NIS2 ne couvre qu’une partie de l’industrie manufacturière : les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro, et les entreprises actives dans les divisions 26 à 30 de la NACE Rév. 2 (électronique, équipements électriques, machines, véhicules automobiles, autres matériels de transport). Celles qui comptent 50 salariés ou plus, ou dont le chiffre d’affaires et le total du bilan dépassent tous deux 10 millions d’euros, sont concernées, normalement en tant qu’entités importantes.
Ce guide présente la liste de l’annexe II, le sens des divisions NACE, le critère de taille, les équipementiers automobiles, les concessionnaires, le statut d’entité essentielle ou importante, les obligations applicables, ce que le texte laisse ouvert et une liste de contrôle.
| Point de l’annexe II | Sous-secteur, selon le texte | Qui est couvert |
|---|---|---|
| 5(a) | Fabrication de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro | Fabricants au sens du MDR et de l’IVDR, sauf les dispositifs critiques de l’annexe I |
| 5(b) | Fabrication de produits informatiques, électroniques et optiques | NACE Rév. 2, section C, division 26 |
| 5(c) | Fabrication d’équipements électriques | Division 27 |
| 5(d) | Fabrication de machines et équipements n.c.a. | Division 28 |
| 5(e) | Construction de véhicules automobiles, remorques et semi-remorques | Division 29 |
| 5(f) | Fabrication d’autres matériels de transport | Division 30 |
Quels fabricants sont concernés par NIS2 ?
L’annexe II, point 5, compte six sous-secteurs. Cinq reprennent le même libellé, seul le numéro de division change :
« Entreprises exerçant l’une des activités économiques visées dans la NACE Rév. 2, section C, division 26 »
Le sixième, le point 5(a), n’est pas défini par référence à la NACE :
« Entités fabriquant des dispositifs médicaux au sens de l’article 2, point 1), du règlement (UE) 2017/745 […] et entités fabriquant des dispositifs médicaux de diagnostic in vitro au sens de l’article 2, point 2), du règlement (UE) 2017/746 […], à l’exception des entités fabriquant des dispositifs médicaux mentionnés à l’annexe I, point 5, cinquième tiret, de la présente directive »
L’exception renvoie à l’annexe I, secteur de la santé : les fabricants de dispositifs médicaux considérés comme critiques en cas d’urgence de santé publique, qui figurent sur la liste établie en vertu de l’article 22 du règlement (UE) 2022/123.
Notez les mots « l’une des activités économiques ». Dans la même annexe, la rubrique de la gestion des déchets exclut les entreprises pour lesquelles la gestion des déchets « n’est pas la principale activité économique ». Les rubriques de la fabrication ne prévoient pas une telle limite : une activité secondaire peut donc suffire à faire entrer une entreprise dans le champ. Les lois nationales peuvent restreindre cette portée : la loi allemande permet à une entité de ne pas tenir compte des activités négligeables au regard de l’ensemble de ses activités (§ 28(3) BSIG).
Quels fabricants ne sont pas visés ?
Les produits pharmaceutiques (division 21) relèvent de l’annexe I, secteur de la santé. Les produits chimiques et l’alimentation sont des secteurs distincts de l’annexe II, définis par REACH et par la législation alimentaire de l’UE. Le reste de la section C n’entre pas dans la rubrique, par exemple les produits en plastique (groupe 22.2), les produits métalliques hors machines et équipements (division 25) et la réparation et l’installation de machines et d’équipements (division 33). Être hors du point 5 ne veut pas toujours dire être hors de NIS2 : la rubrique des produits chimiques, annexe II, point 3, couvre aussi les entreprises qui produisent des articles, au sens de REACH, à partir de substances ou de mélanges. Vérifiez comment votre loi nationale et votre autorité l’interprètent.
Que signifie la section C, division 26, de la NACE Rév. 2 ?
La NACE Rév. 2 est la nomenclature statistique des activités économiques de l’UE. La section C s’intitule « Industrie manufacturière ». Les divisions ont deux chiffres, les groupes trois (29.3) et les classes quatre (29.31). « Section C, division 26 » désigne l’ensemble de la division 26, la fabrication de produits informatiques, électroniques et optiques. « n.c.a. » signifie non classés ailleurs.
