Points essentiels à retenir
La directive européenne est publiée, mais sa transposition française n’est pas achevée. Au 15 septembre 2026, il faut distinguer le texte européen, les règles françaises déjà en vigueur et le projet encore en parcours parlementaire. Nous recommandons donc de qualifier les situations avec des réserves explicites et une date de révision.
La directive (UE) 2022/2555 publiée sur EUR-Lex a été adoptée le 14 décembre 2022 et publiée au JOUE L 333 du 27 décembre 2022. Son article 41 fixait au 17 octobre 2024 la date limite de transposition et au 18 octobre 2024 l’application des dispositions nationales.
Ces dates européennes ne permettent pas de présenter comme définitivement opposables en France les modalités figurant dans un projet de loi. Le dossier législatif de l’Assemblée nationale s’arrête, au 15 septembre 2026, au rapport n° 1779 et au texte de commission n° 1779-A0, déposés le 10 septembre 2025. Aucune adoption en première lecture par l’Assemblée nationale n’y est enregistrée.
Le texte n° 1112 avait auparavant fait l’objet de 505 amendements en commission spéciale. Il serait donc juridiquement imprudent de reprendre comme acquis un seuil français, un montant de sanction, un choix sectoriel ou une modalité d’enregistrement tirés du projet. Notre analyse reste volontairement limitée au champ d’application, aux données préparatoires et aux relations contractuelles portant sur les échanges numériques.
L’ANSSI a ouvert le service de pré-enregistrement NIS 2 le 24 novembre 2025, dans l’attente de l’entrée en vigueur de l’enregistrement obligatoire. Au 15 septembre 2026, cette démarche reste volontaire et anticipative : elle ne vaut ni décision administrative d’assujettissement ni qualification juridique.
Le simulateur de MonEspaceNIS2 est également présenté comme un outil bêta à valeur indicative par l’ANSSI. Il aide à structurer l’analyse, mais ne remplace pas l’examen des activités de l’entité, des définitions auxquelles renvoient les annexes et de ses liens capitalistiques.
Article à reprendre dès l’adoption en séance publique à l’Assemblée nationale, puis lors de la promulgation et de la publication des textes réglementaires. Generix appliquera cette clause de péremption aux conclusions sectorielles, aux modalités d’enregistrement et aux références au droit français.
Ce guide n’aborde pas la gouvernance cyber, le détail du ReCyF ou d’ISO 27001, le plan interne de réponse à incident, les régimes REC ou OIV, ni DORA.
La qualification suit trois branches successives : type d’entité, taille pertinente et cas particuliers. Un bâtiment, un entrepôt ou une fonction transport ne constitue pas l’unité d’analyse. Notre méthode part de la personne morale qui fournit le service ou exerce l’activité.
Commencez par identifier la société qui contracte, facture, emploie les équipes et porte l’activité. Une marque, une business unit, un établissement secondaire ou un site logistique ne doit pas être analysé isolément s’il ne dispose pas de personnalité morale.
Pour chaque entité, documentez ensuite le rattachement à un type précis des annexes I ou II. L’ANSSI rappelle que la qualification doit s’appuyer sur les définitions auxquelles les annexes renvoient et qu’il appartient à l’entité de déterminer sa situation. Un code d’activité, une appellation commerciale ou le mot « logistique » ne suffit pas.
La directive s’appuie, dans son cas général, sur la définition européenne des PME. La recommandation 2003/361/CE du 6 mai 2003 définit la petite entreprise par un effectif inférieur à 50 personnes et un chiffre d’affaires ou un bilan n’excédant pas 10 millions d’euros. La moyenne entreprise occupe moins de 250 personnes, avec un chiffre d’affaires n’excédant pas 50 millions d’euros ou un bilan n’excédant pas 43 millions d’euros.
Le calcul ne se limite pas toujours aux comptes sociaux de la société examinée. L’article 6 prévoit l’agrégation proportionnelle des données des entreprises partenaires et l’ajout à 100 % des données des entreprises liées qui ne figurent pas déjà dans les comptes consolidés. Les critères portent sur l’ensemble des activités de l’entité, pas uniquement sur l’activité susceptible de relever d’une annexe.
Après l’analyse sectorielle et le calcul de taille, vérifiez les portes d’entrée prévues quelle que soit la taille, notamment pour certains types de services, les entités critiques et les situations liées à une importance particulière. La directive laisse également une place à des décisions nationales.
La fiche de qualification doit donc séparer la conclusion fondée directement sur la directive de toute hypothèse dépendant encore d’un choix français. Generix conseille de retenir quatre statuts internes : « probablement dans le champ », « probablement hors champ », « analyse complémentaire requise » et « dépend de la transposition ou d’une désignation ».
Le mot “transport” ne crée pas un assujettissement général. Les annexes visent des catégories définies : autorités routières, exploitants de systèmes de transport intelligents, prestataires de la chaîne postale ou certaines entreprises alimentaires. Generix recommande de tester chaque porte sectorielle séparément.
L’annexe I, point 2 d), énumère seulement deux catégories au titre du transport routier : les autorités routières chargées du contrôle de la gestion de la circulation et les exploitants de systèmes de transport intelligents. Elle ne vise pas le transporteur routier de marchandises en tant que tel.
