← Toutes les ressources

NIS2 France : la construction et le BTP sont-ils concernés ?

Publié le 21 octobre 2026 · 9 min de lecture · CyberNovaLabs.io

Les divisions 41, 42 et 43 de la construction ne figurent dans aucune annexe de NIS2, et au 21 octobre 2026 la France n'a pas de loi de transposition. Mais la division 33 y est, votre code APE change au 1er janvier 2027, et la fraude au virement a bondi de 93 % en 2025. Ce qui compte vraiment pour une entreprise du BTP.

La réponse courte

Non, dans l'immense majorité des cas. La construction et le BTP ne figurent ni à l'annexe I ni à l'annexe II de la directive (UE) 2022/2555 : les divisions 41 (construction de bâtiments), 42 (génie civil) et 43 (travaux de construction spécialisés) n'y sont pas listées^[1]. Une entreprise générale, un maçon, un couvreur, un terrassier, un plombier-chauffagiste ou un électricien du bâtiment n'est donc pas une entité essentielle ou importante au titre de son métier.

S'y ajoute un fait de calendrier proprement français. Au 21 octobre 2026, deux ans après l'échéance européenne du 17 octobre 2024, la France n'a toujours pas de loi NIS2. Le dossier législatif de l'Assemblée nationale n'affiche aucune séance publique : la dernière étape enregistrée est le dépôt du texte de la commission spéciale, le 10 septembre 2025^[2], après un dépôt au Sénat le 15 octobre 2024 et une adoption par celui-ci en première lecture^[3]. Tant que la loi n'est pas promulguée, il n'existe en droit interne ni liste nominative d'entités, ni échéance d'enregistrement opposable, ni barème de sanction^[4].

Trois choses vous atteignent pourtant déjà, sans attendre la loi : le code d'activité qui décidera de votre sort, les questionnaires de sécurité de vos donneurs d'ordre, et la fraude au virement sur vos situations de travaux. Ce guide NIS2 construction BTP France les traite dans cet ordre.

Êtes-vous concerné ? Quatre questions, dans l'ordre

Posez-les dans cet ordre et arrêtez-vous à la première réponse « oui ».

1. Votre activité principale relève-t-elle d'un des dix-huit secteurs des annexes ? Énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (B2B), administration publique, espace, puis services postaux, gestion des déchets, chimie, denrées alimentaires, fabrication, fournisseurs numériques, recherche^[1]. « Construction » n'y est pas.
2. Exploitez-vous, et pas seulement construisez-vous ? Une société de travaux publics qui exploite en délégation une station d'épuration, un réseau de chaleur ou un réseau électrique bascule par l'annexe I : exploiter n'est pas construire^[1].
3. Avez-vous une filiale de services numériques ? Un groupe de BTP qui héberge ou administre l'informatique d'autres sociétés, ou vend un service informatique managé, regarde la catégorie « gestion des services TIC (B2B) » de l'annexe I^[1].
4. Dépassez-vous les seuils de taille ? La qualification en entité essentielle ou importante dépend de la taille de l'entité au sens de la définition européenne des PME^[1]. Cette question n'a de sens que si vous avez répondu « oui » à l'une des trois précédentes.

Le piège du code : 43 n'est pas 33

C'est l'erreur de lecture la plus coûteuse du secteur. L'annexe II ne couvre pas « l'industrie » : elle vise une liste fermée de divisions — 26 produits informatiques, électroniques et optiques ; 27 équipements électriques ; 28 machines et équipements ; 29 véhicules automobiles ; 30 autres matériels de transport ; 31 meubles ; 32 autres activités de fabrication ; et 33, réparation et installation de machines et d'équipements — plus la fabrication de dispositifs médicaux^[1].

Lisez bien la division 33. Une entreprise qui installe et maintient des machines et équipements industriels sur site relève de l'annexe II. Le même geste, facturé par une entreprise de travaux d'installation électrique (43.21) ou d'équipements thermiques et de climatisation (43.22), n'en relève pas. Deux sociétés qui travaillent côte à côte sur le même chantier peuvent donc se retrouver de part et d'autre de la frontière, uniquement par leur code d'activité principale.

