En bref
- MonEspaceNIS2 a déménagé. L’adresse historique redirige désormais vers MesServicesCyber, le portail cyber de l’État :
messervices.cyber.gouv.fr/nis2. - On y trouve deux choses distinctes : un simulateur d’éligibilité (« Débuter le test ») et un pré-enregistrement (« Pré-enregistrer mon entité »).
- L’enregistrement obligatoire n’est pas ouvert. Le pré-enregistrement est volontaire, il ne vaut pas décision de l’ANSSI, et il n’engage à rien.
- Le parcours prend 5 à 10 minutes — à condition d’avoir réuni six informations au préalable. C’est cette préparation, et elle seule, qui prend du temps.
- L’ANSSI propose par ailleurs un diagnostic cyber gratuit d’1 h à 1 h 30, réalisé par un Aidant cyber, qui repart avec 6 actions prioritaires. Il vous dit quoi vérifier ; il ne le vérifie pas à votre place.
Ce que la plateforme est devenue
Si vous avez noté l’adresse monespacenis2.cyber.gouv.fr quelque part, elle fonctionne toujours — mais elle vous emmène ailleurs. L’ANSSI a regroupé ses services aux entreprises sur un portail unique, MesServicesCyber, et la partie NIS2 s’y trouve désormais à l’adresse messervices.cyber.gouv.fr/nis2.
Ce n’est pas un détail d’intendance. Beaucoup d’articles et de supports de formation renvoient encore vers l’ancien nom, et un dirigeant qui cherche « MonEspaceNIS2 » tombe sur des descriptions qui ne correspondent plus tout à fait à ce qu’il voit à l’écran.
La page NIS2 de ce portail propose quatre choses : un simulateur d’éligibilité, un pré-enregistrement, des ressources, et un diagnostic cyber gratuit. Les deux premières nous intéressent ici. Si vous découvrez le sujet, commencez plutôt par notre guide complet NIS2 pour les PME, qui explique les 18 secteurs, les seuils et les obligations.
Le simulateur d’éligibilité : ce qu’il fait, ce qu’il ne fait pas
Le bouton s’appelle « Débuter le test ». Le principe est simple : vous répondez à des questions sur votre secteur, votre activité et votre taille, et le simulateur vous indique si votre entité serait régulée, et dans quelle catégorie — entité essentielle ou entité importante.
C’est un bon point de départ. Mais il faut savoir exactement ce que vous tenez entre les mains à la fin.
Ce que le simulateur vous donne : une orientation, fondée sur les critères de la directive, et le vocabulaire officiel pour nommer votre situation.
Ce qu’il ne vous donne pas : une décision. L’ANSSI ne qualifie pas votre entité à votre place. NIS2 repose sur une logique déclarative : c’est à l’entreprise de déterminer si elle est concernée, et d’être capable de le justifier. Il n’y aura pas de courrier de l’administration désignant nommément chaque entité.
Ce qu’il ne voit pas : votre chaîne d’approvisionnement. Un simulateur vous dira « non régulée » si vous êtes en dessous des seuils — et ce sera exact au sens de la directive. Cela ne vous dispense pas des exigences que vos clients vous imposeront par contrat, ce que nous détaillons dans l’effet cascade NIS2. Beaucoup d’entreprises sortent du test rassurées à tort.
Les six informations à réunir avant de commencer
C’est ici que se joue la différence entre un quart d’heure et trois semaines. Le formulaire de pré-enregistrement demande des éléments qu’une direction n’a presque jamais sous la main dans le bon format.
1. L’identité administrative. Dénomination sociale, SIREN, adresse du siège. La partie facile.
2. Le secteur et le sous-secteur. Pas votre code APE : le secteur au sens des annexes de la directive. « Fabrication » ne suffit pas, il faut descendre au sous-secteur — dispositifs médicaux, informatique et électronique, équipements électriques, machines et équipements, véhicules automobiles. C’est souvent la question qui bloque, et c’est aussi celle qui détermine tout le reste.
3. Les États membres desservis. Où vos services sont-ils fournis ? Si vous livrez ou intervenez dans plusieurs pays de l’Union, la question a des conséquences sur l’autorité compétente.
4. Les plages d’adresses IP publiques et les noms de domaine. Voilà l’élément qui surprend. L’ANSSI veut pouvoir rattacher une alerte à une entité, ce qui suppose de connaître vos adresses exposées. Une PME ne les a jamais rassemblées : elles sont chez l’opérateur fibre, chez l’hébergeur, dans le pare-feu, et parfois chez un prestataire parti depuis longtemps.
5. Le contact incident. Préférez une adresse fonctionnelle — securite@, si@ — à l’adresse personnelle d’un salarié. Une personne part, une adresse reste.