| Division | Intitulé NACE Rév. 2 | Contenu, par groupe |
|---|---|---|
| 26 | Fabrication de produits informatiques, électroniques et optiques | Composants et cartes électroniques (26.1) ; ordinateurs et équipements périphériques (26.2) ; équipements de communication (26.3) ; produits électroniques grand public (26.4) ; instruments et appareils de mesure, d’essai et de navigation, horlogerie (26.5) ; équipements d’irradiation médicale, équipements électromédicaux et électrothérapeutiques (26.6) ; matériels optique et photographique (26.7) ; supports magnétiques et optiques (26.8) |
| 27 | Fabrication d’équipements électriques | Moteurs, génératrices et transformateurs électriques et matériel de distribution et de commande électrique (27.1) ; piles et accumulateurs électriques (27.2) ; fils et câbles et matériel d’installation électrique (27.3) ; appareils d’éclairage électrique (27.4) ; appareils ménagers (27.5) ; autres matériels électriques (27.9) |
| 28 | Fabrication de machines et équipements n.c.a. | Machines d’usage général (28.1) ; autres machines d’usage général, comme le matériel de levage et de manutention (28.2) ; machines agricoles et forestières (28.3) ; machines de formage des métaux et machines-outils (28.4) ; autres machines d’usage spécifique (28.9) |
| 29 | Industrie automobile | Véhicules automobiles (29.1) ; carrosseries, remorques et semi-remorques (29.2) ; équipements automobiles, c’est-à-dire pièces et accessoires pour véhicules automobiles (29.3) |
| 30 | Fabrication d’autres matériels de transport | Construction navale (30.1) ; locomotives et autre matériel ferroviaire roulant (30.2) ; construction aéronautique et spatiale (30.3) ; véhicules militaires de combat (30.4) ; matériels de transport n.c.a., comme les motocycles et les bicyclettes (30.9) |
La NACE classe des activités, pas des entreprises : partez de ce que fait chaque site, et non du code inscrit au registre. Un fabricant de dispositifs médicaux classé ailleurs, par exemple dans le groupe 32.5 (instruments et fournitures à usage médical et dentaire), reste couvert par le point 5(a). Une approche raisonnable consiste à consigner la décision pour chaque entité juridique :
CARTOGRAPHIE NIS2 DES ACTIVITÉS DE FABRICATION
Entité juridique : [nom, numéro d'immatriculation]
Code enregistré : [code, NACE Rév. 2 ou Rév. 2.1]
Catégorie de taille : [moyenne / grande, avec les données du groupe]
Activité NACE Rév. 2 Point annexe Effectif CA
[Assemblage d'ECU] 29.31 II 5(e) [ ] [ ]
[Réparation de véhicules] 45.2 aucun [ ] [ ]
[Dispositif soumis au MDR] s.o. II 5(a) [ ] [ ]
Activité négligeable ? [règle nationale éventuelle et justification]
Résultat : [hors champ / importante / essentielle si identifiée]
Revu par, date : [nom, fonction], [date]NACE Rév. 2 ou NACE Rév. 2.1 ?
Les annexes de la directive renvoient à la NACE Rév. 2. La NACE Rév. 2.1, établie par le règlement délégué (UE) 2023/137 de la Commission, est utilisée pour les statistiques européennes à partir de 2025. En pratique, si votre inscription au registre affiche désormais un code Rév. 2.1, utilisez les tables de correspondance d’Eurostat pour retrouver la classe Rév. 2 avant de conclure.
Le seuil de taille de NIS2 s’applique-t-il aux fabricants ?
Oui. L’article 2(1) exige que l’entité soit au moins une moyenne entreprise au sens de la recommandation 2003/361/CE : 50 salariés ou plus, ou un chiffre d’affaires et un total du bilan dépassant tous deux 10 millions d’euros. Les entreprises liées sont comptées en totalité et les entreprises partenaires au prorata : une filiale de 40 personnes d’un grand groupe peut donc être une grande entreprise. Le considérant 16 permet aux États membres de tenir compte du degré d’indépendance de ses systèmes et services.
Les fabricants plus petits sont exclus, sauf si leur État membre les identifie en vertu de l’article 2(2) ou comme entités critiques au sens de la directive CER (article 2(3)). Le vérificateur de champ d’application NIS2 donne une première réponse à partir du secteur, de l’effectif et du chiffre d’affaires.
Les équipementiers automobiles sont-ils concernés ?
Beaucoup le sont. La division 29 comprend le groupe 29.3, « Fabrication d’équipements automobiles », avec deux classes : les équipements électriques et électroniques automobiles (29.31) et les autres équipements automobiles (29.32). Un équipementier au moins de taille moyenne actif dans ce groupe est concerné au titre du point 5(e). Les fabricants de composants électroniques (26.1) et de batteries (27.2) le sont au titre des points 5(b) et 5(c). Les pneumatiques (22.11), les pièces en plastique (22.2) et les pièces de fonderie (24.5) sont hors du point 5, même si la rubrique des produits chimiques décrite plus haut peut encore s’appliquer.
