L’essentiel
La transposition de NIS 2 en droit français entre dans sa dernière ligne droite : l’Assemblée nationale examine le projet de loi Résilience en séance publique à partir du mercredi 7 octobre 2026. Le texte arrive avec deux ans de retard sur l’échéance européenne du 17 octobre 2024.
Ce retard a un coût. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition, ce qui expose l’État à des sanctions financières.
Pour les entreprises, l’enjeu est immédiat. Environ 15 000 organisations devraient être désignées entités essentielles ou importantes et devront renforcer leur gestion des risques cyber, notifier leurs incidents et traiter les vulnérabilités, sous la responsabilité directe de leurs dirigeants.
Article à jour au 5 octobre 2026. Il sera actualisé après le vote de l’Assemblée nationale, puis après la promulgation de la loi.
Transposition NIS 2 : le calendrier de la loi Résilience
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, n’attend plus que l’Assemblée nationale pour achever son parcours. Il transpose la directive NIS 2 (titre II), la directive sur la résilience des entités critiques, dite REC (titre I), et adapte le droit français au règlement DORA pour le secteur financier (titre III). Le parcours du texte peut être suivi sur le dossier législatif de l’Assemblée nationale.
| Date | Étape |
|---|---|
| 14 décembre 2022 | Adoption de la directive (UE) 2022/2555, dite NIS 2 |
| 15 octobre 2024 | Présentation du projet de loi Résilience, procédure accélérée engagée |
| 17 octobre 2024 | Date limite de transposition fixée par la directive |
| 12 mars 2025 | Adoption du texte par le Sénat |
| 9 et 10 septembre 2025 | Adoption à l’unanimité par la commission spéciale de l’Assemblée nationale, avec 244 amendements |
| 8 juillet 2026 | Saisine de la CJUE par la Commission européenne contre la France pour défaut de transposition |
| À partir du 7 octobre 2026 | Examen en séance publique à l’Assemblée nationale |
| Ensuite | Commission mixte paritaire, vote définitif, promulgation, puis décrets d’application et référentiels de l’ANSSI |
La commission spéciale a sensiblement enrichi le texte. Elle a notamment soumis les éditeurs de logiciels aux obligations NIS 2, classé les établissements de santé et médico-sociaux parmi les entités essentielles et maintenu l’article 16 bis, qui interdit d’imposer des portes dérobées dans les outils de chiffrement.
La loi ne sera pleinement opérationnelle qu’après la publication de ses décrets d’application. Ceux-ci fixeront notamment les critères de désignation des entités et les délais de mise en conformité.
Entités essentielles et importantes : qui est concerné par NIS 2 ?
NIS 2 change d’échelle : environ 300 opérateurs de services essentiels étaient visés sous NIS 1, plus de 15 000 entités le seront dans 18 secteurs, auxquelles s’ajoutent près de 1 000 intercommunalités et 300 communes de plus de 30 000 habitants.
Le critère de base combine secteur et taille. Sont visées les entreprises moyennes (au moins 50 salariés, ou plus de 10 M€ de chiffre d’affaires et de bilan) et les grandes entreprises de ces secteurs. Certains acteurs sont concernés quelle que soit leur taille, comme les fournisseurs DNS, les registres de noms de domaine, les prestataires de services de confiance et les opérateurs de communications électroniques.
| Critère | Entités essentielles | Entités importantes |
|---|---|---|
| Profil type | Grandes entreprises (250 salariés et plus, ou plus de 50 M€ de chiffre d’affaires et 43 M€ de bilan) des 11 secteurs hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace | Entreprises moyennes de ces 11 secteurs, et entreprises moyennes ou grandes des 7 autres secteurs critiques : services postaux, déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs numériques, recherche |
| Contrôle de l’ANSSI | A priori et a posteriori (audits, inspections, demandes de preuves) | A posteriori, en cas d’indice de manquement |
| Amende maximale prévue par la directive | 10 M€ ou 2 % du chiffre d’affaires annuel mondial | 7 M€ ou 1,4 % du chiffre d’affaires annuel mondial |
Le texte français élargit ce socle. La version adoptée en commission y fait entrer les éditeurs de logiciels et classe parmi les entités essentielles les établissements de santé et médico-sociaux, les collectivités territoriales et les établissements d’enseignement menant des activités de recherche ; les collectivités échappent toutefois aux amendes.
