NIS2, suis-je concerné ? Auto-classification selon la NISG en Autriche

En Autriche, c'est la NISG 2026 qui détermine si ton entreprise est concernée par NIS 2 ; elle transpose en droit national la directive (UE) 2022/2555 (NIS 2). La règle de base : sont en principe couvertes les moyennes et grandes entreprises, c'est-à-dire les organisations d'au moins 50 salariés ou dont le chiffre d'affaires annuel et le total du bilan annuel dépassent chacun 10 millions d'euros, à condition qu'elles exercent dans l'un des 18 secteurs couverts. La nouveauté, c'est le passage à l'auto-classification : c'est à toi de déterminer si tu es concerné, et non plus à une autorité par voie de décision.

Cet article te guide dans l'auto-classification à l'aide d'un tableau de vérification, de trois cas pratiques et des principaux cas particuliers. Il fournit une orientation technique, mais ne remplace pas un conseil juridique.

• Taille : à partir de 50 salariés ou avec un chiffre d'affaires annuel et un total du bilan annuel supérieurs chacun à 10 millions d'euros (définition européenne de l'entreprise moyenne).
• Secteur : activité dans l'un des 18 secteurs des annexes I ou II de la directive NIS 2.
• Procédure : auto-classification et autodéclaration au lieu d'une décision administrative. La responsabilité incombe à l'entreprise.

Cadre juridique : la NISG 2026 et le retard de transposition

La directive NIS 2 (UE) 2022/2555 aurait dû être transposée en droit national dans toute l'UE au plus tard le 17 octobre 2024. L'Autriche a largement dépassé ce délai. La première tentative, la NISG 2024, a été rejetée au Conseil national le 3 juillet 2024, faute d'avoir atteint la majorité des deux tiers nécessaire pour certaines parties de la loi.

Le projet remanié, la NISG 2026, a finalement été adopté par le Conseil national le 12 décembre 2025 et publié au Journal officiel fédéral le 23 décembre 2025. Conformément au § 51 de la NISG 2026, la loi est entrée en vigueur le premier jour du mois suivant l'expiration d'un délai de neuf mois, soit le 1er octobre 2026. Depuis, les obligations s'appliquent directement. Si tu n'as pas encore fait ton auto-classification, fais-la maintenant : l'enregistrement doit intervenir dans les trois mois suivant l'entrée en vigueur (§ 29, al. 3, de la NISG 2026).

La NISG 2026 apporte plusieurs nouveautés structurelles par rapport au projet de 2024 :

• Création d'un Office fédéral de la cybersécurité au sein du ministère fédéral de l'Intérieur (BMI), en tant qu'autorité compétente en matière de cybersécurité.
• Passage à l'auto-classification et à l'autodéclaration au lieu d'une décision administrative de constatation.
• Les organes de surveillance (par exemple les conseils de surveillance) sont expressément exclus de la notion d'« organe de direction ».
• Un rapport de cybersécurité semestriel (au lieu d'annuel).

Le champ d'application couvre environ 4 000 entreprises dans 18 secteurs. Les membres des organes de direction des entités essentielles et importantes doivent suivre des formations en cybersécurité conçues spécialement pour eux (§ 31, al. 2, de la NISG 2026) ; une équipe de réponse aux incidents doit être mise en place.

Les deux catégories : entités essentielles et entités importantes

Comme la directive européenne, la NISG 2026 distingue deux catégories d'organisations concernées. La classification découle de la combinaison entre le secteur (annexe I ou annexe II de la directive), la taille de l'entreprise et des critères de criticité définis par la loi.

• Les entités essentielles sont soumises à une supervision plus intensive, y compris proactive. Il s'agit généralement de grandes entreprises des secteurs hautement critiques de l'annexe I (par exemple énergie, transports, secteur bancaire, santé, infrastructures numériques). Une entreprise est grande à partir de 250 salariés ou avec un chiffre d'affaires annuel supérieur à 50 millions d'euros et, en même temps, un total du bilan annuel supérieur à 43 millions d'euros (§ 25, al. 2, de la NISG 2026).
• Les entités importantes font principalement l'objet d'une supervision a posteriori : l'autorité intervient surtout après un incident ou un signalement. En font partie, entre autres, les moyennes entreprises des secteurs de l'annexe I ainsi que les entités des secteurs de l'annexe II.

Point important pour l'auto-classification : les deux catégories ont des obligations. Dans la logique de NIS 2, la responsabilité de la direction ne se limite pas aux entités essentielles. L'article 20 de la directive NIS 2 exige que l'organe de direction approuve les mesures de gestion des risques, supervise leur mise en œuvre et puisse être tenu responsable des manquements. Le considérant 137 précise que cette responsabilité peut être engagée lorsque l'organe de direction n'a pas rempli ses obligations de gouvernance, même en l'absence d'attaque réussie. La responsabilité découle donc du manquement à l'obligation, et non du dommage.

En Autriche, ce n'est pas l'autorité de cybersécurité elle-même qui inflige les sanctions, mais les autorités administratives de district ; le régime des sanctions est calqué sur les exigences de NIS 2.

Le tableau de vérification : l'auto-classification étape par étape

Examine les critères suivants dans l'ordre. Ce n'est que si la taille et le secteur sont remplis (ou si un cas particulier s'applique) que l'assujettissement est probable.

