La directive européenne NIS2 devait être transposée au plus tard le 17 octobre 2024. Deux ans plus tard, la France ne l’a toujours pas fait. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, et le 6 octobre 2026, l’Assemblée nationale a de nouveau retiré de son ordre du jour le projet de loi « Résilience » censé la transposer. Pour les milliers d’entreprises et de collectivités concernées, le flou continue, mais les obligations, elles, ne disparaîtront pas.
Rappel : NIS2, c’est quoi et qui est concerné ?
NIS2 élargit fortement le périmètre de la cybersécurité réglementée. En France, là où la première directive visait environ 300 opérateurs de services essentiels, NIS2 concernerait, selon la Commission supérieure du numérique et des postes (CSNP) :
- plus de 15 000 entités réparties dans 18 secteurs ;
- près de 1 000 intercommunalités ;
- environ 300 communes de plus de 30 000 habitants.
Beaucoup d’entreprises de taille moyenne, jusque-là jamais concernées, y entrent pour la première fois. Elles devront mettre en place des mesures de gestion des risques, déclarer leurs incidents importants et impliquer leur direction dans la gouvernance de la sécurité.
La procédure européenne contre la France
Le calendrier de la procédure en manquement, tel que rapporté par IT-Connect à partir du communiqué de la Commission :
| Date | Étape |
|---|---|
| 17 octobre 2024 | Date limite de transposition de NIS2 |
| 28 novembre 2024 | Lettres de mise en demeure |
| 7 mai 2025 | Avis motivés |
| 8 juillet 2026 | Saisine de la CJUE contre la France, l’Espagne, l’Irlande et les Pays-Bas |
Sur les 23 États membres qui avaient manqué l’échéance, 19 ont depuis régularisé leur situation. La Commission demande à la Cour d’infliger une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète. Les montants n’ont pas été rendus publics.
Point important : ce contentieux oppose la Commission à l’État français. Il ne vise aucune entreprise.
La loi Résilience, toujours en attente
La France a choisi de regrouper dans un seul texte la transposition de NIS2, de la directive REC sur la résilience des entités critiques et de dispositions liées à DORA pour le secteur financier. Son parcours :
- 15 octobre 2024 : dépôt au Sénat, en procédure accélérée ;
- 12 mars 2025 : adoption par le Sénat ;
- 10 septembre 2025 : adoption à l’unanimité par la commission spéciale de l’Assemblée nationale ;
- juillet 2026 : le texte ne figure pas à l’ordre du jour de la session extraordinaire ;
- 22 septembre 2026 : Next annonce son inscription en séance publique à partir du 7 octobre ;
- 6 octobre 2026 : la conférence des présidents le retire de l’ordre du jour des 7 et 9 octobre, sans nouvelle date.
Officiellement, le report s’explique par un calendrier chargé, notamment l’examen prolongé d’un texte sur les violences sexistes et sexuelles. Le rapporteur Éric Bothorel a dit espérer une réinscription « d’ici quinze jours ou trois semaines ». Au 18 octobre 2026, aucune nouvelle date de séance n’avait été rendue publique.
Le point de blocage : l’article 16 bis
Ajouté par le Sénat, l’article 16 bis interdit d’obliger les fournisseurs de services de chiffrement à intégrer des dispositifs affaiblissant volontairement la sécurité, comme des clés de déchiffrement maîtresses ou des portes dérobées. Selon la CSNP, la DGSI est en désaccord avec cette disposition, devenue le principal point de friction politique.
Ce que ça change pour vous, concrètement
L’absence de loi ne signifie pas l’absence d’obligations à venir. Le texte finira par être adopté, et la directive européenne en fixe déjà le contenu. Attendre la publication au Journal officiel pour commencer serait une erreur : les chantiers demandés prennent des mois.
Si vous pensez être concerné
- Vérifiez votre éligibilité : secteur d’activité, effectif, chiffre d’affaires. Les critères figurent dans la directive.
- Désignez un responsable au niveau de la direction : NIS2 engage la responsabilité des dirigeants.
- Cartographiez vos systèmes, vos données et vos prestataires critiques.
- Préparez la déclaration d’incident : qui détecte, qui décide, qui déclare, et en combien de temps.
- Posez les mesures de base : double authentification, sauvegardes hors ligne testées, mises à jour, gestion des accès, journalisation.
Si vous êtes fournisseur d’une entité concernée
Même hors périmètre, vous serez sollicité. Les entités NIS2 doivent sécuriser leur chaîne d’approvisionnement : attendez-vous à des questionnaires de sécurité, à des clauses contractuelles et parfois à des audits. Les prestataires informatiques, éditeurs de logiciels et hébergeurs sont en première ligne.
Pour les collectivités
Les intercommunalités et grandes communes sont dans une situation inconfortable : la CSNP souligne que, sans transposition, elles restent dans l’incertitude sur leurs obligations, leurs moyens et le niveau de protection attendu. Rien n’empêche toutefois de lancer sans attendre les mesures d’hygiène de base, utiles avec ou sans loi.
Pour faire un premier point avec vos équipes, notre quiz cybersécurité aborde les réflexes de base attendus par ces référentiels.
Sources
- IT-Connect, « NIS 2 encore repoussé : la France traînée devant la justice européenne », 14 juillet 2026 : https://www.it-connect.fr/nis2-transposition-france-saisine-cjue/
- Next, « Alléluia ! La transposition de NIS2 est enfin à l’ordre du jour de l’Assemblée nationale », 22 septembre 2026, mis à jour le 6 octobre 2026 : https://next.ink/brief-article/alleluia-la-transposition-de-nis2-est-enfin-a-lordre-du-jour-de-lassemblee-nationale/
- Leto, « NIS 2 : l’Assemblée nationale reporte de nouveau l’examen du projet de loi Résilience, sans nouvelle date », 6 octobre 2026 : https://www.leto.legal/news/assemblee-nationale-report-projet-loi-resilience-nis2-octobre-2026
- Banque des Territoires (Localtis), « Cybersécurité : la CSNP presse le Parlement d’examiner sans délai le projet de loi de résilience transposant NIS 2 », 18 mars 2026 : https://www.banquedesterritoires.fr/cybersecurite-la-csnp-presse-le-parlement-dexaminer-sans-delai-le-projet-de-loi-de-resilience
