NIS2 organismes de recherche : quels clients sont concernés en France, et quelles universités ne le sont pas

Une start-up issue d'un laboratoire public de 80 salariés, un laboratoire privé de recherche sous contrat et un institut universitaire se disent tous "de recherche". Au regard de NIS2, un seul est certain d'être concerné.

Si vous accompagnez des clients du monde de la recherche, la question n'est pas "font-ils de la recherche ?". C'est : "sont-ils un organisme de recherche au sens de la directive, et que prévoira la loi française, toujours en discussion ?"

Ce que NIS2 entend par organisme de recherche

L'annexe II de NIS2 cite les organismes de recherche comme secteur. Les entités des secteurs de l'annexe II sont des entités importantes. La supervision est réactive : après un indice ou un incident, pas de manière proactive.

La définition figure à l'article 6, point 41. Un organisme de recherche a pour objectif principal la recherche appliquée ou le développement expérimental, en vue d'exploiter les résultats à des fins commerciales. Les établissements d'enseignement en sont expressément exclus.

Trois tests en découlent :

• La recherche appliquée ou le développement expérimental est l'objectif principal, pas une activité accessoire.
• Les résultats sont destinés à une exploitation commerciale.
• L'entité n'est pas un établissement d'enseignement.

Un laboratoire privé de R&D qui vend ses résultats à l'industrie remplit les trois. Une faculté avec quelques contrats industriels, non, car l'établissement dans son ensemble relève de l'enseignement.

Le seuil de taille s'applique toujours

L'article 2, paragraphe 1, applique le critère de taille européen. Les entreprises moyennes et plus grandes sont visées : en pratique au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs à 10 millions d'euros.

Une start-up de 12 chercheurs est donc hors champ, sauf règle nationale indépendante de la taille. C'est le premier filtre à appliquer à chaque client de la recherche, et il écarte plus de cas que la plupart des consultants ne l'imaginent.

Universités : hors champ par défaut, dedans par choix national

L'article 2, paragraphe 5, permet aux États membres d'étendre NIS2 aux établissements d'enseignement, en particulier lorsqu'ils mènent des activités de recherche critiques. C'est une option, pas une obligation.

Le résultat est une mosaïque. Deux universités aux programmes identiques peuvent avoir des obligations différentes de part et d'autre d'une frontière. Ne déduisez jamais la réponse de la seule directive.

France : un projet de loi toujours bloqué

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, DORA et la directive REC, n'est toujours pas adopté. L'échéance de transposition était le 17 octobre 2024. L'examen à l'Assemblée nationale, prévu à partir du 7 octobre 2026, a été reporté une nouvelle fois, sans nouvelle date. Le texte achoppe notamment sur l'article 16 bis, ajouté par le Sénat, relatif aux fournisseurs de services de chiffrement.

Conséquence pratique : il n'existe pas aujourd'hui de règle française définitive pour les organismes de recherche, ni de réponse sur les universités. Dites-le clairement à vos clients au lieu d'anticiper un texte qui peut encore changer.

Ce que vous pouvez faire dès maintenant : vous appuyer sur les mesures de l'article 21 de la directive, qui structurent déjà les référentiels de l'ANSSI, comme le ReCyF. Voir le guide des dix mesures de l'article 21.

Ailleurs en Europe : ce que nous avons pu vérifier

Belgique et Pays-Bas. Le Cyberbeveiligingswet néerlandais (Stb. 2026, 187) est en vigueur depuis le 15 août 2026 et couvre la recherche à des fins commerciales.

Allemagne. La loi NIS2UmsuCG est en vigueur depuis le 6 décembre 2025, avec le BSI comme autorité. Les organismes de recherche sont des entités importantes (§ 28 BSIG).

Italie. Le D.Lgs. 138/2024 va au-delà de la directive : organismes de recherche en annexe II, établissements de recherche en annexe III, établissements d'enseignement faisant de la recherche en annexe IV.

Pologne. La loi KSC modifiée s'applique depuis le 2 avril 2026 et cite la recherche scientifique comme secteur important.

Espagne. Même situation que la France : transposition en suspens, recours de la Commission devant la Cour de justice.

Ce que le statut d'entité importante change concrètement

Les entités importantes ont les mêmes obligations de gestion des risques (article 21) que les entités essentielles. Elles doivent aussi notifier les incidents significatifs (article 23) : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.

La différence tient à la supervision et aux sanctions. Pour les entités importantes, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Le contrôle est exercé a posteriori.

Chez les clients de la recherche, les points faibles sont prévisibles : données de recherche et propriété intellectuelle, gestion des accès des partenaires externes, réseaux de laboratoire ou d'instruments que personne n'a classés comme informatiques.

Cadrer un client de la recherche en quatre questions

1. La recherche est-elle l'objectif principal de l'entité ? Si c'est d'abord un établissement d'enseignement, attendez le texte national.
2. La recherche est-elle appliquée, avec exploitation commerciale visée ? Sinon, la définition de l'article 6, point 41 échoue probablement.
3. L'entité atteint-elle le seuil de taille ? Sous 50 salariés et 10 millions d'euros de chiffre d'affaires, en général hors champ.
4. Le droit national ajoute-t-il quelque chose ? Pour la France, notez la date de votre analyse et revenez-y à l'adoption de la loi.

Documentez les réponses et la date. Si l'autorité en juge autrement plus tard, une note de cadrage datée montre votre diligence. Pour les groupes présents dans plusieurs pays, les règles de compétence de l'article 26 déterminent quelle autorité vous supervise.

Ce qu'il faut retenir

Ne cadrez pas sur le mot "recherche". Cadrez sur l'article 6, point 41, le seuil de taille, puis le droit national, dans cet ordre.

Pour transformer cela en preuves, réalisez une évaluation de maturité par client et conservez le résultat. Lancez un quick scan avec NIS2Certify pour voir où se situe la posture de conformité d'un client de la recherche face à l'article 21.

Cet article est une information générale, pas un avis juridique. Vérifiez le champ d'application auprès du droit national et de l'autorité de votre client.