L’essentiel
Le dossier NIS2 décrit les secteurs, les obligations et le calendrier. Cette page s’arrête sur ce qui pose le plus de questions aux dirigeants de PME : le calcul de la taille, et ce qu’il change.
Où passe la limite entre petite et moyenne entreprise ?
La directive reprend la définition européenne des PME, fixée par la recommandation 2003/361/CE. Une entreprise est « petite » tant qu’elle occupe moins de 50 personnes et que son chiffre d’affaires annuel ou son total de bilan ne dépasse pas 10 millions d’euros. Elle devient « moyenne » dans deux cas : elle atteint 50 personnes, ou son chiffre d’affaires et son total de bilan dépassent tous deux 10 millions d’euros.
Une société de 30 personnes peut donc entrer dans le périmètre par ses seuls montants financiers, si son activité figure dans les annexes.
Comment compter l’effectif ?
L’effectif s’exprime en unités de travail par année. Une personne à temps plein toute l’année compte pour une unité ; le temps partiel et le travail saisonnier comptent pour des fractions. Sont pris en compte les salariés, les personnes qui travaillent pour l’entreprise sous un lien de subordination et que le droit national assimile à des salariés, les propriétaires exploitants et les associés qui exercent une activité régulière dans l’entreprise. Les apprentis et les étudiants en contrat de formation professionnelle ne le sont pas.
Les données retenues sont celles du dernier exercice clôturé. Le chiffre d’affaires se calcule hors TVA.
Filiale, holding, participations : l’effet du groupe
Une entreprise autonome se mesure sur ses seuls comptes. Dès qu’elle a des entreprises liées ou partenaires, leurs données s’ajoutent aux siennes : en totalité pour une entreprise liée, par exemple une société mère qui détient la majorité des droits de vote, et au prorata de la participation pour une entreprise partenaire, à partir de 25 % du capital ou des droits de vote.
Une filiale de 20 personnes détenue par un groupe de 400 n’est donc pas une petite entreprise au sens de ce calcul. Le considérant 16 de la directive laisse toutefois aux États la possibilité de tenir compte de l’indépendance d’une entité vis-à-vis de son groupe, en particulier lorsque ses systèmes d’information et ses services sont distincts. L’usage que la France fera de cette faculté dépend de la loi de transposition.
Cinq situations de PME
| Situation | Lecture |
|---|---|
| Fabricant de machines d’emballage, 120 salariés, société autonome | Activité de l’annexe II (fabrication de machines et équipements) et taille moyenne : entité importante. |
| Éditeur qui héberge son logiciel en ligne, 35 personnes, 12 M€ de chiffre d’affaires et 11 M€ de bilan | Les deux seuils financiers sont dépassés : entreprise moyenne. Reste à vérifier si le service répond à la définition du service d’informatique en nuage de l’annexe I. Si oui, entité importante. |
| Prestataire d’infogérance, 25 personnes, 3 M€ de chiffre d’affaires, société autonome | Activité visée par l’annexe I (fournisseur de services gérés), mais petite entreprise : hors périmètre. Ses clients concernés lui transmettront leurs exigences par contrat. |
| Bureau d’enregistrement de noms de domaine, 8 personnes | Concerné quelle que soit sa taille. |
| Négoce de fournitures industrielles, 80 salariés | Taille moyenne, mais activité absente des annexes : hors périmètre, sauf désignation par l’État. |
Ces lectures sont des exemples. La qualification d’une société réelle se fait sur ses comptes, son activité exacte et sa structure de détention.
Ce qui est attendu d’une PME concernée
Les dix familles de mesures de l’article 21 s’appliquent à toutes les entités, mais la directive les veut « appropriées et proportionnées ». Elle cite les critères de cette proportion : l’exposition de l’entité aux risques, sa taille, la probabilité des incidents et leur gravité, conséquences économiques et sociétales comprises. Le coût de mise en œuvre entre aussi en ligne de compte. Une PME n’a pas à reproduire le dispositif d’un grand groupe ; elle doit pouvoir expliquer ses choix.
Deux obligations sont les mêmes quelle que soit la taille. La direction approuve les mesures et en répond. Les incidents importants se signalent dans les délais fixés : alerte sous 24 heures, notification sous 72 heures, rapport final un mois plus tard.
Par où commencer avec une petite équipe
- Écrire la qualification : activité, effectif, montants, liens de groupe, sources et date. Une page suffit, à condition qu’elle existe.
- Désigner qui porte le sujet à la direction et qui est joignable en cas d’incident.
- Lister les services dont l’arrêt bloque l’activité, et les prestataires dont ils dépendent.
- Restaurer réellement une sauvegarde et noter le temps que cela prend.
- Étendre l’authentification à plusieurs facteurs à la messagerie, aux accès distants et aux comptes d’administration.
- Préparer la fiche de signalement : qui décide, qui rédige, à qui.
Questions fréquentes
Une PME concernée est-elle une entité essentielle ou importante ?
Les apprentis et les temps partiels comptent-ils dans l’effectif ?
Un fonds détient une part de notre capital : faut-il additionner ses données ?
Nous sommes sous les seuils : que change NIS2 pour nous ?
Comment une PME concernée se fait-elle connaître de l’autorité ?
Vérifier votre situation
L’évaluation guidée NIS2 passe en revue l’entité, le secteur, la taille, la gouvernance, les fournisseurs et les incidents. Elle prend environ six minutes et restitue une première lecture d’applicabilité. Pour un secteur précis, voir aussi NIS2 dans l’industrie.