6. Le raisonnement qui vous a conduit à votre réponse. Celui-là n’est pas demandé par le formulaire, et c’est pourtant le plus important. Écrivez pourquoi vous vous estimez concerné, ou pourquoi vous ne l’êtes pas : secteur retenu, effectif, chiffre d’affaires, date de l’analyse. Une page. C’est ce document que vous produirez en cas de contrôle, et c’est lui qui vous évitera de refaire l’exercice à chaque changement de périmètre.
Les points 4 et 5 relèvent directement de la tenue de votre système d’information — c’est le périmètre de notre activité réseaux et sécurité.
Faut-il se pré-enregistrer maintenant ?
La réponse honnête : ça ne coûte rien, ça n’engage à rien, et ça a une vertu.
Le pré-enregistrement est volontaire. Il ne constitue pas une décision de l’ANSSI sur votre statut, il ne déclenche aucune obligation, et il ne vous expose à aucun contrôle. Il servira, le jour où l’enregistrement deviendra obligatoire, à ce que la démarche soit déjà à moitié faite.
Sa vraie valeur est ailleurs : il vous oblige à trancher. Tant que la question reste ouverte en réunion de direction, elle se repousse. Un formulaire qui demande un secteur, un sous-secteur et des plages d’adresses IP force une décision écrite.
Deux réserves, cependant.
Ne vous pré-enregistrez pas « au cas où » sans avoir fait l’analyse. Déclarer un secteur au hasard crée une trace qui ne correspond pas à votre raisonnement.
Et si vous êtes une collectivité territoriale, sachez que le périmètre qui vous concerne n’est pas stabilisé : le projet de loi français prévoit d’intégrer les collectivités, ce que la directive n’imposait pas, avec un seuil de 30 000 habitants voté au Sénat et le sort des communautés de communes encore en discussion. Le service a d’ailleurs été ouvert aux entreprises d’abord, précisément pour cette raison. Suivez le sujet, n’engagez pas de dépense sur une hypothèse.
Quand l’enregistrement deviendra-t-il obligatoire ?
Personne ne peut le dire, et il faut se méfier de ceux qui avancent une date.
L’obligation naîtra de la promulgation de la loi résilience, puis de la publication des décrets et arrêtés qui en préciseront les modalités. Le projet de loi a été adopté par le Sénat en mars 2025 et voté en commission spéciale à l’Assemblée nationale en septembre 2025, mais il n’a pas encore été examiné en séance publique. L’ANSSI rappelle elle-même que la date d’entrée en vigueur du texte ne se confondra pas avec la date à laquelle l’ensemble des exigences s’imposeront.
Autrement dit : le pré-enregistrement d’aujourd’hui est une avance que vous prenez, pas un délai que vous rattrapez.
Le diagnostic cyber gratuit de l’État
Puisque vous serez sur le portail, autant le savoir : l’ANSSI y propose un diagnostic cyber gratuit, ouvert aux entreprises, collectivités et associations.
Il est réalisé par un Aidant cyber — agents publics ou membres d’associations œuvrant pour la confiance numérique — dure 1 h à 1 h 30, se tient dans vos locaux ou en visioconférence, et vous repartez avec 6 actions simples et rapides pour corriger vos principales vulnérabilités.
Faites-le. Il est gratuit, il est sérieux, et nous n’avons aucun intérêt à vous en détourner.
Sachez seulement ce que vous en rapporterez : une liste de questions justes, posées sur déclaratif, en une heure et demie. Ce diagnostic ne regarde pas votre pare-feu, n’ouvre pas votre console de sauvegarde et ne teste pas une restauration. Il vous dit quoi vérifier. Il ne le vérifie pas à votre place.
C’est exactement là que nous intervenons — et autant le dire franchement, chez nous ce n’est pas gratuit. Aller chercher vos plages d’adresses IP publiques chez trois prestataires différents, ouvrir la console de sauvegarde pour savoir ce qui repart et dans quel ordre, écrire la page de raisonnement qui justifie votre position et la dater : c’est du temps d’ingénieur, et ça se facture. Ce que nous vendons n’est pas la liste des questions, qui est publique et gratuite. C’est la réponse écrite, vérifiée sur votre parc, que vous pourrez produire devant un client ou devant un contrôle.
Les erreurs que nous voyons le plus souvent
Confondre le test et la conformité. Passer le simulateur ne met personne en conformité. Il indique une catégorie, rien de plus.
Se croire tiré d’affaire parce que le test dit « non régulée ». Le simulateur ignore vos contrats. Vos donneurs d’ordre, non.
Renseigner un secteur approximatif. Le sous-secteur détermine l’annexe, l’annexe détermine la catégorie, la catégorie détermine les obligations et les sanctions. Une approximation à la première question se propage jusqu’au bout.
