NIS2 en France : où en est la loi et que faire dès maintenant
La directive NIS2 étend les obligations de cybersécurité à environ 15 000 entités en France, dont des PME et des collectivités. Au 12 octobre 2026, la loi de transposition n’est toujours pas votée. Ce qui est sûr, ce qui reste ouvert et par où commencer.
L’essentiel en bref
- NIS2 est une directive européenne de décembre 2022. Elle impose des mesures de cybersécurité à des milliers d’organisations dans 18 secteurs. Les États membres devaient la transposer au plus tard le 17 octobre 2024.
- Au 12 octobre 2026, la France ne l’a pas encore transposée. Le projet de loi « Résilience » a été adopté par le Sénat le 12 mars 2025. Son examen en séance à l’Assemblée nationale, prévu le 7 octobre 2026, a de nouveau été reporté, et aucune nouvelle date n’est fixée.
- La Commission européenne a saisi la Cour de justice de l’Union européenne (CJUE) le 8 juillet 2026 contre la France, l’Irlande, l’Espagne et les Pays-Bas. Elle demande des sanctions financières.
- Selon les débats parlementaires, environ 15 000 entités seraient concernées en France, dont près de 1 500 collectivités territoriales, contre environ 500 sous le régime actuel.
- Les obligations ne s’appliquent pas encore en droit français, mais l’ANSSI a déjà publié ses outils : simulateur, pré-enregistrement volontaire et référentiel de mesures (ReCyF).
- Attendre la loi n’est pas une bonne stratégie. Les mesures exigées relèvent de bonnes pratiques de base, et l’ANSSI les recommande déjà.
De quoi parle-t-on ?
La directive (UE) 2022/2555, dite NIS2 (Network and Information Security), remplace la première directive NIS de 2016. Celle-ci ne visait en France que quelques centaines d’« opérateurs de services essentiels ». NIS2 élargit fortement ce périmètre. Elle impose aux organisations concernées de gérer leurs risques cyber, de déclarer leurs incidents importants et d’impliquer leur direction.
En France, NIS2 doit être transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Ce texte transpose aussi deux autres textes européens : la directive REC (résilience des entités critiques) et la directive associée au règlement DORA sur la résilience opérationnelle numérique du secteur financier. Il comporte trois titres, un par texte européen. Le titre consacré à la cybersécurité confie la supervision à l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information.
Pour un premier tour d’horizon, voir aussi notre article NIS2 : ce qui change pour les entreprises et les collectivités.
Où en est la transposition ?
Le texte a été déposé au Sénat le 15 octobre 2024, en procédure accélérée. Les sénateurs l’ont adopté le 12 mars 2025. À l’Assemblée nationale, une commission spéciale présidée par Philippe Latombe a adopté sa version le 10 septembre 2025. Le rapporteur est Éric Bothorel.
Depuis, le texte attend son examen en séance publique. Un examen espéré en juillet 2026 n’a pas eu lieu. Le point de désaccord le plus souvent cité est l’article 16 bis, ajouté par le Sénat. Il interdit d’imposer aux fournisseurs de solutions de chiffrement des dispositifs qui affaiblissent volontairement la sécurité, comme des clés de déchiffrement « maîtresses ». Selon la presse spécialisée, cet article oppose une partie des parlementaires aux services de renseignement.
Le 6 octobre 2026, la Conférence des présidents a retiré le texte de l’ordre du jour des 7 et 9 octobre. Le motif officiel est un calendrier chargé. Le rapporteur dit espérer une nouvelle inscription « d’ici quinze jours ou trois semaines », sans engagement. La prochaine Conférence des présidents se réunit le 13 octobre 2026. Notre article NIS2 : la loi Résilience de nouveau repoussée à l’Assemblée nationale retrace ces reports.
Après le vote de l’Assemblée, si les deux chambres n’adoptent pas le même texte, une commission mixte paritaire devra trouver un accord. Il faudra ensuite publier les décrets et arrêtés d’application. Ces textes préciseront notamment les critères fins, l’enregistrement et les modalités de déclaration. NIS2 ne s’appliquera pleinement en France qu’une fois tous ces textes publiés.
Qui est concerné ?
Les secteurs
La directive vise 18 secteurs, répartis en deux annexes.
- Secteurs hautement critiques (annexe I, 11 secteurs) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (technologies de l’information et de la communication) entre entreprises, administration publique, espace.
