Entités essentielles et importantes
Les entités essentielles et importantes sont les deux catégories d'organisations soumises à la directive NIS 2. Les premières, plus critiques, subissent un contrôle a priori ; les secondes un contrôle a posteriori, pour des obligations de sécurité comparables.
Cette définition couvre également les termes :
- NIS2
Définitions
Définition simple : que sont les entités essentielles et importantes de NIS 2 ?
Les entités essentielles et importantes désignent les deux catégories d'organisations soumises à la directive (UE) 2022/2555, dite NIS 2, selon leur secteur, leur taille et leur criticité, afin de proportionner l'intensité du contrôle de cybersécurité au risque que ferait peser leur défaillance sur la société.
Le classement ne change pas la nature des obligations : enregistrement auprès de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), mesures de gestion des risques, notification des incidents. Il change la manière dont l'autorité contrôle et le niveau des sanctions possibles. La directive NIS 2 elle-même fait l'objet d'une fiche distincte du glossaire.
Les entités essentielles
Ce sont, en principe, les grandes entités des secteurs hautement critiques (énergie, transports, santé, eau potable, eaux usées, infrastructures numériques, administration publique…), auxquelles s'ajoutent des entités visées quelle que soit leur taille, comme les administrations de l'État. Elles sont soumises à un contrôle a priori : inspections, audits réguliers, contrôles aléatoires.
Les entités importantes
Ce sont les autres entités des secteurs couverts, hautement critiques ou critiques (déchets, alimentation, services postaux, fournisseurs numériques…), qui ne sont pas essentielles. L'autorité les contrôle a posteriori, au vu d'indices de manquement.
La place des collectivités au 30 septembre 2026
La directive laisse à chaque État le choix d'inclure les administrations locales. En France, la loi de transposition n'est pas adoptée. Le texte de la commission spéciale de l'Assemblée nationale classe parmi les entités essentielles les Régions, les Départements, les communes de plus de 30 000 habitants, les communautés d'agglomération, les communautés urbaines et les métropoles, et parmi les entités importantes les communautés de communes. Ce classement reste un projet jusqu'au vote définitif.
Définition technique : critères de classement et obligations des entités NIS 2
Pour les entreprises, la directive NIS 2 (Network and Information Security) applique les seuils européens des petites et moyennes entreprises. Une entité d'un secteur hautement critique est essentielle au-delà de 250 salariés ou de 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de bilan ; une entité des secteurs couverts est importante à partir de 50 salariés ou de 10 millions d'euros de chiffre d'affaires et de bilan.
Les deux catégories appliquent les mêmes exigences :
- enregistrement auprès de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) : nom, coordonnées, plages d'adresses IP, secteur, toute modification étant signalée sous deux semaines ;
- dix mesures de gestion des risques (article 21), de l'analyse des risques à l'authentification à plusieurs facteurs ;
- notification des incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois ;
- formation obligatoire des organes de direction.
La différence porte sur la supervision. Une entité essentielle peut subir des inspections sur place, des audits de sécurité réguliers et des scans de sécurité sans incident préalable ; une entité importante fait l'objet de contrôles ex post.
L'ANSSI publie depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), document de travail non obligatoire qui distingue les mesures des deux catégories, et ouvre sur MonEspaceNIS2 un test d'éligibilité et un pré-enregistrement.
Définition juridique et réglementaire des entités essentielles et importantes
La directive (UE) 2022/2555 du 14 décembre 2022
L'article 3 de la directive définit les entités essentielles (grandes entités de l'annexe I, prestataires de services de confiance qualifiés, registres de domaines de premier niveau et fournisseurs de services DNS, administrations centrales, entités désignées par l'État) et les entités importantes (autres entités des annexes I et II). L'article 2, paragraphe 5, autorise les États à inclure les administrations publiques locales. Les articles 32 et 33 organisent la supervision, l'article 34 les amendes. La transposition était due au 17 octobre 2024 (article 41).
Une transposition en cours au 30 septembre 2026
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024, a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025 (texte n° 1779-A0). Sa discussion en séance publique est inscrite au 7 octobre 2026. Aucune loi n'est promulguée et aucun décret d'application n'est paru : les obligations ne s'appliquent pas encore aux collectivités.
Ce que prévoit le texte pour les collectivités
Les articles 8 et 9 du texte de la commission listent les collectivités et groupements classés entités essentielles ou importantes. L'article 37 exclut les collectivités territoriales, leurs groupements et leurs établissements publics administratifs des amendes administratives. La collectivité peut dès maintenant tester son éligibilité et se pré-enregistrer auprès de l'ANSSI.
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Établir son statut et se pré-enregistrer | Une intercommunalité passe le test d'éligibilité de MonEspaceNIS2, identifie sa catégorie probable et celle de ses régies, puis se pré-enregistre auprès de l'ANSSI. Retour d'expérience à venir sur ce cas d'usage. | Un statut connu avant l'entrée en vigueur, un calendrier de mise en conformité anticipé. |
| Former les agents et l'encadrement aux risques cyber | Deux collectivités conçoivent un jeu interactif pour ancrer les bons réflexes des agents face aux cyberattaques, dans l'esprit de l'obligation de formation que la directive fixe aux organes de direction et encourage pour le personnel. Retour d'expérience. |
Des agents qui détectent et signalent les incidents, première ligne de la gestion des risques. |
| Disposer d'un premier recours en cas d'incident | Une Région crée un centre régional de réponse aux incidents qui oriente les collectivités et les entreprises attaquées vers des prestataires de confiance, en lien avec l'ANSSI. Retour d'expérience. |
Une réponse rapide aux incidents, condition du respect des délais de notification. |
| Aligner ses mesures sur le ReCyF | Une collectivité compare ses mesures de sécurité existantes au Référentiel Cyber France (ReCyF) de l'ANSSI et bâtit un plan d'action pour combler les écarts avant l'adoption de la loi. Retour d'expérience à venir sur ce cas d'usage. | Une conformité préparée, des investissements hiérarchisés. |
