul de sa taille. |
Le calcul de taille au sein d’un groupe est détaillé dans la page NIS2 et PME.
Les systèmes de production entrent-ils dans le périmètre ?
Oui. L’article 21 vise les réseaux et systèmes d’information que l’entité utilise « dans le cadre de ses activités ». Il ne sépare pas l’informatique de gestion de l’informatique industrielle : automates, supervision, pilotage d’atelier et accès de télémaintenance sont à protéger dès lors que la production en dépend. Le même article retient une approche « tous risques », qui inclut l’environnement physique de ces systèmes.
Les questions à poser sur un site de production
- Quelles lignes s’arrêtent si l’ERP, la supervision ou le réseau d’usine tombe, et combien de temps tiennent-elles en mode dégradé ?
- Qui accède à distance aux machines : constructeurs, intégrateurs, mainteneurs ? Avec quels comptes et quelle trace ?
- Les sauvegardes couvrent-elles les programmes d’automates, les recettes et les paramètres machines ? Ont-elles été restaurées ?
- Quels équipements ne reçoivent plus de correctifs, et comment sont-ils isolés ?
- Un incident sur une ligne remonterait-il assez vite à la direction pour tenir le délai d’alerte de 24 heures ?
L’approche d’IKNSA pour l’industrie part de ces dépendances entre production, supply chain et infrastructures de sites.
Questions fréquentes
Notre code APE commence par 28 : sommes-nous concernés ?
Nous fabriquons des pièces pour un constructeur automobile : sommes-nous concernés ?
Un groupe implanté dans plusieurs pays relève-t-il d’une seule autorité ?
Un fabricant de produits connectés relève-t-il de NIS2 ou du Cyber Resilience Act ?
Vérifier votre situation
L’évaluation guidée NIS2 passe en revue l’entité, le secteur, la taille, la gouvernance, les fournisseurs et les incidents. Elle prend environ six minutes et restitue une première lecture d’applicabilité. Si vous êtes fournisseur d’un industriel concerné, voir NIS2 côté sous-traitants et fournisseurs.