NIS2 gestion des déchets et services postaux : qui est concerné ?

Un collecteur de déchets de 90 salariés en Auvergne-Rhône-Alpes gère ses tournées, son pont-bascule et sa facturation sur trois systèmes connectés. Le dépôt d'un coursier à Lyon dépend d'une seule plateforme de tri et d'un portail cloud de suivi. Aucun des deux dirigeants n'a jamais déclaré d'incident à l'ANSSI. Tous deux relèvent désormais d'un secteur que l'UE juge "critique", et leurs clients posent déjà la question.

C'est la question derrière NIS2 et la gestion des déchets, ainsi que les services postaux. Les deux secteurs figurent à l'annexe II de la directive (UE) 2022/2555, les "autres secteurs critiques". Leur périmètre est plus étroit que ne le craignent les clients, et plus large qu'ils ne l'espèrent.

Ce que l'annexe II couvre réellement

Le point 1 de l'annexe II vise les services postaux et d'expédition : les prestataires de services postaux au sens de l'article 2, point 1 bis, de la directive 97/67/CE, "y compris les prestataires de services d'expédition". Les coursiers sont donc visés expressément. Réseaux de colis, coursiers du dernier kilomètre et opérateurs postaux classiques relèvent de la même entrée.

Le point 3 vise la gestion des déchets : les entreprises exerçant des activités de gestion des déchets au sens de l'article 3, point 9, de la directive 2008/98/CE. Il s'agit de la collecte, du transport, de la valorisation et de l'élimination des déchets. Un collecteur, un transporteur, un centre de tri et un exploitant de décharge peuvent tous être concernés.

L'exception qui tranche la plupart des cas déchets

L'entrée déchets exclut les entreprises "pour lesquelles la gestion des déchets n'est pas la principale activité économique". C'est la phrase la plus utile pour vos échanges clients.

Un industriel qui traite ses propres déchets de production n'entre pas dans ce cadre pour cette raison. Un ferrailleur dont l'activité principale est la collecte et le traitement de déchets, peut-être. Posez une seule question : cette entreprise tire-t-elle l'essentiel de son chiffre d'affaires de la gestion des déchets ? Documentez la réponse et ses preuves.

Les services postaux n'ont pas d'exception équivalente. Une entreprise qui fournit des services postaux ou de coursier teste directement les seuils de taille.

Le critère de taille : moyenne et au-delà

NIS2 s'applique aux entités moyennes et grandes des secteurs listés. En pratique : au moins 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires annuel ou de total de bilan. Les micro et petites entreprises sont en principe hors champ.

Les entités de l'annexe II sont des entités importantes, pas essentielles. Cela touche la supervision : l'autorité peut intervenir a posteriori, après un incident ou une plainte, plutôt que par contrôle systématique. Les obligations ne sont pas plus légères pour autant.

Où en est la France : une loi encore en attente

Le point décisif pour vos clients français : la transposition n'est pas achevée. NIS2 est intégrée au projet de loi "Résilience", qui transpose aussi la directive REC et le règlement DORA. Le Sénat l'a adopté, mais le texte n'a pas été inscrit à l'ordre du jour de la session extraordinaire de juillet 2026. Son examen est attendu en septembre au plus tôt. Le 8 juillet 2026, la Commission a saisi la Cour de justice de l'UE contre la France pour défaut de transposition complète.

Concrètement, aucune obligation d'enregistrement ni de sanction NIS2 n'est en vigueur en droit français à ce jour. Les montants définitifs des sanctions dépendront du texte final. L'ANSSI sera l'autorité de référence, mais le périmètre exact par secteur reste à confirmer. Ne promettez à aucun client un statut "entité importante" confirmé avant l'adoption de la loi.

Cela ne rend pas l'attente confortable. Les clients, les donneurs d'ordre et les assureurs appliquent déjà le référentiel NIS2 dans leurs questionnaires fournisseurs, et le "Guide d'hygiène informatique" de l'ANSSI reste une base solide. Le travail se prépare maintenant.