Hors champ ne veut pas dire non concerné. Vos clients soumis à NIS2 doivent tenir compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct » et de leurs pratiques de cybersécurité (article 21(3)). En pratique, cela vous arrive sous forme de questionnaires, de clauses contractuelles et de droits d’audit : voir la sécurité de la chaîne d’approvisionnement NIS2.
Les concessionnaires automobiles sont-ils concernés ?
Pas en tant que concessionnaires. Le commerce de véhicules automobiles correspond au groupe NACE 45.1, dans la section G, « Commerce ; réparation d’automobiles et de motocycles », à côté de l’entretien et de la réparation (45.2) et du commerce d’équipements automobiles (45.3). Aucune des deux annexes ne les vise.
Deux réserves. Un groupe de concessions qui exerce aussi une activité visée est évalué au regard de cette activité. Exploiter un point de recharge qui fournit un service de recharge aux utilisateurs finals, par exemple, est un type d’entité du secteur de l’énergie de l’annexe I. Et en pratique, les constructeurs et importateurs soumis à NIS2 peuvent imposer des exigences de sécurité aux concessionnaires connectés à leurs systèmes de commande, de garantie ou de diagnostic. C’est un contrat, pas l’application de NIS2 au concessionnaire.
Les fabricants sont-ils des entités essentielles ou importantes ?
Importantes, en règle générale, quelle que soit leur taille. La règle de taille pour le statut d’entité essentielle, l’article 3(1)(a), ne vise que l’annexe I ; toute entité relevant du champ d’application qui ne figure pas à l’article 3(1) est importante (article 3(2)). Un fabricant de l’annexe II n’est essentiel que si :
- son État membre l’identifie comme entité essentielle en vertu de l’article 2(2), points b) à e), par exemple parce qu’une perturbation pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique (article 3(1)(e)) ;
- il est une entité critique au sens de la directive CER, (UE) 2022/2557 (article 3(1)(f)) ;
- l’État membre le prévoit pour les opérateurs de services essentiels qu’il a identifiés avant le 16 janvier 2023 (article 3(1)(g)).
Les fabricants de dispositifs figurant sur la liste des dispositifs critiques sont des entités de l’annexe I : un grand fabricant de ce type est donc essentiel.
Les entités importantes font l’objet d’une supervision a posteriori, sur la base de preuves ou d’indications de non-conformité (article 33). Les amendes maximales doivent s’élever à au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 34). Voir entités essentielles et entités importantes.
Que doivent faire les fabricants soumis à NIS2 ?
Les obligations sont les mêmes pour les entités essentielles et importantes et s’appliquent à vous par le droit national. Tous les États membres n’ont pas respecté le délai de transposition du 17 octobre 2024 : vérifiez le vôtre.
- Organe de direction (article 20) : approuve les mesures de gestion des risques en matière de cybersécurité, supervise leur mise en œuvre et peut être tenu responsable des violations de l’article 21. Ses membres doivent suivre une formation. Voir la responsabilité des organes de direction dans NIS2.
- Mesures (article 21) : des mesures appropriées et proportionnées pour les réseaux et systèmes d’information « que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services », avec au moins les dix de l’article 21(2). En pratique, pour un fabricant, cela inclut les systèmes de production. Voir les 10 mesures de l’article 21.
- Notification des incidents (article 23) : pour un incident important, une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d’incident dans les 72 heures et un rapport final au plus tard un mois après cette notification. Important signifie une perturbation opérationnelle grave ou une perte financière pour l’entité, réelle ou potentielle, ou un dommage considérable causé à d’autres. Voir le calendrier de notification des incidents NIS2.
- Enregistrement (article 3(4)) : nom, coordonnées y compris les plages d’adresses IP, secteur et sous-secteur, États membres où les services sont fournis ; toute modification dans un délai de deux semaines.
NIS2 couvre la sécurité de votre organisation, pas celle des produits que vous vendez. Celle-ci relève du règlement sur la cyberrésilience (CRA), règlement (UE) 2024/2847 : ses obligations de signalement pour les fabricants s’appliquent depuis le 11 septembre 2026, et ses principales obligations s’appliquent à partir du 11 décembre 2027.
Ce que NIS2 ne règle pas dans l’usine
L’article 21 ne distingue pas l’informatique de bureau des technologies de production. Restent des questions auxquelles les dix rubriques ne répondent pas :
- des automates qui ne peuvent pas être corrigés sans le constructeur de la machine ;
- des intégrateurs disposant d’un accès permanent de télémaintenance ;
- des réseaux plats où un ordinateur portable de bureau infecté peut atteindre la ligne de production ;
- aucun inventaire de ce qui est connecté en production.
