À la date de rédaction (11 octobre 2026), la transposition de NIS2 en France n'est pas achevée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience », a été adopté par le Sénat en mars 2025 puis par une commission spéciale de l'Assemblée nationale en septembre 2025, mais son examen en séance publique, prévu à partir du 7 octobre 2026, a de nouveau été reporté 26. Aucun décret d'application ne peut donc encore être publié.
Ce retard ne signifie pas que rien n'est fixé. Le périmètre de la directive (UE) 2022/2555, ses obligations de gestion des risques et de notification, ses plafonds de sanctions sont connus depuis décembre 2022 1. Le texte adopté en commission précise déjà la façon dont la France entend les appliquer, et l'ANSSI, désignée comme autorité nationale, a publié dès mars 2026 son Référentiel Cyber France (ReCyF) et ouvert un service de pré-enregistrement 34.
Pour un DSI ou un RSSI, la bonne lecture est donc la suivante : le calendrier juridique reste flou, mais le contenu des obligations l'est beaucoup moins. Cet article fait le point sur la procédure, sur ce que contient le texte, sur le rôle de l'ANSSI et sur les entités concernées.
Transposition de NIS2 en France : une procédure parlementaire toujours bloquée
Les États membres devaient transposer NIS2 avant le 17 octobre 2024 1. En France, le projet de loi est examiné selon la procédure accélérée. Le Sénat l'a adopté en première lecture en mars 2025 6, puis la commission spéciale de l'Assemblée nationale a adopté une nouvelle version du texte, enregistrée le 10 septembre 2025 sous le numéro 1779 2.
Depuis, le texte attend son passage en séance. Son examen, annoncé pour le 7 octobre 2026, a été retiré de l'ordre du jour par la conférence des présidents le 6 octobre, officiellement en raison de l'encombrement du calendrier parlementaire. Le rapporteur Éric Bothorel espère une réinscription d'ici deux à trois semaines, sans qu'aucune date ne soit arrêtée 6. Un point politique pèse sur le débat : l'article 16 bis, introduit au Sénat, qui interdit d'imposer aux fournisseurs de chiffrement des dispositifs affaiblissant la sécurité, comme des clés de déchiffrement maîtresses 2.
Une pression européenne désormais contentieuse
La Commission européenne a adressé des lettres de mise en demeure le 28 novembre 2024, puis des avis motivés le 7 mai 2025. Le 8 juillet 2026, elle a annoncé saisir la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas pour défaut de notification d'une transposition complète, en demandant des sanctions financières 5. Cette procédure ne crée pas d'obligation directe pour les entreprises, mais elle rend peu probable un nouveau report de longue durée.
Le calendrier juridique de NIS2 reste flou en France, mais le contenu des obligations est connu depuis 2022.
Ce que contient le projet de loi Résilience
Le texte transpose plusieurs directives à la fois. Son titre I modernise le dispositif des opérateurs d'importance vitale au titre de la résilience des entités critiques. Son titre II porte la transposition de NIS2 2. Les points structurants de la version adoptée en commission sont les suivants :
- Autorité nationale : l'autorité nationale de sécurité des systèmes d'information, c'est-à-dire l'ANSSI, met en œuvre et contrôle la politique de cybersécurité (article 5) 2.
- Catégories : les entités essentielles et importantes sont définies par secteur et par seuils de taille (articles 7 à 9), avec une possibilité de désignation par le Premier ministre indépendamment de la taille (article 10) 2.
- Obligations de sécurité : mesures techniques, opérationnelles et organisationnelles approuvées et supervisées par les organes de direction, sur la base d'un référentiel fixé par décret (article 14) 2.
- Présomption de conformité : une entité qui applique ce référentiel, ou un référentiel reconnu équivalent, peut s'en prévaloir lors d'un contrôle (article 15) 2.
- Notification des incidents importants : notification initiale sous 24 heures, intermédiaire sous 72 heures, rapport final dans le mois (article 17) 2.
- Sanctions : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu 21.
