Loi Résilience : où en est la transposition de NIS2 en France

La chronologie, source par source

Pourquoi le texte prend autant de retard

La dissolution de l'Assemblée nationale en juin 2024 a fait tomber le calendrier initial : le projet n'a été déposé qu'en octobre 2024, quelques jours avant la date limite européenne. Depuis, l'ordre du jour parlementaire a été chargé, et un point du texte bloque : l'article 16 bis, qui vise à protéger le chiffrement en empêchant d'imposer des portes dérobées aux messageries. La délégation parlementaire au renseignement y voit un risque pour la politique de renseignement, ce qui a retardé l'examen envisagé en juillet 2026.

Le dernier report, annoncé le 6 octobre 2026, a une raison officielle plus prosaïque : l'examen d'un autre projet de loi a pris plus de temps que prévu.

Ce que le texte prévoit pour les entreprises

Le texte reprend la structure de la directive. Il distingue deux catégories d'entités, essentielles et importantes, selon le secteur et la taille. Selon les éléments présentés lors de l'examen parlementaire, près de 15 000 entités seraient concernées en France, dont environ 1 500 collectivités, réparties dans 18 secteurs.

• Enregistrement auprès de l'ANSSI, qui deviendra obligatoire une fois la loi et ses décrets publiés.
• Mesures de gestion des risques : analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d'approvisionnement, authentification forte, formation, entre autres (article 21 de la directive).
• Responsabilité de la direction : les dirigeants approuvent les mesures, en suivent la mise en œuvre et se forment (article 20).
• Notification des incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois (article 23).
• Sanctions : la directive fixe des plafonds d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes. Selon le texte examiné, l'État et les collectivités ne seraient pas soumis à ces amendes, mais resteraient tenus aux obligations de sécurité et de notification.

Le calendrier de mise en conformité

Aucun calendrier légal n'existe tant que la loi n'est pas votée. Le 1er octobre 2026, devant les députés, le directeur général de l'ANSSI a indiqué que l'agence envisageait de demander une conformité complète des entités fin 2028 (dépêche AEF info du 2 octobre 2026). C'est une intention, pas encore une règle écrite.

Le référentiel ReCyF, publié par l'ANSSI le 17 mars 2026, décrit les objectifs de sécurité attendus et les mesures recommandées pour les atteindre. Il n'est pas obligatoire en tant que tel, mais une entité qui l'applique pourra s'en prévaloir lors d'un contrôle.

Ce que vous pouvez faire dès maintenant

1. 1Vérifier si vous seriez concerné, et dans quelle catégorie : notre simulateur NIS2 vous donne une première indication en quelques questions, et notre guide NIS2 pour les PME et ETI détaille les critères.
2. 2Si c'est le cas, vous pré-enregistrer sur MonEspaceNIS2 : c'est volontaire et gratuit, et cela vous place dans les circuits d'information de l'ANSSI.
3. 3Mesurer l'écart entre vos pratiques et les objectifs du ReCyF, en commençant par les mesures de base : sauvegardes hors ligne, double authentification, comptes d'administration séparés, gestion des incidents.
4. 4Informer la direction : la directive la rend responsable, et les arbitrages budgétaires se préparent maintenant.
5. 5Si vous voulez un état des lieux complet, notre audit de conformité NIS2 démarre à partir de 9 500 € HT : statut probable, écarts, plan de mise en conformité.

Comment nous suivons ce dossier

Nous relisons le dossier législatif de l'Assemblée nationale et du Sénat, les publications de l'ANSSI et de la Commission européenne, et la presse spécialisée. Chaque ligne de la chronologie renvoie à sa source. Quand une étape franchit le Parlement ou qu'un décret paraît, la page est mise à jour et sa date de mise à jour change en tête d'article.