NIS2 en France : êtes-vous concerné, et que faire maintenant ?
La France vient d'être renvoyée devant la justice européenne pour n'avoir toujours pas transposé NIS2. Voici comment savoir si vous êtes concerné, et pourquoi attendre la loi est la pire stratégie.
Où en est vraiment la transposition française
Le 9 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, pour n'avoir toujours pas transposé la directive NIS2. Avec demande de sanctions financières à la clé.
La date limite de transposition était fixée au 17 octobre 2024. Presque deux ans plus tard, le projet de loi résilience, qui doit porter NIS2 en droit français, n'est toujours pas adopté.
Si vous dirigez une entreprise, vous en tirez peut-être la conclusion la plus naturelle : rien ne presse. C'est exactement l'erreur que nous voyons le plus souvent en rendez-vous.
La loi tarde, mais les exigences de fond sont connues depuis 2022 et l'ANSSI a publié en mars 2026 un référentiel opérationnel, le ReCyF, précisément pour que les entreprises puissent avancer sans attendre. Environ 15 000 entités seraient concernées en France. Les délais de mise en conformité, eux, seront courts.
Reprenons la chronologie, parce qu'elle explique la situation. NIS2 est une directive européenne adoptée en décembre 2022. Une directive n'est pas directement applicable : chaque État doit la transposer dans son droit national. La France avait jusqu'au 17 octobre 2024.
Le véhicule choisi est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, souvent appelé loi résilience. Il porte trois textes européens à la fois : NIS2 pour la cybersécurité, REC pour la résilience des entités critiques, et DORA pour le secteur financier. Un texte lourd, qui avance lentement dans le calendrier parlementaire.
En juillet 2026, la situation est la suivante : le texte n'est pas adopté, il n'a pas été inscrit au programme de la session extraordinaire, et la Commission européenne a franchi l'étape supérieure en saisissant la Cour de justice le 9 juillet.
Cette saisine change quelque chose pour vous, même indirectement. Elle met la France sous pression pour légiférer vite. Et une loi votée dans l'urgence laisse rarement des délais confortables aux entreprises concernées.
Ce que fait l'ANSSI pendant ce temps
L'ANSSI n'a pas attendu. En mars 2026, elle a publié le Référentiel Cyber France, le ReCyF, un document de travail qui détaille les mesures techniques attendues des futures entités essentielles et importantes.C'est le signal le plus clair envoyé aux entreprises : voici ce qu'on vous demandera, commencez maintenant. Le document reste un projet, il évoluera, mais son socle correspond à des pratiques de sécurité stables qui ne dépendent d'aucun décret.
Le test en trois questions : êtes-vous concerné ?
Oubliez les listes d'acronymes. Trois questions suffisent dans la plupart des cas.
Si vous avez répondu oui à l'une de ces trois questions, la suite vous concerne. Si vous avez répondu non trois fois, lisez quand même la dernière section : les mesures de base vous protègent indépendamment de toute obligation.
Entité essentielle ou entité importante : ce que ça change
La directive répartit les organisations concernées en deux catégories, selon leur secteur et leur taille.
La différence porte sur l'intensité du contrôle, pas sur le socle de mesures. Dans les deux cas, on vous demandera d'avoir analysé vos risques, sécurisé vos accès, testé vos sauvegardes et préparé votre réponse aux incidents. La vraie question n'est donc pas votre catégorie : c'est votre point de départ.
Les quatre familles d'obligations, en langage de dirigeant
La direction devient responsable
C'est la rupture majeure par rapport à NIS1. Les dirigeants doivent approuver les mesures de gestion des risques cyber, suivre une formation, et peuvent voir leur responsabilité personnelle engagée en cas de manquement grave.Des mesures de sécurité minimales, et démontrables
Analyse de risques, politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, authentification multifacteur, gestion des accès. Rien d'exotique.La chaîne d'approvisionnement
Vous êtes responsable du niveau de sécurité de vos prestataires critiques. Il faut les identifier, évaluer leur maturité, et adapter vos contrats.L'effet est mécanique et se propage de proche en proche : chaque entité régulée interroge ses fournisseurs, qui interrogent les leurs. C'est ainsi que NIS2 touche des entreprises qui n'y sont pas soumises directement.
La déclaration des incidents
Un incident important se signale à l'ANSSI sous 24 heures pour l'alerte initiale, avec un rapport complet sous 72 heures. Ce délai est le plus opérationnel de tous, et le moins anticipé.Déclarer sous 24 heures : ce que ça suppose d'avoir préparé
Vingt-quatre heures, ce n'est pas beaucoup quand l'incident tombe un vendredi soir. Pour tenir ce délai, il faut trois capacités, et aucune ne s'improvise le jour J.
- Détecter. Si personne ne surveille les journaux et que l'alerte vient d'un client mécontent, le compteur a déjà tourné plusieurs jours.
- Qualifier. Un incident « important » au sens de la directive n'est pas n'importe quel incident. Quelqu'un doit pouvoir trancher rapidement, sur des critères définis à l'avance.
- Raconter. Une déclaration réglementaire demande des faits datés : ce qui s'est passé, quand, quels systèmes, quel impact estimé. Cela suppose une trace écrite tenue pendant la crise, au moment où tout le monde est occupé à éteindre l'incendie.
Ces trois capacités s'organisent à froid. C'est un exercice court, quelques heures de travail, qui évite une déclaration bâclée ou hors délai.
Ce que coûte l'attente
Les sanctions financières sont connues et dissuasives. Mais dans les faits, le premier coût de l'attentisme est ailleurs.
Par où commencer, sans attendre les décrets
Trois chantiers se lancent dès maintenant, et gardent leur valeur quel que soit le texte final.
Attendre la loi pour agir, c'est se condamner à travailler dans l'urgence, à un moment où tout le monde cherchera les mêmes compétences. Les entreprises qui s'y prennent maintenant choisissent leur rythme et leur budget.
Où en êtes-vous aujourd'hui ?
La première question n'est pas « que dit la loi ». C'est « où en sommes-nous ». Tant que la réponse reste floue, aucun arbitrage n'est possible.
C'est exactement ce que mesure notre auto-diagnostic : dix minutes de questions simples sur vos pratiques, un CyberScore de A+ à E aussi lisible qu'un Nutri-Score, et les premières actions à lancer. Gratuit, confidentiel, sans installation.
Vous savez quoi faire lundi matin, et pourquoi.
FAQ - Questions fréquentes
Les réponses aux questions les plus posées par nos lecteurs
ARTICLES CONNEXES
5 signes que votre SI est vulnérable sans le savoir
Un audit technique révèle souvent des angles morts insoupçonnés. Voici cinq signaux faibles qui doivent vous alerter avant qu'il ne soit trop tard.
DORA : ce que les prestataires financiers doivent savoir
Le règlement DORA s'applique à tout le secteur financier européen depuis janvier 2025. Focus sur les obligations qui impactent directement les prestataires informatiques.
Certification ISO 27001 : par où commencer vraiment, et ce que ça mobilise
Les cinq étapes de la certification ISO 27001, les délais réalistes, la charge interne que personne n'annonce, les cinq pièges les plus fréquents, et le lien avec NIS2.