Un autre réflexe est faux : la préfabrication. Produire des prémurs, des prédalles, du béton prêt à l'emploi ou des matériaux relève de la division 23, autres produits minéraux non métalliques, qui ne figure pas dans la liste de l'annexe II^[1]. Une usine de préfabrication n'entre pas dans le champ par ce canal.

En revanche, deux activités souvent logées dans un groupe de BTP y font entrer. La gestion des déchets, à l'annexe II, pour la filiale qui exploite une plateforme de tri ou de recyclage de déchets de chantier comme activité à part entière. Et l'eau usée ou l'énergie, à l'annexe I, pour l'entité concessionnaire d'un réseau^[1].

Activité	Division	Dans les annexes NIS2 ?
Construction de bâtiments, génie civil, travaux spécialisés	41, 42, 43	Non[1]
Préfabrication béton, matériaux de construction	23	Non[1]
Installation et maintenance de machines industrielles	33	Oui, annexe II[1]
Tri et recyclage de déchets de chantier comme activité propre	Gestion des déchets	Oui, annexe II[1]
Exploitation déléguée d'un réseau d'eaux usées ou de chaleur	Eaux usées, énergie	Oui, annexe I[1]

Votre code APE change au 1er janvier 2027 : vérifiez-le maintenant

Tout ce raisonnement repose sur votre code d'activité. Or la France change de nomenclature. La NAF 2025 remplace celle de 2008, et le nouveau code APE devient la référence officielle le 1er janvier 2027 ; en 2026, seul le code actuel reste officiel^[5]. Les unités légales actives au répertoire Sirene et leurs établissements seront recodées.

L'INSEE permet déjà de consulter son futur code en saisissant son SIREN sur sirene.gouv.fr, et un formulaire en ligne, ouvert depuis janvier 2026, permet de demander une expertise lorsque le code proposé ne correspond pas à l'activité réelle^[5][12]. L'INSEE précise que ce changement ne crée par lui-même ni droit ni obligation supplémentaire. Reste que la loi de transposition, quand elle viendra, désignera des secteurs — et que le code qui vous sera appliqué ne sera pas nécessairement celui d'aujourd'hui.

Ce qui vous est déjà opposable, sans NIS2

1. Le questionnaire de sécurité de votre donneur d'ordre. Les entités concernées doivent maîtriser le risque venant de leurs fournisseurs directs. Elles le font par contrat, pas par la loi : clause de notification d'incident, authentification à deux facteurs, liste nominative des accès, sauvegardes testées. En BTP, l'effet se voit d'abord chez les sous-traitants des maîtres d'ouvrage publics et des exploitants de réseaux. Une réponse approximative se paie en consultation perdue, pas en amende. Notre guide du questionnaire de sécurité fournisseur donne la trame.

2. Le RGPD sur vos véhicules et vos chantiers. C'est le point le plus sous-estimé du secteur, parce que le BTP géolocalise ses camionnettes et ses engins. La CNIL encadre précisément cet usage : la géolocalisation ne peut pas servir à contrôler le respect des limitations de vitesse ni à surveiller un salarié en permanence, et le salarié qui peut utiliser le véhicule à titre privé doit pouvoir désactiver la collecte hors temps de travail, pauses comprises. Les durées sont chiffrées : deux mois en principe, un an pour optimiser les tournées ou prouver une intervention, cinq ans pour les seules données d'horaires lorsque le dispositif sert au suivi du temps de travail^[8].

3. La fraude au virement. Sur l'année 2025, Cybermalveillance.gouv.fr classe pour les entreprises et associations : piratage de compte 21 % des demandes d'assistance, en hausse de 52 % ; hameçonnage 16 %, en hausse de 29 % ; fraude au virement 13,5 %, en hausse de 93 % ; rançongiciels 8,1 % ; violations de données 6,6 %, en hausse de 40 %^[6]. Le BTP coche toutes les cases de cette fraude : situations de travaux mensuelles, chaînes de sous-traitance longues, nouveaux intervenants à chaque chantier, et des coordonnées bancaires qui changent légitimement en cours d'opération.