Une entreprise de transport ne doit toutefois pas arrêter son analyse à ce constat. Une autre activité de la même personne morale peut correspondre à un type distinct des annexes. Il faut aussi vérifier si l’entité exploite réellement un service entrant dans une définition de renvoi, au lieu de déduire sa situation de son métier principal ou de sa convention collective.
Pour les services postaux et d’expédition, le considérant 12 couvre les prestataires participant à au moins une étape de la chaîne postale : levée, tri, transport ou distribution des envois postaux, y compris les services d’enlèvement. Il exclut les transports qui ne sont pas réalisés en lien avec l’une de ces étapes.
Une activité de messagerie, de colis ou de dernier kilomètre requiert donc une analyse fonctionnelle : nature des envois, place dans la chaîne, opérations réalisées et cadre contractuel. Notre article sur la logistique urbaine et le dernier kilomètre complète cette lecture métier, sans traiter la qualification NIS 2.
L’annexe II mentionne les entreprises du secteur alimentaire qui exercent des activités de distribution en gros ainsi que de production et de transformation industrielles. L’orientation publiée par l’ANSSI sur les activités alimentaires indique que ces activités sont comprises comme non cumulatives.
Selon cette lecture, une entité exerçant la seule distribution alimentaire en gros pourrait correspondre au type sectoriel, sous réserve des autres critères. Cette position d’orientation ne possède toutefois pas la force juridique d’une loi de transposition. Pour un 3PL, il faut en outre déterminer si la personne morale exerce elle-même l’activité alimentaire visée ou fournit seulement une prestation logistique pour le compte d’un client. Notre guide consacré au WMS 3PL, au multi-clients et à l’onboarding EDI permet d’identifier les responsabilités opérationnelles qui devront être rapprochées de l’analyse juridique.
Préparez les données factuelles sans transformer le dossier en déclaration définitive d’assujettissement. L’objectif est de pouvoir expliquer rapidement l’identité de l’entité, son rattachement sectoriel, sa taille, son exposition internet et les hypothèses retenues. Nous conseillons de dater chaque élément et d’en désigner le responsable.
L’article 3 prévoit au minimum le nom, l’adresse, les coordonnées actualisées, les adresses électroniques, les plages IP exposées sur Internet, le secteur ou sous-secteur et les États membres où les services concernés sont fournis. La liste préparatoire publiée par l’ANSSI reprend ces catégories. Une modification doit être signalée dans un délai de deux semaines.
Conservez les comptes utilisés, la période de référence, le calcul des effectifs et l’organigramme capitalistique. Pour chaque participation, précisez le pourcentage de capital, les droits de vote, la qualification autonome, partenaire ou liée, ainsi que le traitement appliqué aux données.
Notre recommandation consiste à joindre une note d’hypothèses : périmètre consolidé, données manquantes, divergence éventuelle entre capital et droits de vote, activité retenue et points dépendant encore de la loi française. Ce dossier rend la décision reproductible et révisable, sans prétendre conclure à la place du législateur, de l’autorité compétente ou du conseil juridique de l’entreprise.
Un client régulé peut imposer contractuellement des exigences à un 3PL ou à un transporteur hors champ direct. Ces clauses participent à sa propre maîtrise du risque fournisseur, mais elles ne transforment pas automatiquement le prestataire en entité régulée. Generix recommande de relier chaque engagement à un flux, une responsabilité et une preuve vérifiable.
| Clause | Demande possible du donneur d’ordre | Points à négocier | Preuves d’exploitation |
|---|---|---|---|
| Cartographie des échanges | Identifier les flux EDI/API critiques, partenaires, applications et sous-traitants | Périmètre exact, propriété des données, responsabilités aux interfaces | Inventaire des flux, matrice des partenaires, dossiers de mapping |
| Notification d’incident | Alerter le client lorsqu’un incident affecte ses échanges ou son service | Événement déclencheur, canal, contenu, confidentialité et délai contractuel | Horodatages, tickets, accusés, journal des communications |
| Supervision et journalisation | Tracer l’émission, la réception, la transformation, le rejet et le rejeu | Durée de conservation, accès aux journaux, séparation des clients | Statuts de transaction, alertes, traces techniques et métier |
| Gestion des accès | Limiter les accès aux plateformes et interfaces | Rôles, habilitations, comptes techniques, revues et révocations | Registre des accès et historique des modifications |
| Protocoles et certificats | Encadrer les canaux EDI, API et MFT ainsi que leurs certificats | Responsable du renouvellement, préavis, tests et procédure d’urgence | Inventaire, dates d’expiration, résultats de tests |
| Continuité et mode dégradé | Maintenir ou rétablir les échanges critiques | Priorités, reprise, rejeu, rapprochement et responsabilités opérationnelles | Procédures de rejeu, files d’attente et rapports d’exception |
| Réversibilité | Restituer les données et faciliter le transfert du service | Formats, délais, coûts, assistance et suppression résiduelle | Export documenté, dictionnaire des données et procès-verbal |
L’article 23 organise, pour l’entité régulée envers le CSIRT ou l’autorité compétente, une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final au plus tard un mois après la notification. Il ne crée pas directement un délai fournisseur-client. Le contrat peut prévoir une alerte plus rapide afin que le donneur d’ordre puisse analyser l’incident et tenir ses propres échéances.
