Les 18 secteurs concernés par NIS2

NIS2 élargit fortement le champ des entreprises concernées, en couvrant 18 secteurs. Ils sont répartis en deux groupes. Voici la liste pour savoir si le vôtre en fait partie.

Les secteurs hautement critiques

Ce premier groupe rassemble les secteurs jugés les plus sensibles :

1. Énergie
2. Transports
3. Banque
4. Infrastructures des marchés financiers
5. Santé
6. Eau potable
7. Eaux usées
8. Infrastructure numérique (centres de données, cloud, réseaux…)
9. Gestion des services informatiques (prestataires interentreprises)
10. Administration publique
11. Espace

Les autres secteurs critiques

Ce second groupe couvre des secteurs également concernés :

12. Services postaux et d'expédition
13. Gestion des déchets
14. Fabrication, production et distribution de produits chimiques
15. Production, transformation et distribution de denrées alimentaires
16. Fabrication (dispositifs médicaux, produits informatiques et électroniques, machines, véhicules et autres équipements)
17. Fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux)
18. Recherche

Mon secteur n'est pas dans la liste : suis-je tranquille ?

Pas forcément. Deux points à garder en tête :

• Être dans un secteur ne suffit pas : il faut aussi atteindre une certaine taille pour être directement régulé. Une petite structure d'un secteur concerné peut ne pas l'être directement.
• L'effet cascade dépasse la liste : même si votre secteur n'y figure pas, si vous êtes fournisseur d'une entreprise régulée, elle vous imposera ses exigences de sécurité. Beaucoup de PME sont concernées de cette façon, sans figurer dans aucun secteur.

En résumé

NIS2 couvre 18 secteurs, répartis entre secteurs hautement critiques et autres secteurs critiques. Mais la vraie portée de la directive va plus loin : par la chaîne d'approvisionnement, elle atteint des entreprises de tous secteurs. Regarder la liste est un premier réflexe, vérifier qui sont vos clients en est un second.

FAQ

Comment savoir si mon secteur est vraiment concerné ? Repérez votre activité dans les deux listes ci-dessus, puis vérifiez votre taille. Les deux critères se combinent.

Mon secteur n'y est pas, mais mes clients oui : que se passe-t-il ? Ils vous transmettront leurs exigences de sécurité par contrat. Vous êtes alors concerné indirectement.

La liste peut-elle évoluer ? Oui, le périmètre peut être précisé au niveau national lors de la transposition.