Directive NIS 2 : où en est la France, et ce qu'il faut faire sans attendre la loi

Nous avions publié trois articles sur NIS 2 en 2025. Ils décrivaient un calendrier de transposition qui a glissé depuis. Plutôt que de les corriger séparément, les voici fusionnés et remis à l’état réel du droit.

Où en est la transposition, factuellement

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « Résilience », porte la transposition de NIS 2 pour l’essentiel des acteurs. Le Sénat l’a adopté en mars 2025, une commission spéciale de l’Assemblée nationale l’a voté en septembre 2025, puis le texte a quitté les priorités de l’agenda parlementaire. Il n’était pas inscrit à la session extraordinaire de juillet 2026 ; son examen est attendu à l’automne au plus tôt, et il restera ensuite les décrets d’application avant toute entrée en vigueur effective.

Pendant ce temps, la procédure européenne a suivi son cours : avis motivé en mai 2025, puis renvoi de la France devant la Cour de justice de l’Union européenne le 8 juillet 2026 pour défaut de transposition, avec des sanctions financières à la clé pour l’État.

Ce qu’il faut en retenir n’est pas anecdotique : le calendrier ne dépend plus de vous, et il ne dépend même plus vraiment du Parlement. Quand la loi arrivera, les délais d’application seront courts, et les entités qui auront tout remis à la promulgation les subiront.

Qui est concerné : le changement d’échelle

NIS 1 visait environ 500 opérateurs en France. NIS 2 en visera de l’ordre de 15 000, répartis en deux catégories, les entités essentielles et les entités importantes, selon le secteur et la taille.

Les secteurs couverts

La directive répartit les secteurs entre deux annexes.

Haute criticité (annexe I) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services informatiques entre entreprises, administration publique, espace.

Autres secteurs critiques (annexe II) : services postaux et d’expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication, fournisseurs numériques, recherche.

Si votre secteur figure dans l’une de ces deux listes, il y a de fortes chances que vous soyez concerné, sous réserve du critère de taille.

Le critère de taille

La règle de principe : à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires annuel dans un secteur visé, vous entrez très probablement dans le champ d’application.

Cette règle connaît des exceptions. Certaines structures sont concernées quelle que soit leur taille, parce que leur rôle est jugé intrinsèquement critique : fournisseurs de réseaux de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine, et certaines entités uniques dans leur État membre.

Entités essentielles ou importantes : ce que la différence change

La distinction ne porte pas sur les mesures à prendre, qui sont les mêmes, mais sur la façon dont l’autorité vous surveille et sur le plafond des sanctions.

Les entités essentielles relèvent d’une supervision dite ex ante : l’autorité peut contrôler à tout moment, sans avoir besoin d’un signalement préalable, mener des inspections sur place et demander des audits de sécurité. Ce sont les grandes structures des secteurs d’annexe I.

Les entités importantes relèvent d’une supervision ex post : l’autorité intervient lorsqu’elle a connaissance d’un manquement ou d’un incident. Le contrôle est réactif plutôt que systématique, ce qui ne veut pas dire absent.

Concrètement, une entité importante n’a pas moins de travail à faire, elle a simplement moins de chances d’être contrôlée à froid. Bâtir sa conformité en pariant là-dessus reste un pari.

L’enregistrement auprès de l’ANSSI

NIS 2 introduit une obligation qui n’existait pas sous NIS 1 : les entités concernées devront se déclarer auprès de l’autorité nationale, en France l’ANSSI, avec leurs coordonnées, leur secteur et leurs points de contact pour la gestion des incidents.

C’est une formalité en apparence, et un révélateur en pratique : beaucoup d’organisations découvriront à cette occasion qu’elles n’ont pas de point de contact identifié pour un incident de sécurité, ni de suppléant, ni de procédure derrière. L’ANSSI a ouvert un espace en ligne dédié, sur lequel elle publie l’état d’avancement de la transposition et met à disposition un test d’éligibilité. C’est la source à suivre plutôt que les commentaires de seconde main, ce dossier ayant beaucoup bougé.

