Mehdi Assabbane
← Tous les articles

NIS 2 en France : où en est la loi et comment se préparer

Mehdi Assabbane ·

En bref (état au 23 octobre 2026)

  • La directive européenne NIS 2 devait être transposée par les États membres avant le 17 octobre 2024. En France, elle n'est toujours pas entrée en vigueur.
  • Le projet de loi « Résilience », qui la transpose, a été adopté par le Sénat en mars 2025 et par la commission spéciale de l'Assemblée nationale en septembre 2025. Son examen en séance, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour, sans nouvelle date.
  • L'ANSSI encourage les entités concernées à se préparer dès maintenant et propose un test d'éligibilité en ligne.

Introduction

NIS 2 est l'un des textes de cybersécurité les plus attendus — et les plus commentés — de ces dernières années. Elle étend fortement le nombre d'organisations soumises à des obligations de sécurité par rapport à la première directive NIS, en couvrant davantage de secteurs et des entreprises de taille moyenne.

Mais entre les annonces, les reports et les articles contradictoires, beaucoup de dirigeants et de responsables informatiques ne savent plus où en est le texte, ni s'ils sont concernés. Cet article fait le point à partir des sources officielles : l'ANSSI et l'Assemblée nationale.

Où en est la transposition ?

Date Étape
15 octobre 2024 Présentation du projet de loi en Conseil des ministres, procédure accélérée
17 octobre 2024 Date limite de transposition fixée par la directive
11-12 mars 2025 Examen et adoption par le Sénat
10 septembre 2025 Adoption du texte par la commission spéciale de l'Assemblée nationale
6 octobre 2026 La conférence des présidents de l'Assemblée retire le texte de l'ordre du jour des 7 et 9 octobre

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose en réalité trois textes européens : NIS 2, la directive sur la résilience des entités critiques (REC) et le volet de DORA qui concerne le secteur financier.

Comme le rappelle l'ANSSI, NIS 2 ne s'appliquera en France qu'une fois la loi et ses décrets et arrêtés d'application promulgués, et le texte peut encore évoluer pendant les débats parlementaires.

Qui sera concerné ?

Selon l'ANSSI, la directive couvre 18 secteurs : 11 secteurs « hautement critiques » (dont l'administration publique, l'énergie, la santé, la banque, les transports, les infrastructures numériques) et 7 autres secteurs « critiques » (dont l'agroalimentaire, la chimie, les services postaux, l'industrie manufacturière, la recherche).

Dans ces secteurs, deux catégories d'entités sont définies, principalement selon leur taille :

Catégorie Critère de taille (indicatif)
Entité essentielle (EE) Au moins 250 salariés, ou chiffre d'affaires annuel supérieur à 50 M€ et bilan supérieur à 43 M€
Entité importante (EI) Au moins 50 salariés, ou chiffre d'affaires et bilan supérieurs à 10 M€ (et non EE)

Il existe des exceptions dans les deux sens : certaines entités sont concernées quelle que soit leur taille (par exemple certains fournisseurs de services numériques), d'autres sont exclues. Le plus simple est d'utiliser le test d'éligibilité de l'ANSSI, disponible sur le portail MesServicesCyber.

Les petites entreprises qui ne sont pas directement concernées le seront souvent indirectement : leurs clients soumis à NIS 2 devront maîtriser la sécurité de leur chaîne d'approvisionnement, et exigeront des garanties de leurs prestataires.

Quelles obligations ?

L'ANSSI résume les obligations en trois volets :

  1. S'enregistrer auprès de l'ANSSI, une fois l'entité identifiée comme concernée.
  2. Gérer les risques cyber par des mesures juridiques, techniques et organisationnelles. L'ANSSI a publié une version de travail de son référentiel, le ReCyF (Référentiel Cyber France), susceptible d'évoluer.
  3. Déclarer les incidents de sécurité importants à l'ANSSI, avec des rapports de suivi.

Les entités seront soumises à des contrôles, et les sanctions pourront atteindre un pourcentage du chiffre d'affaires mondial : jusqu'à 2 % pour les entités essentielles et 1,4 % pour les entités importantes, selon l'ANSSI.

Que faire en attendant la loi ?

Attendre la promulgation pour commencer serait une erreur : les mesures attendues prennent des mois à mettre en œuvre, et la plupart relèvent de l'hygiène informatique de base.

1. Vérifier si vous êtes concerné

Faites le test d'éligibilité sur le portail de l'ANSSI. S'il est positif, utilisez le service de pré-enregistrement qui y est proposé.

2. Faire un état des lieux

Comparez votre situation aux exigences du ReCyF. L'ANSSI propose aussi un diagnostic cyber et un accompagnement gratuit.

3. Traiter les fondamentaux techniques

Sans attendre le texte définitif, plusieurs chantiers sont utiles dans tous les cas :

  • Inventaire des systèmes, applications et prestataires.
  • Gestion des mises à jour : capacité à appliquer rapidement les correctifs critiques, comme ceux publiés en octobre 2026 pour PHP ou GitLab.
  • Gestion des accès : authentification multifacteur, comptes à privilèges séparés, revue des droits.
  • Sauvegardes déconnectées et testées en restauration.
  • Journalisation et supervision : être capable de détecter un incident et de reconstituer ce qui s'est passé.
  • Procédure de gestion d'incident : qui fait quoi, qui prévient qui, et dans quels délais.

4. Impliquer la direction

NIS 2 met explicitement la gouvernance au cœur du dispositif : la cybersécurité devient un sujet de direction, et non plus seulement d'équipe informatique.

Checklist

  • Test d'éligibilité ANSSI réalisé.
  • Pré-enregistrement effectué si l'entité est concernée.
  • État des lieux par rapport au ReCyF.
  • Inventaire des systèmes et des prestataires à jour.
  • Processus de mise à jour des correctifs critiques en place.
  • Authentification multifacteur sur les accès sensibles.
  • Sauvegardes testées, dont une copie déconnectée.
  • Journalisation centralisée et procédure d'incident écrite.
  • Direction informée et impliquée.

FAQ

NIS 2 s'applique-t-elle déjà en France ? Non. Elle s'appliquera une fois la loi de transposition et ses textes d'application promulgués. Au 23 octobre 2026, l'examen du projet de loi à l'Assemblée nationale a de nouveau été reporté.

Mon entreprise compte 30 salariés. Suis-je concerné ? En règle générale, pas directement, sauf exceptions liées à certaines activités. Mais vos clients soumis à NIS 2 pourront vous imposer des exigences de sécurité. Faites le test d'éligibilité pour en avoir le cœur net.

Quels délais pour se mettre en conformité ? Ils seront fixés par la loi et ses décrets. Aucun délai officiel n'est en vigueur aujourd'hui : méfiez-vous des dates annoncées sans source officielle.

Les sanctions sont-elles déjà applicables ? Non, pas tant que la loi n'est pas promulguée. Les montants indiqués par l'ANSSI (2 % et 1,4 % du chiffre d'affaires mondial) donnent l'ordre de grandeur prévu.

Par où commencer techniquement ? Par l'inventaire, les mises à jour, les accès et les sauvegardes. Ces mesures sont exigées par tous les référentiels de sécurité et réduisent immédiatement le risque, indépendamment de NIS 2.

Conclusion

La transposition de NIS 2 prend du retard, mais son contenu est connu, et l'ANSSI fournit déjà les outils pour se préparer.

  1. Faites le test d'éligibilité aujourd'hui.
  2. Mesurez l'écart avec le référentiel ReCyF.
  3. Commencez par les fondamentaux techniques : ils protègent votre activité dès maintenant, loi ou pas.

Sources officielles