Ce qu'une entité importante devra faire

Sur le fond, la directive impose des mesures de gestion des risques passant par l'article 21, avec dix domaines : politique d'analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, acquisition et maintenance sécurisées, évaluation de l'efficacité, cyberhygiène et formation, cryptographie, contrôle d'accès et gestion des actifs, authentification multifacteur ou communications sécurisées. Voir notre guide sur les dix mesures de l'article 21.

Les organes de direction devront approuver ces mesures et en répondre, et être formés. Pour un transporteur familial ou un opérateur postal régional, c'est souvent la première fois qu'un dirigeant est formellement responsable du risque informatique.

Où ces secteurs sont exposés

Les technologies opérationnelles dans le traitement des déchets sont faciles à oublier. Ponts-bascules, commandes de compacteurs, surveillance du biogaz de décharge et télématique de flotte sont tous en réseau. Un rançongiciel qui bloque la facturation au pont-bascule bloque le jour même les revenus de collecte.

Pour la poste et les coursiers, le point de pression est la plateforme de tri et de suivi. Beaucoup de coursiers reposent sur un seul prestataire SaaS. S'il tombe, le dépôt s'arrête. C'est une question de chaîne d'approvisionnement au titre de l'article 21, paragraphe 2, point d, et la première chose que sondera un questionnaire client.

Les deux secteurs dépendent aussi de sous-traitants : coursiers indépendants, partenaires de transport, outils tiers de planification de tournées. Un inventaire écrit de ces fournisseurs, avec des clauses de sécurité au contrat, coûte peu et n'existe presque jamais. Notre article sur la sécurité de la chaîne d'approvisionnement NIS2 montre comment le construire.

La notification d'incident fonctionne de la même façon

Un incident significatif appelle une alerte précoce sous 24 heures, une notification d'incident sous 72 heures et un rapport final sous un mois (article 23). Les clients n'ont généralement aucun processus pour la première heure, encore moins pour le premier jour. Un court exercice sur table autour des délais de notification est ici rentable tout de suite.

Sanctions pour les entités importantes

L'article 34 de la directive fixe pour les entités importantes un plafond d'au moins 7 millions d'euros ou d'au moins 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé s'appliquant. Ce sont des plafonds de la directive ; la loi nationale fixera les montants définitifs. Le tableau complet figure dans notre article sur les amendes NIS2.

La situation diffère selon le pays

La directive est la même partout, mais les obligations de votre client dépendent de la loi nationale et du régulateur. Plusieurs États membres ont transposé NIS2, d'autres sont en retard, dont la France. Si votre client a des sites en Belgique, en Allemagne ou en Espagne, vérifiez la situation à jour pays par pays. La chronologie de mise en œuvre dans l'UE est un bon point de départ.

Un ordre de travail pratique pour ces clients

Commencez par le périmètre. Rédigez une note d'une page indiquant l'entrée sectorielle, le test de l'activité principale pour les déchets, les chiffres de taille et la conclusion. Autorités et clients demandent exactement cela.

Réalisez ensuite une analyse des écarts sur les dix mesures et priorisez l'inventaire fournisseurs, les contacts incident et les tests de sauvegarde. C'est là que la plupart des clients déchets et postaux sont les plus faibles. Pour une base rapide, le quick scan de NIS2Certify fournit une évaluation de préparation que vous parcourez avec le client en une réunion.

Enfin, mettez l'horloge d'incident sur papier : qui décide ce qui est significatif, qui appelle l'autorité, qui rédige la notification à 72 heures. Un plan d'une page testé vaut mieux qu'une politique de 40 pages que personne ne lit.

Le périmètre dépend de l'entité, du pays et des faits. Votre rôle est de rendre la décision défendable. Si le secteur chimique a appris quelque chose aux consultants, c'est que les questions de périmètre de l'annexe II se gagnent par la documentation, pas par l'hypothèse. Pour un premier contrôle général : NIS2 s'applique-t-elle à mon organisation.