NIS2 en France : où en est la loi ? (point fin octobre 2026)

Le calendrier, en quelques dates

• 27 décembre 2022 : la directive NIS2 est publiée au Journal officiel de l'Union européenne. Les États avaient jusqu'au 17 octobre 2024 pour la transposer.
• 15 octobre 2024 : le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » est présenté en Conseil des ministres.
• 11 et 12 mars 2025 : le Sénat l'examine et l'adopte.
• 10 septembre 2025 : la commission spéciale de l'Assemblée nationale vote le texte, qui attend depuis son passage en séance.
• Juillet 2026 : la Commission européenne saisit la Cour de justice de l'Union européenne contre la France (et l'Irlande, l'Espagne et les Pays-Bas) pour défaut de transposition, en demandant des sanctions financières.
• 6 octobre 2026 : la conférence des présidents de l'Assemblée retire le texte des séances des 7 et 9 octobre, en raison d'un calendrier chargé. Aucune nouvelle date n'est fixée à ce jour.

Ce qui se passera ensuite

Une fois la loi votée par l'Assemblée, le texte peut encore évoluer avant son adoption définitive. Viendront ensuite les décrets et arrêtés d'application, qui fixeront les obligations précises. Comme le rappelle l'ANSSI, NIS2 n'entrera en vigueur en France qu'une fois la loi et ses textes d'application publiés, et la date d'entrée en vigueur ne sera pas forcément celle où les exigences s'appliquent : des délais de mise en conformité sont attendus.

Êtes-vous concerné ?

NIS2 vise en règle générale les entreprises au moins « moyennes » : 50 salariés ou plus, ou plus de 10 millions d'euros de chiffre d'affaires et de total de bilan, dans une liste de secteurs : énergie, transports, santé, eau, numérique, fabrication de certains produits, gestion des déchets, alimentation… Certaines entités le sont quelle que soit leur taille. Le simulateur NIS2 vous donne une première estimation en quelques questions, et l'ANSSI propose déjà un pré-enregistrement pour les entités qui s'estiment concernées.

Que faire en attendant ?

Attendre la loi pour commencer serait une erreur : les mesures de base sont les mêmes quel que soit le texte final, et elles réduisent dès aujourd'hui votre risque réel.

1. Faire un état des lieux : savoir où vous en êtes sur les points que NIS2 et le Référentiel Cyber France (ReCyF) de l'ANSSI attendent.
2. Traiter l'essentiel : double authentification sur la messagerie et les accès à distance, sauvegardes protégées et testées, mises à jour, comptes administrateurs séparés.
3. Préparer l'incident : savoir qui appeler et quoi faire, avec les délais de notification prévus par la directive (alerte précoce sous 24 heures pour les incidents importants).
4. Documenter : une politique de sécurité simple, la liste de vos fournisseurs critiques, la trace de vos actions. C'est ce que vos clients et, demain, l'autorité vous demanderont.

Le bilan cyber gratuit fait ce premier état des lieux en 15 minutes, avec une estimation NIS2 et un plan d'action. Pour le détail des exigences, voir les obligations NIS2 expliquées.