Ces éléments peuvent encore évoluer en séance, puis en commission mixte paritaire. Les délais de mise en conformité accordés après la promulgation et les modalités précises d'enregistrement dépendront du texte final et de ses décrets : à la date de rédaction, aucune échéance ferme n'est fixée par l'ANSSI 43.
Le rôle de l'ANSSI : ReCyF, pré-enregistrement et accompagnement
Sans attendre le vote, l'ANSSI a structuré l'outillage qui servira de socle à la future réglementation. Le 17 mars 2026, elle a réuni les acteurs concernés au Campus Cyber et présenté plusieurs dispositifs 3.
Le Référentiel Cyber France (ReCyF)
Le ReCyF liste les mesures recommandées par l'ANSSI pour atteindre les objectifs de sécurité de NIS2. Il correspond au référentiel prévu par l'article 14 du projet de loi. Il est diffusé comme document de travail, en version 2.5, et n'aura de version définitive qu'après la transposition et une consultation 34. Il n'est pas obligatoire en l'état, mais une entité qui l'applique pourra s'en prévaloir lors d'un contrôle 24. L'ANSSI fournit aussi un outil de comparaison entre le ReCyF et d'autres référentiels, normes et réglementations, utile pour les organisations déjà certifiées ISO/IEC 27001 ou soumises à des exigences sectorielles 3.
Du portail MonEspaceNIS2 à MesServicesCyber
Le portail MonEspaceNIS2, ouvert par l'ANSSI pour informer les futures entités, renvoie désormais vers la page NIS 2 de MesServicesCyber, la plateforme de services de l'Agence. On y trouve le test « Suis-je concerné ? », qui indique si une entité serait régulée et dans quelle catégorie, la FAQ, le ReCyF et ses fiches pratiques 4. Le service de pré-enregistrement, hébergé sur club.ssi.gouv.fr, est ouvert aux entreprises sur une base volontaire ; l'ANSSI invite à l'utiliser dès maintenant pour faciliter l'enregistrement le moment venu 34.
Qui est concerné par NIS2 en France ?
Le changement d'échelle est considérable. Selon une présentation de l'ANSSI publiée en mars 2026, on passe de quelques centaines d'entités désignées sous NIS 1 (263 opérateurs de services essentiels depuis 2016) à plus de 25 000 entités, majoritairement régulées selon une logique de seuil 8. MesServicesCyber évoque 18 secteurs, dont 11 jugés hautement critiques et 7 critiques 4.
Pour les entreprises, la règle générale est simple : une entité d'un secteur couvert devient entité importante à partir de la taille d'une moyenne entreprise, et entité essentielle si elle dépasse celle d'une grande entreprise dans un secteur hautement critique 14. Certaines catégories sont couvertes quelle que soit leur taille, comme les prestataires de services de confiance qualifiés ou les registres de noms de domaine 1. L'article dédié à la qualification entité essentielle ou importante détaille ces règles.
Les collectivités forment le point le plus débattu. Dans la version de commission, régions, départements, communes de plus de 30 000 habitants, communautés urbaines, communautés d'agglomération, métropoles, SDIS et centres de gestion seraient entités essentielles, tandis que les communautés de communes seraient entités importantes ; les collectivités seraient en revanche exclues des amendes 6. Des amendements visent encore à restreindre ce périmètre 6.
Ce qui peut encore changer, au niveau français et européen
Deux sources d'incertitude coexistent. En France, la séance publique peut modifier le périmètre (notamment pour les collectivités), le sort de l'article 16 bis et les délais transitoires. Au niveau européen, la Commission a proposé le 20 janvier 2026 des modifications ciblées de NIS2 : création d'une catégorie de « petites entreprises à capitalisation moyenne » généralement traitées comme entités importantes, précisions sur la notification des rançongiciels, limitation des exigences techniques nationales supplémentaires lorsqu'un acte d'exécution existe 7. Cette proposition suit la procédure législative ordinaire et n'est pas adoptée à la date de rédaction 7.
