À qui s’applique NIS2 ?

L’article 2, paragraphe 1, de NIS2 applique la directive aux entités publiques ou privées d’un type visé à l’annexe I ou II qui constituent des entreprises moyennes au sens de la recommandation 2003/361/CE, ou qui en dépassent les plafonds, et qui fournissent leurs services ou exercent leurs activités dans l’Union. Selon cette recommandation, une petite entreprise compte moins de 50 personnes et un chiffre d’affaires annuel ou un total du bilan annuel n’excédant pas 10 millions d’euros ; une entreprise moyenne compte moins de 250 personnes et un chiffre d’affaires n’excédant pas 50 millions d’euros ou un total du bilan n’excédant pas 43 millions d’euros.

Concrètement, une organisation d’un secteur listé entre dans le champ dès qu’elle n’est plus une petite ou une micro-entreprise. La recommandation agrège les données des entreprises partenaires et liées : une petite filiale d’un grand groupe peut donc franchir le seuil. Le critère de taille fixe aussi le niveau des entités de l’annexe I : selon l’article 3, paragraphe 1, point a), celles qui dépassent les plafonds des entreprises moyennes sont essentielles, tandis que les entreprises moyennes sont importantes, sauf si une autre règle les rend essentielles.

L’article 2, paragraphes 2 à 4, fait entrer dans le champ, quelle que soit leur taille :

• les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public, les prestataires de services de confiance, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS ;
• le fournisseur unique, dans un État membre, d’un service essentiel au maintien d’activités sociétales ou économiques critiques ;
• les entités dont la perturbation pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique, ou engendrer un risque systémique important ;
• les entités critiques en raison de leur importance particulière au niveau national ou régional ;
• les entités de l’administration publique de l’administration centrale, et celles de niveau régional à l’issue d’une évaluation fondée sur les risques ;
• les entités désignées comme entités critiques au titre de la directive (UE) 2022/2557 (CER) ;
• les entités fournissant des services d’enregistrement de noms de domaine.

Certaines entités sont toujours essentielles, comme les prestataires de services de confiance qualifiés, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS (article 3, paragraphe 1, point b)). L’article 2, paragraphe 7, exclut les entités de l’administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi.

En règle générale, une entité relève de la compétence de l’État membre dans lequel elle est établie (article 26, paragraphe 1) : chaque entité juridique d’un groupe s’évalue là où elle se trouve. Deux exceptions comptent. Les fournisseurs de réseaux ou de services de communications électroniques publics relèvent de chaque État membre où ils fournissent leurs services. Les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés et de services de sécurité gérés, ainsi que les places de marché en ligne, moteurs de recherche en ligne et plateformes de réseaux sociaux relèvent de l’État membre de leur établissement principal dans l’Union : celui où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité (article 26, paragraphe 2).

Si l’un de ces fournisseurs numériques n’est pas établi dans l’Union mais y propose ses services, il doit désigner un représentant dans l’un des États membres où il les propose (article 26, paragraphe 3). C’est l’une des voies par lesquelles NIS2 atteint des entreprises hors de l’UE, voir NIS2 s’applique-t-elle aux entreprises suisses ?.