4. La facturation électronique. Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir une facture électronique dès lors que leur fournisseur a l'obligation de l'émettre ; les PME, micro-entreprises et TPE devront émettre à leur tour à partir du 1er septembre 2027^[9]. Conséquence directe pour la fraude décrite au point 3 : le faux RIB glissé dans un e-mail perd du terrain, mais le compte de votre plateforme devient la cible. Le facteur de risque se déplace vers l'authentification de vos accès.

Les 5 premières actions

1. Vérifier son code, deux fois. Code APE actuel, puis futur code NAF 2025 sur sirene.gouv.fr^[5][12]. Si l'un des deux tombe en division 33, en gestion de déchets ou en exploitation de réseau, traitez le dossier comme un dossier NIS2.
2. Imposer la double authentification sur la messagerie et la plateforme de facturation. C'est la contre-mesure unique des deux premières menaces du classement 2025, le piratage de compte et la fraude au virement^[6].
3. Écrire la procédure de changement de RIB. Un seul canal, un rappel téléphonique sur le numéro du contrat et jamais sur celui de l'e-mail, une double validation au-dessus d'un seuil que vous fixez. Une page suffit ; elle doit être connue de la comptabilité et des conducteurs de travaux.
4. Mettre la géolocalisation en conformité. Durées de conservation, possibilité de désactivation hors temps de travail, information écrite des salariés et inscription au registre des traitements^[8].
5. Demander un diagnostic gratuit. MonAideCyber, porté par l'ANSSI, propose un diagnostic de premier niveau réalisé par un aidant cyber^[10] ; MesServicesCyber recense les outils publics liés à NIS2^[11]. Ces deux dispositifs sont publics et gratuits.

Pour aller plus loin

Le même secteur, vu d'un pays qui a déjà transposé : NIS2 aux Pays-Bas pour la construction et le BTP, où la Cyberbeveiligingswet est en vigueur. Un autre secteur français, lui bien présent dans les annexes : NIS2 France pour le transport et la logistique. Vous pouvez aussi passer le test NIS2, consulter les aides à la cybersécurité et, si vous prospectez en France, la page prise de rendez-vous B2B à Lyon.

Chez CyberNovaLabs.io

CyberNovaLabs.io travaille aux Pays-Bas, en Belgique, en France et au Luxembourg. Pour une entreprise du BTP, nous faisons trois choses : qualifier votre périmètre réel en lisant vos codes d'activité et vos contrats d'exploitation, préparer vos réponses aux questionnaires de sécurité, et verrouiller la chaîne messagerie - facturation - coordonnées bancaires, qui est le vrai point d'entrée du secteur. Nous ne vendons pas de certification NIS2 : la loi française n'est pas promulguée, et personne ne peut certifier un texte qui n'existe pas encore.

Si vous prospectez des maîtres d'ouvrage, des industriels ou des collectivités, notre offre de prise de rendez-vous B2B s'adresse à vous, sans engagement de durée et sur devis. Parlons de votre cas en 20 minutes.

Sources

1. EUR-Lex - Directive (UE) 2022/2555 (NIS 2), annexes I et II
2. Assemblee nationale - Dossier legislatif, projet de loi resilience des infrastructures critiques et renforcement de la cybersecurite
3. Senat - Dossier legislatif PJL n 24-033
4. ANSSI - La directive NIS 2
5. INSEE - Nouveau code APE : les entreprises peuvent le consulter (NAF 2025)
6. Cybermalveillance.gouv.fr - Top 10 des cybermalveillances visant les professionnels en 2025
7. FFB - Le batiment en chiffres (donnees 2025)
8. CNIL - La geolocalisation des vehicules des salaries
9. impots.gouv.fr - A partir de quand suis-je concerne par la reforme de la facturation electronique
10. ANSSI - MonAideCyber
11. ANSSI - MesServicesCyber, NIS 2
12. INSEE / Sirene - Consulter son futur code APE

À lire aussi