La Directive NIS 2 élargit significativement le champ d’application de la directive précédente, couvrant une large gamme d’entités dans divers secteurs considérés comme essentiels ou importants pour le maintien des services sociaux et économiques critiques. Voici une liste non exhaustive des entreprises et secteurs concernés par la Directive NIS 2 :

• Secteurs des infrastructures essentielles :
• Énergie (électricité, gaz, et pétrole)
• Transports (aérien, maritime, ferroviaire, et routier)
• Banque
• Infrastructures du marché financier
• Santé (hôpitaux et laboratoires de diagnostic)
• Approvisionnement en eau potable
• Traitement des eaux usées
• Secteurs numériques :
• Fournisseurs de services cloud
• Centres de traitement de données
• Fournisseurs de services DNS
• Fournisseurs de services d’échange de trafic internet
• Autres secteurs et entreprises :
• Administrations publiques et leurs sous-traitants
• Entreprises dans le domaine de l’espace
• Fabricants d’appareils médicaux critiques
• Entreprises dans le secteur des produits chimiques
• Entreprises dans le secteur alimentaire
• Entreprises dans le secteur postal et de courrier
• Entreprises dans le secteur de la gestion des déchets
• Entreprises dans le secteur de la fabrication numérique

La Directive NIS 2 introduit également des catégories plus larges pour inclure des entités de taille moyenne et grande qui fournissent des services essentiels dans ces secteurs, étendant ainsi la responsabilité de la mise en œuvre des mesures de cybersécurité.

La Directive NIS 2 a élargi le champ d’application par rapport à sa prédécesseure, la Directive NIS, pour inclure un plus grand nombre d’entités, y compris potentiellement certaines PME (Petites et Moyennes Entreprises) et TPE (Très Petites Entreprises), en fonction de leur rôle dans les secteurs considérés comme essentiels ou importants. Cependant, l’application de la directive aux PME et TPE dépend de plusieurs critères, notamment :

1. Secteur d’activité : Les entreprises opérant dans les secteurs identifiés comme essentiels ou importants par la directive sont plus susceptibles d’être concernées. Cela inclut l’énergie, les transports, la santé, les infrastructures numériques, et d’autres secteurs clés.
2. Importance pour l’économie : Les PME et TPE qui fournissent des services ou exercent des activités considérés comme vitaux pour le maintien des services sociaux et économiques critiques peuvent être incluses.
3. Risque et impact : Les entreprises dont l’interruption des services ou des activités pourrait avoir un impact significatif sur la sécurité publique, la santé, ou l’économie sont plus susceptibles d’être concernées par la directive.
4. Taille de l’entreprise : Bien que la directive cible principalement les opérateurs d’importance vitale et les fournisseurs de services numériques, des critères spécifiques peuvent être appliqués pour déterminer si les PME et TPE sont soumises à certaines obligations, surtout si elles jouent un rôle crucial dans la chaîne d’approvisionnement ou dans la prestation de services essentiels.
5. Critères spécifiques nationaux : Les États membres de l’UE ont la possibilité d’adapter certains critères de la directive pour mieux correspondre à leur contexte national. Cela pourrait inclure des ajustements spécifiques relatifs à l’application de la directive aux PME et TPE.

En résumé, bien que la Directive NIS 2 soit principalement axée sur les entités plus grandes et celles qui sont critiques pour les infrastructures nationales et européennes, certaines PME et TPE peuvent être concernées si elles remplissent les critères définis au niveau européen ou national.