Le calcul de la taille peut intégrer les entreprises liées : une filiale modeste d’un grand groupe doit donc vérifier sa situation. L’ANSSI a déjà ouvert un guichet de pré-enregistrement, première étape des obligations des entités.
Les obligations NIS 2 : gouvernance, sécurité, incidents et fournisseurs
NIS 2 impose quatre familles d’obligations, et la première pèse sur les dirigeants eux-mêmes.
Une gouvernance cyber au niveau de la direction
Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation en cybersécurité (article 20 de la directive). La cybersécurité devient un sujet de conseil d’administration ou de comité de direction, et non plus seulement de DSI.
Des mesures de gestion des risques « tous risques »
L’article 21 de la directive impose au minimum :
- une politique d’analyse des risques et de sécurité des systèmes d’information ;
- la gestion des incidents ;
- la continuité d’activité : sauvegardes, plan de reprise, gestion de crise ;
- la sécurité de la chaîne d’approvisionnement ;
- la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités ;
- l’évaluation de l’efficacité des mesures ;
- l’hygiène informatique et la formation ;
- la cryptographie et le chiffrement ;
- la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
- l’authentification multifacteur et les communications sécurisées.
En France, l’ANSSI a publié en mars 2026, en version bêta, le ReCyF (Référentiel Cyber France), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2.
La notification des incidents importants
Tout incident ayant un impact important sur les services doit être déclaré à l’autorité selon un calendrier serré (article 23) :
- une alerte précoce dans les 24 heures suivant sa découverte ;
- une notification d’incident dans les 72 heures, avec une première évaluation ;
- un rapport final dans un délai d’un mois.
Si l’incident touche des données personnelles, la notification à la CNIL dans les 72 heures prévue par le RGPD s’ajoute à ce circuit. Les deux procédures gagnent à être pilotées ensemble.
La sécurité des fournisseurs, y compris hors Union européenne
Chaque entité répond de la sécurité de ses fournisseurs directs. Elle devra auditer ses prestataires, revoir ses contrats et y intégrer des clauses de sécurité, d’audit et de notification des incidents.
Un prestataire établi en Tunisie, par exemple un centre de développement offshore, sera le plus souvent concerné indirectement, par les clauses que lui imposeront ses clients français. Certains acteurs hors Union peuvent toutefois relever directement de NIS 2 : les fournisseurs de services gérés, de cloud ou de centres de données qui offrent leurs services dans l’Union doivent y désigner un représentant (article 26).
Sanctions NIS 2 et responsabilité des dirigeants
Une entité essentielle en manquement s’expose à une amende pouvant atteindre 10 M€ ou 2 % de son chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le plafond est de 7 M€ ou 1,4 % pour une entité importante.
Les pouvoirs de contrôle de l’ANSSI sont élargis : inspections sur place, audits de sécurité ciblés, demandes d’informations et de preuves, injonctions de mise en conformité.
La responsabilité de la direction peut également être engagée. Pour les entités essentielles, la directive permet même d’interdire temporairement au dirigeant responsable d’exercer des fonctions de direction lorsqu’une mise en demeure reste sans effet ; la portée exacte de cette mesure en droit français dépendra du texte définitif.
Au-delà des sanctions administratives, un manquement documenté pourra fonder une action en responsabilité contre les dirigeants et fragiliser la position de l’entreprise face à son assureur cyber.
NIS 2, RGPD, DORA, Cyber Resilience Act et AI Act : une conformité à construire d’un seul tenant
Une entreprise déjà engagée dans la conformité RGPD dispose d’une base solide pour NIS 2 : gouvernance, encadrement des sous-traitants et procédure de gestion des violations. NIS 2 étend cette logique à l’ensemble des systèmes d’information, au-delà des seules données personnelles.
