NIS2 en France : se préparer sans attendre la loi de transposition

À jour au 18 octobre 2026. La France n’a pas encore transposé la directive NIS2. Cet article fait le point sur la situation et sera mis à jour dès l’adoption de la loi.

Deux ans après la date limite fixée par l’Union européenne, la directive NIS2 n’est toujours pas transposée en droit français. Faut-il pour autant attendre ? Non : le contenu des obligations est connu, l’ANSSI a publié son référentiel et les délais de mise en conformité, une fois la loi votée, seront courts au regard des chantiers à mener.

Où en est la France ?

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022. Les États membres avaient jusqu’au 17 octobre 2024 pour la transposer.

En France, elle doit l’être par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose en un seul texte trois directives : NIS2, la directive sur la résilience des entités critiques (REC) et la directive qui accompagne le règlement DORA pour le secteur financier. Son parcours est long :

le Sénat l’a adopté en première lecture en mars 2025 ;
la commission spéciale de l’Assemblée nationale l’a adopté en septembre 2025 ;
son examen en séance publique, prévu à partir du 7 octobre 2026, a de nouveau été reporté. Aucune nouvelle date n’est fixée à ce jour.

Entre-temps, le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas pour défaut de transposition, en demandant des sanctions financières.

Concrètement, les obligations de NIS2 ne s’appliquent donc pas encore juridiquement en France. Mais leur contenu ne fait guère de doute : il est fixé par la directive, que la loi française doit reprendre.

Qui sera concerné ?

NIS2 élargit très fortement le périmètre de la première directive NIS de 2016. Elle vise 18 secteurs, répartis en deux annexes :

secteurs hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (entre entreprises), administration publique et espace ;
autres secteurs critiques : services postaux, gestion des déchets, chimie, alimentation, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche.

Dans ces secteurs, sont en principe concernées les entreprises moyennes et grandes : à partir de 50 salariés, ou de plus de 10 millions d’euros de chiffre d’affaires et de total de bilan. Certaines entités sont visées quelle que soit leur taille, par exemple les prestataires de services de confiance ou de services DNS. Le secteur public est également concerné.

Les organisations sont classées en deux catégories :

les entités essentielles, soumises à une supervision renforcée, y compris avant tout incident ;
les entités importantes, contrôlées principalement a posteriori, en cas d’indice de manquement.

Pour savoir si votre organisation entre dans le périmètre, l’ANSSI met à disposition un espace dédié, MonEspaceNIS2.

Ce que la directive exige

Une responsabilité portée par la direction

Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre et peuvent être tenus pour responsables en cas de manquement. Ils doivent aussi suivre une formation (article 20).

Des mesures de gestion des risques

L’article 21 impose une approche « tous risques » couvrant au minimum :

l’analyse des risques et les politiques de sécurité des systèmes d’information ;
la gestion des incidents ;
la continuité d’activité : sauvegardes, reprise après sinistre, gestion de crise ;
la sécurité de la chaîne d’approvisionnement et des relations avec les fournisseurs ;
la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités ;
l’évaluation de l’efficacité des mesures ;
l’hygiène informatique et la formation ;
la cryptographie et, le cas échéant, le chiffrement ;
la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
l’authentification multifacteur et les communications sécurisées.

Pour traduire ces objectifs en mesures concrètes, l’ANSSI met à disposition depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF). Il n’est pas obligatoire par défaut, mais une entité qui l’applique pourra s’en prévaloir en cas de contrôle de l’ANSSI.

Des délais de notification très courts

En cas d’incident important, l’article 23 prévoit trois échéances :

une alerte précoce sous 24 heures après en avoir eu connaissance ;
une notification sous 72 heures, avec une première évaluation ;
un rapport final sous un mois.

Des sanctions dissuasives

La directive prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

Pourquoi le SOC est au cœur du sujet

Tenir une alerte en 24 heures suppose de détecter vite et de qualifier juste. C’est souvent là que les organisations découvrent leurs angles morts :

des journaux qui ne remontent pas, ou pas tous : postes, cloud, applications métier, prestataires ;
des règles de corrélation qui génèrent du bruit au lieu de signaler l’essentiel ;
l’absence de critères écrits pour décider qu’un incident est « important » au sens de la directive ;
une chaîne de décision floue entre le SOC, la direction et les métiers ;
des preuves difficiles à reconstituer pour le rapport final.

Un SOC outillé (SIEM, SOAR, XDR) et des procédures de réponse documentées ne sont pas seulement des bonnes pratiques : ce sont les moyens concrets de respecter les délais imposés par NIS2.

Par où commencer dès maintenant

Vérifier votre périmètre : secteur, taille, catégorie probable (essentielle ou importante), avec l’espace MonEspaceNIS2 de l’ANSSI.
Impliquer la direction : désigner un responsable, présenter les enjeux et planifier la formation des dirigeants.
Cartographier vos actifs critiques et vos dépendances, y compris vos fournisseurs et prestataires.
Mesurer vos écarts par rapport aux mesures de l’article 21, en vous appuyant sur le ReCyF.
Tester la chaîne de détection et de notification : qui décide qu’un incident est important, en combien de temps et avec quelles preuves.
Éprouver la continuité : sauvegardes isolées, tests de restauration, exercice de crise.
Renforcer les contrats fournisseurs : clauses de sécurité, notification des incidents, droit d’audit.
Construire une feuille de route priorisée selon vos risques, à présenter à la direction.

Ce qu’il faut surveiller

la reprise de l’examen du projet de loi à l’Assemblée nationale, puis son adoption définitive ;
les décrets d’application, qui préciseront notamment les délais laissés aux entités pour se mettre en conformité ;
les évolutions européennes : la Commission a proposé le 20 janvier 2026 des modifications ciblées de la directive pour en clarifier certaines dispositions.

Sources

← Toutes les analyses