NIS2 en France : la loi n'est pas votée, mais ne gelez pas votre préparation
Octobre 2026, deux ans après la date limite de transposition de la directive NIS2 (17 octobre 2024), la France n'a toujours pas de loi applicable. Les entreprises se retrouvent à attendre un texte qui n'arrive pas. J'y vois une mauvaise raison de ne rien faire.
Où en est la transposition
Le texte vecteur est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Adopté par le Sénat en mars 2025, il attend l'examen en séance à l'Assemblée nationale. Selon plusieurs sources, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France en juillet 2026 pour ce retard. L'ANSSI a de son côté publié en mars 2026 le Référentiel Cyber France (ReCyF), document de travail qui préfigure les exigences. Le dossier législatif évolue vite : vérifiez son état sur le site de l'Assemblée nationale.
Êtes-vous concerné ?
La directive distingue deux catégories : les entités essentielles et les entités importantes. Les secteurs sont élargis par rapport à NIS1 : énergie, transports, santé, eau, infrastructures numériques, mais aussi gestion des déchets, industrie manufacturière, services postaux, agroalimentaire, fournisseurs numériques. Le critère de taille est en principe de 50 salariés ou 10 millions d'euros de chiffre d'affaires, avec des exceptions possibles.
Le périmètre exact en France dépendra du texte final. Dans l'attente, l'ANSSI propose un outil d'auto-évaluation sur son site (MonEspaceNIS2) : c'est le meilleur premier réflexe.
Ce que la directive demande
La directive impose des mesures de gestion des risques de cybersécurité, listées à l'article 21 : analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité dans l'acquisition et le développement, cryptographie, contrôle d'accès, authentification multifacteur, formation. La direction est personnellement responsable de l'approbation et du suivi de ces mesures. Les incidents significatifs doivent être notifiés rapidement, avec une alerte précoce sous 24 heures.
Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes.
Le raccourci ISO 27001
La liste de l'article 21 recoupe très largement une démarche ISO 27001 : analyse de risques, politiques, gestion des incidents, continuité, fournisseurs, sensibilisation. Une organisation certifiée a déjà couvert l'essentiel. Mais la certification ne vaut pas automatiquement conformité : le périmètre du SMSI doit couvrir les systèmes concernés, et certains points demandent une attention spécifique (notification des incidents dans les délais, responsabilité des dirigeants, chaîne d'approvisionnement).
Que faire sans attendre
Savoir si vous êtes concerné, avec l'outil de l'ANSSI et un examen de votre activité réelle, y compris comme sous-traitant de clients assujettis.
Faire un état des lieux par rapport aux mesures de l'article 21 et au ReCyF, pour mesurer l'écart.
Préparer la procédure d'incident : qui décide, qui notifie, avec quels éléments, en moins de 24 heures. C'est le point qui manque le plus souvent.
Sensibiliser la direction. La mise en cause personnelle des dirigeants rend cet échange incontournable.
Regarder la chaîne d'approvisionnement. Vos clients assujettis vous demanderont des garanties avant même la publication de la loi.
Attendre le texte final, c'est se condamner à une course contre la montre à l'entrée en vigueur. Les mesures sont connues, et la plupart relèvent du bon sens.
Pas sûr d'être concerné ? Contactez DCIT Conseil pour un état des lieux.
Didier Caradec, fondateur de DCIT Conseil, auditeur ISO 27001, Réserviste cyber citoyen.
Commentaires