Mettre l’adresse du responsable informatique comme contact incident. Le jour où cette personne change d’entreprise, l’ANSSI écrit dans le vide.
Garder la conclusion sans garder le raisonnement. « Nous avons vérifié, nous ne sommes pas concernés » ne vaut rien six mois plus tard, quand l’effectif a changé ou qu’une nouvelle activité a démarré.
Notre recommandation
Faites-le, et faites-le dans cet ordre.
Réunissez d’abord les six informations. C’est le seul vrai travail. Comptez une demi-journée si vos plages d’adresses IP publiques ne sont écrites nulle part — ce qui est le cas le plus fréquent.
Passez ensuite le simulateur, et écrivez la page de raisonnement dans la foulée, pendant que les éléments sont sous les yeux. Datez-la.
Pré-enregistrez-vous si l’analyse conclut que vous êtes concerné. Si elle conclut le contraire, gardez quand même la page : c’est elle qui vous servira à répondre à vos clients.
Et relisez la question une fois par an, ou à chaque changement notable — croissance, rachat, nouvelle activité. Le périmètre NIS2 se franchit sans prévenir.
Si les points 4 et 5 vous bloquent — les adresses exposées, le contact incident, la cartographie de ce qui est réellement accessible depuis l’extérieur — c’est précisément ce que couvre un diagnostic de votre système d’information.
Questions fréquentes
Quelle est l’adresse de MonEspaceNIS2 ?
L’adresse historique monespacenis2.cyber.gouv.fr redirige aujourd’hui vers le portail MesServicesCyber, à messervices.cyber.gouv.fr/nis2. C’est là que se trouvent le simulateur d’éligibilité et le pré-enregistrement.
Le pré-enregistrement NIS2 est-il obligatoire ?
Non. Il est volontaire et ne constitue pas une décision de l’ANSSI sur votre statut. L’enregistrement deviendra obligatoire après la promulgation de la loi résilience et la publication de ses textes d’application.
Combien de temps prend le pré-enregistrement ?
Le formulaire prend 5 à 10 minutes une fois les informations réunies. La préparation est la partie longue : identité administrative, secteur et sous-secteur, États membres desservis, plages d’adresses IP publiques et noms de domaine, contact incident.
Le simulateur d’éligibilité fait-il foi ?
Non. NIS2 est une démarche déclarative : l’entreprise est responsable de déterminer si elle est concernée et de pouvoir le justifier. Le simulateur oriente, il ne décide pas.
Le simulateur dit que nous ne sommes pas concernés. Sommes-nous tranquilles ?
Au sens de la directive, oui. Mais le simulateur ne voit pas vos contrats : un donneur d’ordre assujetti peut vous imposer des exigences de sécurité par voie contractuelle, quelle que soit votre taille.
Les collectivités territoriales peuvent-elles se pré-enregistrer ?
Le périmètre les concernant n’est pas stabilisé — seuil de 30 000 habitants voté au Sénat, sort des communautés de communes encore en discussion. Le service a été ouvert aux entreprises en premier pour cette raison.
Qu’est-ce que le diagnostic cyber gratuit proposé sur le portail ?
Un diagnostic d’1 h à 1 h 30, gratuit, réalisé par un Aidant cyber de la communauté MonAideCyber, dans vos locaux ou en visioconférence. Il aboutit à 6 actions prioritaires. Il est ouvert aux entreprises, collectivités et associations.
Ce qu’il faut retenir
Le passage sur la plateforme de l’ANSSI dure un quart d’heure. Ce qui compte n’est pas ce quart d’heure : c’est la page que vous écrivez avant, et que vous datez.
Le simulateur vous donne un mot — régulée, non régulée, essentielle, importante. Votre raisonnement écrit, lui, vous sert face à un contrôle, face à un client, et face à vous-même dans dix-huit mois.
Parlons de votre situation
Vous ne savez pas où trouver vos plages d’adresses IP publiques, ni ce qui est réellement exposé depuis l’extérieur ?
C-ISI accompagne les entreprises et les collectivités sur leur système d’information depuis Thann. Nous pouvons faire ce relevé avec vous, et écrire la page de raisonnement qui va avec.
Nous contacter · 03 89 32 22 76 · 4 rue du Général de Gaulle, 68800 Thann
Du lundi au vendredi, 8h-12h et 13h-17h.
Vous êtes déjà client et vous avez besoin d’une assistance technique ? Passez par la plateforme de support.
Sources
- ANSSI — NIS 2 sur MesServicesCyber, page consultée le 22 septembre 2026
- ANSSI — NIS 2 : les entités assujetties peuvent se pré-enregistrer, 24 novembre 2025
- ANSSI — FAQ MonEspaceNIS2, périmètre des entités
- MesServicesCyber — Le diagnostic cyber
- Directive (UE) 2022/2555