À la différence du RGPD, où le régulateur arrive surtout après l’incident, l’ANSSI se positionne en accompagnateur : elle publie des référentiels, et le CERT-FR intervient en appui des victimes d’attaques. Cette différence de posture mérite d’être connue des directions, car elle change la façon d’aborder le sujet.

Le cas des PME fournisseurs

Beaucoup de PME découvriront qu’elles sont concernées non par leur propre activité, mais par leur position de fournisseur d’une entité régulée : la directive fait de la sécurité de la chaîne d’approvisionnement une obligation, et cette obligation ruisselle par les contrats. Si vos clients grands comptes vous envoient depuis quelques mois des questionnaires de sécurité plus épais, NIS 2 en est une des raisons.

Les dix mesures de sécurité attendues

Le cœur du texte tient en dix mesures. C’est le socle minimum, et il est identique pour les entités essentielles et importantes, seule l’intensité du contrôle diffère.

• Analyse des risques et politiques de sécurité. Le point de départ : cartographier ses actifs informatiques et évaluer concrètement les menaces qui pèsent dessus.
• Gestion des incidents. Une procédure écrite, connue de tous, testée avant la crise et non pendant.
• Continuité d’activité et gestion de crise. Sauvegardes, plan de reprise, canaux de communication d’urgence.
• Sécurité de la chaîne d’approvisionnement. Vous devenez responsable de la sécurité de vos fournisseurs et sous-traitants directs.
• Sécurité de l’acquisition, du développement et de la maintenance des systèmes. Sécurité dès la conception, et gestion des vulnérabilités tout au long de la vie des applications.
• Évaluation de l’efficacité des mesures. Il ne suffit pas de mettre des défenses en place, il faut prouver qu’elles fonctionnent : audits et tests réguliers.
• Formation à la cyberhygiène. Les collaborateurs sont la première ligne de défense. Voir notre article sur la cybersécurité en entreprise.
• Cryptographie et chiffrement. Politiques et procédures d’usage.
• Sécurité des ressources humaines, contrôle d’accès et gestion des actifs.
• Authentification multifacteur et communications sécurisées.

Notification des incidents : un tempo serré

C’est l’une des exigences les plus opérationnelles du texte, et celle qui surprend le plus. Trois échéances s’enchaînent en cas d’incident important : une alerte précoce sous 24 heures, une notification complète sous 72 heures, et un rapport final sous un mois.

Tenir 24 heures ne s’improvise pas le jour de l’incident. Cela suppose de savoir à l’avance qui décide de la qualification, qui rédige, qui transmet, et par quel canal.

La responsabilité des dirigeants

C’est la nouveauté qui fait le plus réagir dans les conseils d’administration, à juste titre. Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et suivre une formation. Leur responsabilité peut être engagée en cas de manquement. NIS 2 sort la cybersécurité du service informatique pour la poser sur la table de la direction.

Côté sanctions, les montants annoncés atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, avec un régime moins élevé pour les entités importantes.

Ce qu’il faut faire maintenant, sans attendre la loi

Attendre la promulgation pour commencer est le mauvais calcul, pour une raison simple : rien de ce que NIS 2 demande n’est perdu si vous le faites trop tôt, et tout est pénible à faire dans l’urgence. Quatre chantiers se lancent dès maintenant, dans cet ordre.

Déterminer si vous êtes concerné, directement ou par ricochet contractuel : secteur, effectifs, chiffre d’affaires, et position dans la chaîne de vos clients. Faire l’état des lieux de vos mesures de sécurité réelles, pas déclaratives : c’est un périmètre qu’un audit couvre en quelques jours. Mettre en place la gestion des incidents, parce que tenir 24 heures pour une alerte ne s’improvise pas. Et embarquer la direction, puisque le texte la rend responsable en propre.

Pour les organisations déjà engagées dans une démarche RGPD, la bonne nouvelle est la mutualisation : registre des actifs, gestion des sous-traitants, procédure d’incident et sensibilisation servent les deux conformités. C’est le même mouvement, étendu à la sécurité de l’activité entière, et c’est ce que nous mettons en place dans un accompagnement de mise en conformité.