Pour cadrer les choix techniques sans confondre technologie et obligation juridique, vous pouvez consulter notre comparatif entre EDI, Web EDI et API. La définition détaillée de l’EDI est également disponible dans notre glossaire.
Une qualification défendable est datée, sourcée, versionnée et reliée aux interfaces réellement exploitées. Elle doit rester compréhensible lorsque l’activité, l’actionnariat, le client, le flux ou le droit applicable évolue. Notre approche associe donc le dossier juridique à une cartographie opérationnelle des échanges.
Conservez une fiche par entité juridique et non un diagnostic global « groupe » ou « site logistique ». Cette fiche doit indiquer la date d’analyse, les activités testées, les annexes examinées, les calculs de taille, les cas particuliers, la conclusion provisoire et le prochain événement déclenchant une revue.
Dans une supply chain connectée et collaborative, la qualification réglementaire ne suffit pas. Les fournisseurs, transporteurs, 3PL, donneurs d’ordre et applications partagent des flux dont les responsabilités doivent être explicites : production de la donnée, transformation, transport, réception, rejet, correction, conservation et notification.
Generix accompagne cette traçabilité avec une supervision unifiée des transactions B2B, API, MFT et EDI, ainsi qu’une bibliothèque de mappings pour l’onboarding des partenaires. À juin 2026, notre réseau EDI documente plus de 300 interconnexions, une présence dans 50 pays, plus de 3 000 maps B2B et plus de 30 protocoles. Ces capacités facilitent l’interopérabilité et l’exploitation des flux ; elles ne constituent ni une qualification juridique ni une preuve de conformité NIS 2 globale.
Pour préparer votre démarche, commencez par cartographier les flux critiques, les partenaires concernés et les engagements contractuels déjà souscrits. Nous pouvons ensuite échanger avec vous sur la supervision, la traçabilité et la sécurisation opérationnelle de vos échanges EDI et API, sans nous substituer à votre analyse juridique d’assujettissement.
En résumé
Non. Un bâtiment ou une fonction logistique ne suffit pas : il faut qualifier l’entité dotée de la personnalité morale, son activité exacte, sa taille et les éventuels cas particuliers. Plusieurs sites exploités par une même société peuvent donc relever d’une seule analyse juridique.
Pas au seul titre du transport routier de marchandises. L’annexe I, point 2 d), vise les autorités routières chargées du contrôle de la gestion de la circulation et les exploitants de systèmes de transport intelligents. Les autres activités éventuellement exercées par l’entité doivent néanmoins être examinées séparément.
Elle peut relever des services postaux et d’expédition si elle participe à au moins une étape de la chaîne postale : levée, tri, transport ou distribution d’envois postaux, y compris l’enlèvement. Un transport sans lien avec ces étapes est exclu de cette catégorie.
Selon l’orientation actuelle de l’ANSSI, les activités de distribution en gros, de production industrielle et de transformation industrielle sont non cumulatives. Une activité de distribution alimentaire en gros pourrait donc suffire au rattachement sectoriel, sous réserve des autres critères. Cette orientation devra être confrontée au texte français définitif.
Oui, lorsque les règles relatives aux entreprises partenaires ou liées s’appliquent. L’article 6 de l’annexe à la recommandation 2003/361/CE prévoit une agrégation proportionnelle pour les partenaires et l’ajout des données des entreprises liées qui ne sont pas déjà consolidées. La conclusion française définitive reste à réévaluer après la transposition.
Oui, il peut contractualiser des exigences de sécurité, de traçabilité, de continuité ou de notification dans le cadre de sa gestion du risque fournisseur. Le contrat n’assujettit toutefois pas automatiquement le 3PL à NIS 2 : il crée des obligations contractuelles envers le client.
Pas directement en application de l’article 23. Le délai de 24 heures concerne l’alerte précoce de l’entité régulée au CSIRT ou à l’autorité compétente. Le délai fournisseur-client résulte du contrat et peut être plus court afin de laisser au client le temps d’évaluer l’incident et de respecter ses propres échéances.
Non. Au 15 septembre 2026, le pré-enregistrement est une démarche volontaire d’anticipation, ouverte dans l’attente de l’enregistrement obligatoire. Il ne vaut ni décision d’assujettissement ni qualification juridique de l’entité.
Croisez poids économique et variabilité de la demande pour segmenter vos références. Vous pourrez ainsi adapter le réapprovisionnement, le niveau de service et l’effort de prévision.
Suivez un arbre de diagnostic en 10 contrôles pour identifier la cause d’un écart de stock entre ERP et WMS, des référentiels au comptage ciblé, puis prévenir un nouveau blocage d’expédition.
Travaillez avec nos équipes pour concevoir et mettre en œuvre la Supply Chain qui accompagnera votre croissance, adaptée à vos spécificités métier.
