NIS2 industrie chimique : qui relève de l'annexe II et de REACH ?

Un distributeur de produits chimiques de la vallée de la chimie, près de Lyon, compte 90 salariés. Il pilote son stockage en cuves par un système connecté et prend ses commandes sur un portail web. Son plus gros client lui envoie un questionnaire fournisseur : « Confirmez votre statut NIS2. » Au service logistique, personne ne sait répondre.

Vous aurez bientôt cette conversation avec de nombreux clients, en tant que consultant IT ou MSP. Pour NIS2 dans l'industrie chimique, la chimie est un « autre secteur critique » de l'annexe II de la directive (UE) 2022/2555, et la formulation est plus large que ne l'imaginent les clients.

Ce que couvre réellement le point 3 de l'annexe II

L'annexe II compte sept secteurs. Le point 3 est « Fabrication, production et distribution de produits chimiques ». Le texte renvoie au règlement REACH ((CE) n° 1907/2006) et couvre :

• les entreprises qui fabriquent des substances (REACH article 3, point 9) ;
• les entreprises qui distribuent des substances ou des mélanges (REACH article 3, point 14) ;
• les entreprises qui produisent des articles à partir de substances ou de mélanges (REACH article 3, point 3).

Deux catégories ne sont pas citées : les importateurs et les utilisateurs en aval en tant que tels. Une entreprise qui se contente d'importer une substance n'entre pas dans ce point. Un formulateur est un utilisateur en aval au sens de REACH, mais le texte de l'annexe II sur la distribution de substances ou de mélanges et sur la production d'articles peut quand même le rattraper. N'écartez donc pas un mélangeur sur la seule base des étiquettes REACH.

C'est le troisième tiret qui élargit le champ. Un fabricant de pièces plastiques ou de produits métalliques revêtus peut relever du point 3 et, en même temps, du secteur « Fabrication » de l'annexe II. Vérifiez les deux entrées avant de dire à un client qu'il est hors périmètre.

La taille décide si la directive s'applique

NIS2 s'applique aux entités de taille moyenne et supérieure dans les secteurs listés (article 2, paragraphe 1). Moyenne signifie au moins 50 salariés, ou un chiffre d'affaires et un total de bilan tous deux supérieurs à 10 millions d'euros. Un mélangeur de spécialités de 30 salariés et 6 millions d'euros de chiffre d'affaires reste en dessous, sauf si un État membre a choisi d'inclure de plus petites entités jouant un rôle clé (article 2, paragraphe 2).

Les entités de l'annexe II sont par défaut des entités importantes. Elles ne deviennent essentielles que si elles remplissent un autre critère de l'article 3, par exemple en exerçant aussi dans un secteur de l'annexe I.

Pourquoi les clients chimistes sont plus délicats qu'il n'y paraît

Les sites chimiques sont à la frontière entre IT et OT. Dosage, process par lots, mesure de niveau en cuve et systèmes de sécurité sont en réseau. Notre guide sur la segmentation IT/OT pour les industriels décrit l'architecture. En chimie, trois points méritent une attention particulière dans une analyse d'écart :

1. Un inventaire d'actifs qui inclut l'OT. Si le registre s'arrête aux portables et aux serveurs, l'article 21, paragraphe 2, point i n'est pas satisfait.
2. Une gestion des incidents qui inclut l'impact sur le process. Un rançongiciel qui arrête un procédé par lots est un incident significatif aux conséquences qui dépassent les données.
3. La chaîne d'approvisionnement. L'article 21, paragraphe 2, point d exige de traiter les fournisseurs et prestataires directs. Les chimistes dépendent de plateformes logistiques, d'ERP hébergés et d'accès à distance des constructeurs. Voir les contrats fournisseurs au titre de l'article 21.

Les distributeurs ont un autre profil : ERP, portails de commande, systèmes d'entrepôt. Ce sont les mêmes dix mesures de l'article 21, paragraphe 2, sur une surface d'attaque plus réduite.

Ce que risquent les entités

Pour les entités importantes, le plafond de l'article 34, paragraphe 5 est le montant le plus élevé entre 7 millions d'euros et 1,4 % du chiffre d'affaires mondial annuel. Les entités essentielles risquent jusqu'à 10 millions d'euros ou 2 %. Notre article sur les amendes NIS2 et l'exposition des dirigeants explique comment les régimes nationaux appliquent ces plafonds.

La situation en France : pas encore de loi, mais l'ANSSI avance

La France n'a pas achevé la transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité regroupe NIS2, la directive REC et des dispositions liées à DORA ; il n'est pas encore adopté. L'ANSSI pilote le dossier et a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026, avant même le vote de la loi. La France fait par ailleurs l'objet d'un renvoi devant la Cour de justice de l'Union européenne pour transposition tardive.

Que faire d'un client chimiste français ? La directive ne s'impose pas directement à une entreprise privée, mais ses donneurs d'ordre situés en Allemagne, en Italie ou en Pologne répercutent déjà les exigences par contrat. Le ReCyF est un bon cadre de travail dès maintenant.

Ailleurs, la situation diffère :

• Allemagne : la modification du BSIG est en vigueur depuis le 6 décembre 2025, sans période transitoire.
• Pays-Bas : la Cyberbeveiligingswet s'applique depuis le 15 août 2026.
• Italie : le décret législatif 138/2024 s'applique depuis le 16 octobre 2024 ; les mesures de base doivent être opérationnelles en octobre 2026.
• Pologne : la loi KSC modifiée est entrée en vigueur le 3 avril 2026 et ajoute la production chimique.
• Espagne : transposition inachevée.

Pour la vue d'ensemble, voir le calendrier de mise en œuvre dans l'UE.

Cadrer un client chimiste en une heure

Passez ces quatre questions en revue, dans l'ordre :

1. Quel rôle REACH le client tient-il pour chaque gamme : fabricant, distributeur, producteur d'articles, simple importateur ou utilisateur en aval ?
2. Dans quels États membres opère-t-il ? Chaque loi nationale fixe ses propres règles d'enregistrement et de notification.
3. Atteint-il le seuil des entreprises moyennes, ou une règle nationale le rattrape-t-elle quand même ?
4. Quels systèmes OT pilotent la production ou la sécurité, et qui y a un accès à distance ?

Commencez par la première question. La plupart des erreurs viennent de l'idée que « nous ne faisons que mélanger » signifie « nous sommes hors champ ». Testez cette idée face au texte de l'annexe II et au droit national avant de l'accepter.

Pour un point de départ structuré, faites passer le client par le quick scan NIS2Certify gratuit. Il produit une évaluation de préparation qui ouvre la discussion.

À retenir : ne vous fiez pas au nom du secteur. Le champ d'application suit le rôle REACH, la taille et le pays, dans cet ordre.