| Texte | Objet | Articulation avec NIS 2 |
|---|---|---|
| RGPD | Protection des données personnelles, sous le contrôle de la CNIL | Notification à la CNIL en 72 heures en cas de violation de données ; pas de double amende administrative pour un même comportement (article 35 de NIS 2) |
| DORA, règlement (UE) 2022/2554 | Résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025 | Texte spécial : il s’applique en priorité aux entités financières pour la gestion des risques et des incidents |
| Cyber Resilience Act, règlement (UE) 2024/2847 | Sécurité des produits comportant des éléments numériques | Signalement des vulnérabilités activement exploitées depuis le 11 septembre 2026, application complète le 11 décembre 2027 ; il complète l’obligation NIS 2 de sécurité des fournisseurs |
| AI Act, règlement (UE) 2024/1689 | Encadrement des systèmes d’intelligence artificielle | Les systèmes d’IA à haut risque doivent atteindre un niveau approprié de cybersécurité (article 15) et entrent dans l’analyse de risques NIS 2 |
Comme le relève l’éditeur Adequacy, interrogé par ChannelNews, juristes, RSSI et DPO ont trop longtemps traité ces obligations chacun de leur côté. Les nouveaux textes appellent une gouvernance unifiée, où le juridique, la sécurité et la protection des données avancent ensemble.
Conformité NIS 2 : six étapes à engager dès maintenant
Attendre la promulgation serait une erreur : l’ANSSI invite de longue date les entreprises à anticiper leur mise en conformité, car la plupart des exigences sont déjà connues.
- Qualifier l’entité : secteur, taille, appartenance à un groupe, statut d’entité essentielle ou importante, en documentant le raisonnement.
- Mobiliser la direction : présenter les obligations au comité de direction, désigner un responsable et planifier la formation des dirigeants.
- Mesurer les écarts : analyse de risques et audit au regard du ReCyF de l’ANSSI ou de la norme ISO/IEC 27001.
- Organiser la gestion des incidents : une procédure unique couvrant les délais de 24 heures, 72 heures et un mois, articulée avec la notification RGPD et testée par des exercices de crise.
- Sécuriser la chaîne d’approvisionnement : cartographier les prestataires critiques et réviser les contrats (clauses de sécurité, d’audit, de notification et de réversibilité), y compris avec les prestataires hors Union européenne.
- Documenter et prouver : politiques, comptes rendus de direction, preuves de formation et registres d’incidents, qui constitueront le dossier présenté en cas de contrôle.
Pourquoi associer un avocat à la conformité NIS 2
NIS 2 est d’abord une obligation juridique. L’avocat sécurise la qualification de l’entité, rédige les clauses fournisseurs, articule NIS 2 avec le RGPD et assiste l’entreprise lors d’un incident, d’un contrôle ou d’une procédure de sanction. Ses consultations sont en outre couvertes par le secret professionnel.
Installé au 7 place Saint-Michel, à Paris 5e, le cabinet accompagne les entreprises françaises et tunisiennes dans leur conformité RGPD et NIS 2 : diagnostic, audit juridique, contrats fournisseurs, procédures de notification et mission de DPO externalisé.
À propos de l’auteur. Me Mohamed Zied El Air est avocat aux barreaux de Paris et de Tunis et DPO certifié PECB. Il conseille les entreprises en protection des données, cybersécurité et droit du numérique, notamment entre la France et la Tunisie. Il a co-rédigé la stratégie nationale cloud de la Tunisie et figure sur la liste d’experts de l’ENISA ainsi que sur la liste de réserve d’experts du Comité européen de la protection des données (EDPB).
Votre entreprise est-elle concernée par NIS 2 ? Contactez le cabinet pour un premier diagnostic de votre situation. Les modalités d’intervention sont présentées sur la page Honoraires.
FAQ : transposition NIS 2 et loi Résilience
Qu’est-ce que la directive NIS 2 ?
La directive NIS 2 est la directive (UE) 2022/2555 du 14 décembre 2022 sur la cybersécurité. Elle remplace la directive NIS de 2016, élargit fortement le nombre d’organisations concernées et leur impose des obligations de gouvernance, de gestion des risques et de notification des incidents, sous peine de sanctions.
Où en est la transposition de NIS 2 en France ?
La transposition de NIS 2 entre dans sa phase finale. Le projet de loi Résilience, adopté par le Sénat en mars 2025 puis par la commission spéciale de l’Assemblée nationale en septembre 2025, est examiné en séance publique à partir du 7 octobre 2026. Restent la commission mixte paritaire, la promulgation et les décrets d’application.