Ces évolutions ajusteront les marges, pas le cœur du dispositif. Les dix domaines de mesures de l'article 21, les délais de notification de l'article 23 et la responsabilité des organes de direction prévue à l'article 20 ne sont pas remis en cause 1.
Que faire en attendant le vote ?
Attendre la promulgation pour lancer le programme NIS2 revient à compresser le travail dans les délais transitoires, quels qu'ils soient. Les actions suivantes sont utiles quel que soit le texte final :
- Passer le test « Suis-je concerné ? » de MesServicesCyber pour chaque entité juridique du groupe et documenter le raisonnement 4.
- Effectuer le pré-enregistrement volontaire sur club.ssi.gouv.fr si vous êtes une entreprise 3.
- Comparer votre référentiel actuel (ISO/IEC 27001, exigences sectorielles) au ReCyF v2.5 avec l'outil de l'ANSSI et chiffrer les écarts 3.
- Présenter au comité de direction les obligations de l'article 20 : approbation des mesures, supervision et formation des dirigeants 1.
- Tester dès maintenant un circuit de notification d'incident compatible avec les délais de 24 heures, 72 heures et un mois 2.
- Suivre le dossier législatif de l'Assemblée nationale pour connaître la date de séance et le texte final.
Conclusion
En octobre 2026, la France reste en retard sur NIS2 et l'issue parlementaire n'a pas de date. Mais le texte de commission, le ReCyF et les outils de l'ANSSI donnent une vision suffisamment précise pour engager les chantiers structurants dès aujourd'hui. DATASWING accompagne les équipes cyber et conformité dans la lecture de ces textes et leur traduction en feuille de route.
— Questions fréquentes
Ce qu'on nous demande souvent
La loi de transposition de NIS2 est-elle votée en France ?+
Non. À la date de rédaction (11 octobre 2026), le projet de loi Résilience a été adopté par le Sénat en mars 2025 et par une commission spéciale de l'Assemblée nationale en septembre 2025, mais son examen en séance publique, prévu le 7 octobre 2026, a été reporté sans nouvelle date. Les décrets d'application ne peuvent pas être publiés avant la promulgation.
Qu'est-ce que le ReCyF de l'ANSSI ?+
Le Référentiel Cyber France est la liste des mesures recommandées par l'ANSSI pour atteindre les objectifs de sécurité de NIS2. Publié le 17 mars 2026 en version de travail 2.5, il correspond au référentiel prévu par le projet de loi. Il n'est pas obligatoire en l'état, mais une entité qui l'applique pourra s'en prévaloir lors d'un contrôle de l'ANSSI.
Faut-il déjà s'enregistrer auprès de l'ANSSI pour NIS2 ?+
L'enregistrement obligatoire dépendra de la loi et de ses décrets. En attendant, l'ANSSI propose un pré-enregistrement volontaire sur club.ssi.gouv.fr, réservé pour l'instant aux entreprises, et encourage à l'utiliser pour faciliter la démarche lorsque la réglementation s'appliquera. Le test « Suis-je concerné ? » de MesServicesCyber permet de vérifier son éligibilité.
Quelles sanctions la France prévoit-elle pour NIS2 ?+
Le texte adopté en commission reprend les plafonds de la directive : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et jusqu'à 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Selon cette version, les collectivités territoriales seraient exclues des amendes.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union (directive NIS 2) ↗EUR-Lex, Journal officiel de l'Union européenne · 2022-12
- [2]
- [3]
-
[4]
NIS 2 : suis-je concerné, pré-enregistrement, ReCyF et ressources ↗ANSSI, MesServicesCyber · 2026
-
[5]
European Commission Refers Four Member States to CJEU Over NIS2 Transposition Delays ↗Hunton Andrews Kurth, Privacy & Cybersecurity Law Blog · 2026-07
- [6]
-
[7]
European Commission Proposes Targeted Amendments to NIS2 to Simplify Compliance and Align with Proposed Cybersecurity Act 2 ↗Covington & Burling, Inside Privacy · 2026-01
-
[8]
Découvrez la directive NIS 2 et passez à l'action ! (présentation) ↗ANSSI, MesServicesCyber · 2026-03