Les seuils de taille suivent la recommandation PME 2003/361/CE, à laquelle renvoie le § 25 de la NISG 2026. Le rattachement précis des 18 secteurs à l'annexe I et à l'annexe II ainsi que les règles détaillées sur les entreprises liées et partenaires découlent de la directive et de la NISG 2026. Dans les cas limites, un examen juridique en vaut la peine.

Exemple concret : trois entreprises comparées

Cas A : prestataire informatique de taille moyenne (services managés), Vienne. 70 salariés, 14 millions d'euros de chiffre d'affaires. Critère de taille rempli (70 ≥ 50 salariés, entreprise moyenne). Les services managés relèvent du secteur « Gestion des services TIC (B2B) » de l'annexe I. En tant qu'entreprise moyenne d'un secteur de l'annexe I, le prestataire est vraisemblablement une entité importante. Résultat : concerné. Enregistrement et autodéclaration obligatoires.

Cas B : fournisseur régional d'énergie. 40 salariés, 9 millions d'euros de chiffre d'affaires. Au seul regard de la taille, il serait sous les deux seuils. Le fournisseur peut néanmoins être couvert indépendamment de sa taille. S'il a été identifié comme entité critique au titre de la directive CER (UE) 2022/2557, il est considéré comme une entité essentielle (§ 24, al. 1, de la NISG 2026). En outre, l'autorité de cybersécurité peut le classer par décision, par exemple parce qu'il est le seul fournisseur d'un service indispensable en Autriche ou parce qu'une panne pourrait porter gravement atteinte à l'ordre public, à la sécurité publique ou à la santé publique (§ 26 de la NISG 2026). Résultat : assujettissement possible malgré la petite taille. C'est l'examen au cas par cas qui tranche ; écarter le risque d'emblée serait une erreur.

Cas C : agence de publicité et de marketing, 30 salariés, 6 millions d'euros de chiffre d'affaires. Aucun seuil de taille n'est atteint et aucun secteur clé couvert n'est pertinent. Résultat : pas directement concernée. Attention toutefois à l'effet chaîne d'approvisionnement : si l'agence fournit des services critiques à une entité essentielle, les exigences contractuelles de son client peuvent, dans les faits, l'obliger à appliquer des mesures de sécurité conformes à NIS 2, sans qu'elle soit elle-même tenue de s'enregistrer.

Ces cas illustrent le schéma de base : la taille et le secteur, combinés, constituent la règle, mais les cas particuliers et les chaînes d'approvisionnement peuvent modifier le résultat.

Obligation d'enregistrement et prochaines étapes

Si ton auto-classification conclut à l'assujettissement, tu dois t'enregistrer auprès de l'Office fédéral de la cybersécurité dans les trois mois suivant l'entrée en vigueur au 1er octobre 2026 (§ 29, al. 3, de la NISG 2026). Une entité qui entre plus tard dans le champ d'application dispose de trois mois à compter de ce moment. Dans les douze mois suivant la naissance de l'obligation d'enregistrement intervient l'autodéclaration : tu indiques à l'autorité quelles mesures de gestion des risques sont en place (§ 33, al. 1, de la NISG 2026). Comme aucune décision administrative ne vient plus, en règle générale, t'informer activement, c'est à toi d'agir. Une classification omise ou erronée peut être sanctionnée.

Ordre pratique si tu n'as pas encore fait ta classification :

1. Recenser la taille et le secteur : documenter l'effectif, le chiffre d'affaires, le total du bilan et l'activité concrète.
2. Déterminer la catégorie : entité essentielle ou importante, en fonction du rattachement aux annexes, de la taille et de la criticité.
3. Vérifier les cas particuliers et la structure du groupe : intégrer dans la taille les entreprises liées en totalité et les entreprises partenaires au prorata, examiner l'exception d'indépendance, tenir compte des exigences de la chaîne d'approvisionnement.
4. Sécurisation juridique dans les cas limites : en cas de rattachement sectoriel ou de structures de participation incertains.
5. S'enregistrer : auprès de l'Office fédéral de la cybersécurité, au plus tard trois mois après l'entrée en vigueur.
6. Mettre en place la gouvernance : mesures de gestion des risques, équipe de réponse aux incidents, formation de l'organe de direction, processus de notification.

Remarque : cet article ne constitue pas un conseil juridique. L'évaluation qui fait foi de l'assujettissement à NIS 2, notamment dans les cas limites, pour le rattachement sectoriel et les questions de chaîne d'approvisionnement, nécessite un examen au cas par cas par un avocat.

Pour les décideurs B2B et les agences

Pour les décideurs B2B, l'auto-classification n'est pas un acte ponctuel mais une obligation récurrente : si ton entreprise franchit un seuil ou si son activité change, la classification peut évoluer. Intègre ce contrôle comme élément fixe de ta routine de conformité et documente le résultat de manière auditable. La responsabilité incombe à l'organe de direction (§ 31, al. 1, de la NISG 2026).

Pour les agences marketing et digitales, un double regard s'impose : la plupart des agences restent sous le seuil d'assujettissement direct, mais entrent dans la chaîne d'approvisionnement via des clients de secteurs réglementés. Si tu travailles pour des entités essentielles ou importantes, prévois tôt les exigences de sécurité et de preuve dans tes offres et tes contrats. C'est de plus en plus un critère de sélection lors des pitchs. En tant qu'agence basée à Vienne, nous t'accompagnons dans la préparation structurée de ta communication cybersécurité et contenu autour de NIS 2. La classification juridique elle-même relève d'un conseil juridique spécialisé.