Ce que leur traitement donne en pratique : les actifs de production dans le même inventaire que l’informatique, mesure (i). Une segmentation entre bureau et production, avec des exceptions documentées. Un seul accès contrôlé pour la télémaintenance des fournisseurs, avec MFA, journalisation et limites de durée, mesures (d) et (j). Des mesures compensatoires consignées pour chaque système qui ne peut pas être corrigé. Une restauration testée des configurations des machines, pas seulement des serveurs, mesure (c).
Le plus difficile est de montrer que tout cela tient encore six mois plus tard : MFA sur chaque compte distant, accès des fournisseurs expirés à temps, restauration toujours fonctionnelle. Sur la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle, ces preuves sont collectées depuis vos systèmes et les exceptions sont soumises à une personne pour examen. Le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle NIS2 pour l’industrie manufacturière
- Rattachez chaque activité de chaque entité juridique à une classe NACE Rév. 2, et pas seulement au code enregistré.
- Si vous fabriquez des dispositifs médicaux ou des DIV, vérifiez le point 5(a) et la liste des dispositifs critiques.
- Calculez la taille à partir des derniers comptes approuvés, avec les données des entreprises liées et partenaires.
- Consignez si vous êtes une entité importante ou si vous avez été identifié comme entité essentielle.
- Enregistrez-vous auprès de votre autorité nationale et signalez les modifications dans un délai de deux semaines.
- Consignez l’approbation des mesures de l’article 21 par l’organe de direction et la formation de ses membres.
- Testez le circuit d’alerte précoce en 24 heures, y compris pour un arrêt de production.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 33 et 34, considérant 16, annexe I, points 1 et 5, annexe II, points 2, 3 et 5, EUR-Lex.
- Règlement (CE) n° 1907/2006 (REACH), article 3, EUR-Lex.
- Règlement (UE) 2017/745 relatif aux dispositifs médicaux, article 2(1), EUR-Lex.
- Règlement (UE) 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro, article 2(2), EUR-Lex.
- Règlement (UE) 2022/123, article 22, EUR-Lex.
- Recommandation 2003/361/CE de la Commission (définition des PME), EUR-Lex.
- Directive (UE) 2022/2557 (directive CER), EUR-Lex.
- NACE Rév. 2, section C et section G, Office des publications de l’Union européenne.
- Eurostat, NACE et NACE Rév. 2.1 ; règlement délégué (UE) 2023/137 de la Commission, EUR-Lex.
- BSI, FAQ générale sur NIS-2, sur le § 28(3) BSIG.
- Commission européenne, règlement sur la cyberrésilience, règlement (UE) 2024/2847.
Questions fréquentes
NIS2 s'applique-t-elle aux entreprises de l'industrie manufacturière ?
Seulement à certaines. L'annexe II vise les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro, ainsi que les entreprises exerçant des activités relevant des divisions 26 à 30 de la NACE Rév. 2. Elles sont concernées si elles comptent 50 salariés ou plus, ou si leur chiffre d'affaires et leur total du bilan dépassent tous deux 10 millions d'euros.
Que signifie la section C, division 26, de la NACE Rév. 2 ?
La section C de la NACE Rév. 2, la nomenclature européenne des activités économiques, correspond à l'industrie manufacturière. La division 26 est la fabrication de produits informatiques, électroniques et optiques, des composants et cartes électroniques aux ordinateurs, aux équipements de communication, aux instruments de mesure et au matériel optique.
Les équipementiers automobiles sont-ils concernés par NIS2 ?
Les fabricants de pièces et d'accessoires pour véhicules automobiles relèvent du groupe NACE 29.3, qui fait partie de la division 29, visée à l'annexe II. Les fournisseurs dont l'activité est classée ailleurs, comme les pneumatiques (classe 22.11), ne sont pas couverts par la rubrique de la fabrication. La rubrique des produits chimiques de l'annexe II, qui couvre aussi la production d'articles à partir de substances ou de mélanges, peut néanmoins s'appliquer.
Les concessionnaires automobiles sont-ils concernés par NIS2 ?
Pas en tant que concessionnaires. Le commerce de véhicules automobiles correspond au groupe NACE 45.1, dans la section G, qu'aucune des deux annexes ne vise. Les constructeurs et les importateurs peuvent toutefois exiger contractuellement des mesures de sécurité de leurs concessionnaires, mais ce n'est pas NIS2 qui s'applique alors au concessionnaire.
Les fabricants soumis à NIS2 sont-ils des entités essentielles ou importantes ?
Importantes, en règle générale, quelle que soit leur taille. Un fabricant de l'annexe II n'est essentiel que si son État membre l'identifie en vertu de l'article 2(2), points b) à e), s'il est une entité critique au sens de la directive CER, ou si le droit national le maintient comme ancien opérateur de services essentiels.
