NIS 2 : la loi française se fait attendre, faut-il attendre aussi ?
La loi Résilience qui transpose NIS 2 n’est toujours pas votée en octobre 2026. Pourquoi les entreprises concernées ont intérêt à se préparer dès maintenant.
L’essentiel en 30 secondes
- La directive NIS 2 devait être transposée avant le 17 octobre 2024 : la France est en retard.
- La loi Résilience a été adoptée au Sénat en mars 2025 mais n’est pas encore votée définitivement.
- La Commission européenne a saisi la Cour de justice de l’UE contre la France en juillet 2026.
- L’ANSSI a publié un référentiel de travail (ReCyF) : de quoi se préparer sans attendre.
La directive européenne NIS 2 renforce considérablement les obligations de cybersécurité de milliers d’entreprises. Elle devait être transposée dans le droit de chaque pays avant le 17 octobre 2024. En France, la loi correspondante, dite loi Résilience, n’est toujours pas définitivement votée en octobre 2026. Faut-il en profiter pour attendre ? Non, et voici pourquoi.
Où en est la loi Résilience ?
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose à la fois NIS 2, la directive sur la résilience des entités critiques (CER) et certaines dispositions de DORA pour le secteur financier.
Son parcours parlementaire a été long :
| Date | Étape |
|---|---|
| 17 octobre 2024 | Date limite de transposition fixée par l’Union européenne |
| 12 mars 2025 | Adoption du texte par le Sénat |
| 10 septembre 2025 | Adoption du texte par la commission spéciale de l’Assemblée nationale |
| 8 juillet 2026 | Saisine de la Cour de justice de l’UE par la Commission européenne contre la France |
| 7 octobre 2026 | Examen en séance prévu à l’Assemblée nationale, retiré de l’ordre du jour selon plusieurs sources |
À la date de cet article, aucune date officielle de vote définitif n’est connue. Les décrets d’application, qui préciseront notamment la liste des entités et les modalités d’enregistrement, viendront ensuite.
Ce que prévoit NIS 2
Un périmètre très élargi
Là où la première directive NIS visait environ 300 opérateurs en France, NIS 2 concerne des milliers d’entités réparties en deux catégories :
- les entités essentielles : grandes entreprises de secteurs hautement critiques (énergie, transports, santé, eau, infrastructures numériques, administrations…) ;
- les entités importantes : entreprises moyennes et grandes d’autres secteurs critiques (services postaux, gestion des déchets, chimie, alimentation, fabrication d’équipements électriques et électroniques, de machines, de véhicules, fournisseurs numériques…).
Le seuil général est de 50 salariés ou 10 millions d’euros de chiffre d’affaires, avec des exceptions.
Des obligations concrètes
- Mesures de gestion des risques : politique de sécurité, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, chiffrement, contrôle d’accès, authentification multifacteur, formation.
- Signalement des incidents significatifs : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.
- Responsabilité des dirigeants : ils doivent approuver les mesures, en superviser la mise en œuvre et se former.
Des sanctions dissuasives
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes, selon la directive.
Pourquoi il ne faut pas attendre
1. Les attaques n’attendent pas la loi
Rançongiciels, compromissions de messagerie, attaques via les fournisseurs : les PME et ETI des secteurs visés sont des cibles quotidiennes. Les mesures de NIS 2 sont avant tout de bonnes pratiques de sécurité.
2. Vos clients vont l’exiger
Les grandes entreprises concernées doivent sécuriser leur chaîne d’approvisionnement. Elles intègrent déjà des exigences de sécurité dans leurs appels d’offres et contrats. Même si vous n’êtes pas directement concerné, vous le serez par ricochet.
3. Le chantier est long
Cartographie, analyse de risques, mise en place de la détection, procédures de gestion de crise, formation : la mise en conformité prend généralement 12 à 24 mois. L’ANSSI a d’ailleurs évoqué une conformité complète attendue à l’horizon 2028.
4. Le référentiel est déjà disponible
L’ANSSI a publié en mars 2026 un document de travail, le Référentiel Cyber France (ReCyF), qui décrit les mesures attendues. Ce n’est pas encore un texte contraignant, mais c’est une excellente base pour préparer votre feuille de route.
Par où commencer ?
- Déterminer si vous êtes concerné (secteur, taille) et à quel titre.
- Réaliser un état des lieux de votre sécurité au regard du ReCyF.
- Traiter les priorités : MFA, sauvegardes isolées et testées, gestion des comptes à privilèges, mises à jour, détection (EDR).
- Formaliser la gestion des incidents pour tenir les délais de 24 et 72 heures.
- Sensibiliser la direction et les équipes.
- Évaluer vos fournisseurs critiques.
Conclusion
L’attente de la loi Résilience n’est pas une raison de reporter : la menace est réelle, vos clients se préparent et le référentiel est connu. Nos ingénieurs cybersécurité et infrastructures vous accompagnent de l’état des lieux à la mise en œuvre des mesures. Si vous éditez des logiciels ou fabriquez des produits connectés, lisez aussi notre article sur le Cyber Resilience Act.
Situation au 15 octobre 2026. Le calendrier parlementaire évoluant rapidement, consultez le dossier législatif sur le site de l’Assemblée nationale et les publications de l’ANSSI.
Nos experts vous répondent sous 24 h ouvrées.