- Autres secteurs critiques (annexe II, 7 secteurs) : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules…), fournisseurs numériques, recherche.
Entités essentielles et entités importantes
La règle générale repose sur la taille. Sont concernées les entreprises d’un secteur visé qui sont au moins des entreprises moyennes, au sens de la recommandation européenne 2003/361. L’ANSSI résume ainsi les seuils :
- Entité essentielle : grande entreprise d’un secteur de l’annexe I, soit au moins 250 salariés, ou un chiffre d’affaires supérieur à 50 M€ et un bilan supérieur à 43 M€.
- Entité importante : entreprise moyenne d’un secteur de l’annexe I, ou entreprise moyenne ou grande d’un secteur de l’annexe II. Le seuil commence à 50 salariés, ou à un chiffre d’affaires et un bilan annuels supérieurs à 10 M€.
Il existe des exceptions. Certaines entités sont concernées quelle que soit leur taille : prestataires de services de confiance qualifiés, registres de noms de domaine, fournisseurs uniques d’un service essentiel dans un pays, entités désignées comme critiques. Une petite structure peut donc être visée. Inversement, une PME qui n’est pas directement concernée peut subir les exigences NIS2 de ses clients, au titre de la sécurité de leur chaîne d’approvisionnement.
Le cas des collectivités
Le projet de loi prévoit d’inclure des collectivités territoriales, mais leur périmètre exact dépend du texte final. Dans la version initiale du projet, les régions, les départements, les communes de plus de 30 000 habitants, les communautés urbaines, les communautés d’agglomération et les métropoles sont des entités essentielles. Les communautés de communes sont des entités importantes. Le seuil de 30 000 habitants a été validé par le Sénat. Le traitement des communautés de communes restait à clarifier fin 2025. Selon les chiffres cités lors des débats, environ 1 500 collectivités seraient concernées, dont environ 300 communes de plus de 30 000 habitants.
La meilleure façon de savoir si votre organisation est concernée est le simulateur de l’ANSSI sur MonEspaceNIS2. À sa mise en service, il ne permettait pas de conclure pour les collectivités, faute de loi votée.
Les obligations
Gérer les risques
L’article 21 de la directive impose des mesures « proportionnées » selon une approche « tous risques ». Elles couvrent au minimum :
- l’analyse des risques et les politiques de sécurité des systèmes d’information ;
- la gestion des incidents ;
- la continuité d’activité (sauvegardes, reprise) et la gestion de crise ;
- la sécurité de la chaîne d’approvisionnement, y compris les prestataires ;
- la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités ;
- l’évaluation de l’efficacité des mesures ;
- l’« hygiène » informatique de base et la formation ;
- la cryptographie et le chiffrement ;
- la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
- l’authentification multifacteur et les communications sécurisées.
En France, ces exigences seront traduites dans le Référentiel Cyber France (ReCyF). L’ANSSI l’a publié le 17 mars 2026 sous forme de document de travail (version 2.5), susceptible d’évoluer après le vote de la loi. Il n’est pas obligatoire par défaut. Une entité qui l’applique pourra s’en prévaloir lors d’un contrôle. L’ANSSI a aussi annoncé un référentiel de mesures basiques pour les structures les moins matures.
Déclarer les incidents importants
L’article 23 de la directive fixe trois étapes pour tout incident important :
- une alerte précoce dans les 24 heures après en avoir pris connaissance ;
- une notification dans les 72 heures, avec une première évaluation ;
- un rapport final au plus tard un mois après la notification.
En France, les déclarations se feront auprès de l’ANSSI, via le CERT-FR. Les modalités précises dépendent des décrets à venir.
S’enregistrer
Les entités devront se déclarer auprès de l’ANSSI et signaler leurs changements de situation. Ce dispositif sera obligatoire une fois la loi et son décret publiés.
Impliquer la direction
Selon l’article 20, les organes de direction approuvent les mesures de sécurité, supervisent leur mise en œuvre et peuvent être tenus responsables en cas de manquement. Leurs membres doivent suivre une formation. Pour les entités essentielles, la directive permet même, en dernier recours, d’interdire temporairement à un dirigeant d’exercer ses fonctions. Cette mesure ne s’applique pas aux administrations publiques.