Qu’est-ce que la loi Résilience ?
La loi Résilience désigne le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il transpose la directive NIS 2 et la directive REC sur les entités critiques, et adapte le droit français au règlement DORA applicable au secteur financier.
Mon entreprise est-elle concernée par NIS 2 ?
Votre entreprise est probablement concernée si elle exerce dans l’un des 18 secteurs visés et compte au moins 50 salariés, ou réalise plus de 10 M€ de chiffre d’affaires et de bilan. Certains acteurs du numérique le sont quelle que soit leur taille, et l’appartenance à un groupe doit aussi être examinée.
Quelle différence entre entité essentielle et entité importante ?
Les entités essentielles sont principalement les grandes entreprises des 11 secteurs hautement critiques ; les entités importantes regroupent les autres entités visées. Les obligations de sécurité sont les mêmes, mais les entités essentielles sont contrôlées a priori et encourent des amendes plus élevées.
Quelles sont les sanctions prévues par NIS 2 ?
Une entité essentielle risque jusqu’à 10 M€ ou 2 % de son chiffre d’affaires annuel mondial, une entité importante jusqu’à 7 M€ ou 1,4 %, le montant le plus élevé étant retenu. L’ANSSI dispose en outre de pouvoirs d’inspection, d’audit et d’injonction.
Les dirigeants sont-ils personnellement responsables ?
Oui, NIS 2 place la cybersécurité sous la responsabilité de la direction. Les dirigeants doivent approuver les mesures de sécurité, superviser leur mise en œuvre et se former. Leur responsabilité peut être engagée, et la directive permet une interdiction temporaire d’exercer des fonctions de direction dans les entités essentielles.
Quels sont les délais de notification d’un incident NIS 2 ?
Un incident important doit faire l’objet d’une alerte précoce dans les 24 heures, d’une notification dans les 72 heures, puis d’un rapport final dans un délai d’un mois. Si des données personnelles sont touchées, la notification à la CNIL prévue par le RGPD s’applique en parallèle.
Faut-il attendre la promulgation de la loi pour se mettre en conformité ?
Non. Les exigences de la directive sont connues et l’ANSSI a publié son référentiel ReCyF. Une mise en conformité demande plusieurs mois : qualification, analyse d’écarts, procédures, contrats fournisseurs. Les entreprises qui anticipent seront prêtes lorsque les décrets fixeront les délais.
Quel est le lien entre NIS 2 et le RGPD ?
NIS 2 protège la sécurité des systèmes d’information, le RGPD protège les données personnelles. Les deux textes se recoupent sur la gouvernance, la sécurité des sous-traitants et la notification des incidents. Une démarche commune évite les doublons, et NIS 2 exclut une double amende administrative pour un même comportement.
Un prestataire informatique tunisien est-il concerné par NIS 2 ?
Le plus souvent indirectement : ses clients français soumis à NIS 2 lui imposeront des clauses de sécurité, d’audit et de notification. Un fournisseur de services gérés, de cloud ou de centres de données établi hors Union et servant des clients européens peut toutefois relever directement de NIS 2 et devoir désigner un représentant dans l’Union.
Pourquoi faire appel à un avocat pour la conformité NIS 2 ?
Parce que NIS 2 crée des obligations juridiques assorties de sanctions. L’avocat qualifie la situation de l’entreprise, rédige les contrats fournisseurs, articule NIS 2 avec le RGPD et la défend en cas de contrôle. Ses consultations sont couvertes par le secret professionnel.
Références
- Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2), articles 20, 21, 23, 26, 32, 34 et 35
- Assemblée nationale, dossier législatif du projet de loi Résilience
- Règlement (UE) 2022/2554 (DORA)
- Règlement (UE) 2024/2847 (Cyber Resilience Act)
- ChannelNews, La transposition de NIS 2 entre dans sa phase finale, 2 octobre 2026
- Solutions Numériques, Le projet de loi NIS2 et DORA est adopté à l’unanimité en commission spéciale, 15 septembre 2025
- Banque des Territoires (Localtis), la CSNP presse le Parlement d’examiner sans délai le projet de loi de résilience, 18 mars 2026
- Next, NIS 2 : l’ANSSI publie son ReCyF, 19 mars 2026