Contrôles et sanctions
La directive fixe des plafonds minimaux d’amende administrative :
| Catégorie | Amende maximale (le montant le plus élevé est retenu) |
|---|---|
| Entité essentielle | 10 M€ ou 2 % du chiffre d’affaires annuel mondial |
| Entité importante | 7 M€ ou 1,4 % du chiffre d’affaires annuel mondial |
Les entités essentielles feront l’objet de contrôles a priori. Les entités importantes seront contrôlées a posteriori, notamment après un incident. Dans le projet de loi, l’État, les collectivités et leurs établissements publics administratifs ne sont pas soumis à ces amendes. Ils restent toutefois tenus aux obligations de sécurité et de déclaration.
En avril 2024, le directeur général de l’ANSSI avait évoqué une période transitoire de trois ans avant un contrôle pleinement exercé. Cette annonce n’a pas de valeur juridique : seuls la loi et ses décrets fixeront les délais réels.
Calendrier
| Date | Étape |
|---|---|
| 27 décembre 2022 | Publication de NIS2 au Journal officiel de l’UE |
| 15 octobre 2024 | Dépôt du projet de loi Résilience au Sénat |
| 17 octobre 2024 | Date limite de transposition (application prévue au 18 octobre 2024) |
| 28 novembre 2024 | Mise en demeure de 23 États membres, dont la France |
| 12 mars 2025 | Adoption par le Sénat en première lecture |
| 7 mai 2025 | Avis motivé de la Commission européenne |
| 10 septembre 2025 | Adoption par la commission spéciale de l’Assemblée nationale |
| 24 novembre 2025 | Ouverture du pré-enregistrement volontaire par l’ANSSI |
| 17 mars 2026 | Publication du ReCyF (document de travail) |
| 8 juillet 2026 | Saisine de la CJUE contre la France, avec demande de sanctions financières |
| 6 octobre 2026 | Examen en séance prévu le 7 octobre retiré de l’ordre du jour |
| À venir | Vote de l’Assemblée, éventuelle commission mixte paritaire, promulgation, décrets d’application |
Par où commencer
Ces actions sont utiles que votre organisation soit concernée ou non. Elles constituent la base attendue par NIS2.
- Vérifier votre statut. Passez le simulateur de MonEspaceNIS2. Si vous êtes une entreprise concernée, faites le pré-enregistrement volontaire sur le Club SSI de l’ANSSI : le formulaire prend environ 5 à 10 minutes. Si vous êtes une collectivité, créez un compte sur le Club SSI pour suivre les annonces.
- Désigner un responsable et informer la direction. Nommez un référent cybersécurité. Présentez NIS2 à l’équipe dirigeante ou à l’exécutif local, et prévoyez sa formation.
- Faire l’inventaire. Listez vos systèmes, vos données critiques, vos comptes à privilèges et vos prestataires informatiques.
- Traiter les mesures de base. Activez l’authentification multifacteur sur les messageries, les accès distants et les comptes d’administration. Appliquez les mises à jour de sécurité. Mettez en place des sauvegardes déconnectées et testez la restauration.
- Préparer la gestion d’incident. Rédigez une procédure courte : qui alerter, comment qualifier un incident, comment déclarer dans les 24 heures. Organisez un exercice de crise simple.
- Revoir les contrats. Intégrez des clauses de sécurité et de notification d’incident dans vos contrats avec les prestataires et les fournisseurs de services cloud.
- Se situer par rapport au ReCyF. Comparez vos pratiques au référentiel, ou au futur référentiel de mesures basiques si votre structure est peu outillée. Établissez ensuite un plan d’action sur douze à vingt-quatre mois.
Pour aller plus loin
- ANSSI, MesServicesCyber / MonEspaceNIS2 : simulateur, pré-enregistrement, ReCyF, fiches pratiques, FAQ.
- CERT-FR : déclaration d’incident et alertes de sécurité.
- Cybermalveillance.gouv.fr : assistance aux victimes et ressources de sensibilisation pour les PME et les collectivités.
- Assemblée nationale : dossier législatif du projet de loi n° 1112 pour suivre la navette parlementaire.
- EUR-Lex : texte officiel de la directive (UE) 2022/2555.
Méthode : synthèse rédigée avec l’assistance de l’intelligence artificielle à partir de sources primaires, faits vérifiés par un second modèle d’IA, relue et validée par Frédéric LENQUETTE. Elle est mise à jour au fil de l’actualité. Une erreur ? Signalez-la.
