NIS 2 en France, où en est la transposition et comment s'y préparer
La directive NIS 2 devait être transposée au plus tard le 17 octobre 2024. En France, le projet de loi qui la transpose est en cours d'examen au Parlement. Les entreprises concernées disposent déjà du texte de la directive et des outils de l'ANSSI pour se préparer.
- Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2, a été adopté par le Sénat le 12 mars 2025 et par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Inscrit en séance publique pour les 7 et 9 octobre 2026, il en a été retiré par la conférence des présidents du 6 octobre 2026, sans nouvelle date.
- Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas pour défaut de transposition, en demandant des sanctions financières.
- Depuis le 17 mars 2026, l'ANSSI met à disposition le Référentiel Cyber France (ReCyF), diffusé comme document de travail.
- Le règlement DORA s'applique directement aux entités financières depuis le 17 janvier 2025.
Le texte de transposition est en cours d'examen au Parlement.
Le projet de loi a été présenté en Conseil des ministres le 15 octobre 2024. Il transpose la directive NIS 2 et la directive sur la résilience des entités critiques, et adapte le droit français au règlement DORA. Le Sénat l'a adopté en première lecture le 12 mars 2025, puis la commission spéciale de l'Assemblée nationale a adopté son texte le 10 septembre 2025.
La conférence des présidents du 22 septembre 2026 a inscrit le texte en séance publique pour les 7 et 9 octobre. Celle du 6 octobre l'en a retiré, sans fixer de nouvelle date et sans avancer de motif. 397 amendements avaient été déposés en séance, après 505 en commission. Notre analyse du retrait du 6 octobre détaille ce que cette décision change pour les entités concernées. Le point de débat principal porte sur l'article 16 bis, qui interdit à l'État d'imposer un accès dérobé aux services de chiffrement, et dont le Gouvernement a demandé la suppression par un amendement du 3 octobre 2026. Selon l'ANSSI, NIS 2 entrera en vigueur en France une fois la loi, ses décrets et ses arrêtés publiés.
Deux catégories, définies par le secteur et par la taille.
Le périmètre se lit en deux temps. L'entité doit relever de l'un des dix-huit secteurs, répartis entre secteurs hautement critiques et autres secteurs critiques. Elle est ensuite classée selon sa taille.
Est entité essentielle celle qui emploie au moins 250 personnes, ou dont le chiffre d'affaires annuel dépasse 50 millions d'euros et le bilan annuel 43 millions d'euros. Est entité importante celle qui n'est pas essentielle et qui emploie au moins 50 personnes, ou dont le chiffre d'affaires et le bilan annuel dépassent 10 millions d'euros.
Le classement détermine le régime de contrôle. Une entité essentielle peut être contrôlée sans manquement préalable. Pour une entité importante, la supervision intervient en principe lorsque des éléments laissent supposer un manquement. Les deux catégories gèrent leurs risques et déclarent leurs incidents importants.
Le critère de taille se combine au secteur et à l'activité réellement exercée, et le calcul peut tenir compte des entreprises liées ou partenaires. Compter cinquante salariés ne suffit donc pas à conclure.
Pour les collectivités, le périmètre adopté en commission.
La directive impose de couvrir les administrations centrales et une partie des administrations régionales. Elle laisse aux États le choix d'inclure les administrations locales, et le projet français utilise cette possibilité.
Dans sa version adoptée par la commission spéciale, le texte classe parmi les entités essentielles les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines et les communautés d'agglomération. Les communautés de communes figurent parmi les entités importantes, sous conditions liées aux activités couvertes. Le seuil de 30 000 habitants ne s'applique donc pas à toutes les intercommunalités.
Le texte reprend par ailleurs les plafonds d'amende de la directive, en excluant de ces amendes l'État, les collectivités territoriales, leurs groupements et leurs établissements publics administratifs. L'exemption porte sur la sanction, pas sur l'obligation.
Ces arbitrages datent de septembre 2025, et 397 amendements attendent la séance. Ils peuvent changer.
La directive fixe déjà le contenu des obligations.
Le texte de la directive (UE) 2022/2555 donne le cadre que la loi française reprendra. Son article 21 liste les mesures de gestion des risques attendues, parmi lesquelles la continuité des activités, la reprise après sinistre et la gestion des crises. Son article 20 rend les organes de direction responsables de l'approbation de ces mesures et prévoit qu'ils suivent une formation.
L'article 23 organise la notification des incidents importants : une alerte précoce dans les 24 heures, une notification dans les 72 heures, un rapport final dans le mois. L'article 34 prévoit des amendes d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 % pour les entités importantes, en retenant le montant le plus élevé. La loi française précisera ces montants et leur mise en œuvre.
L'ANSSI a regroupé ses outils de préparation sur MesServicesCyber.
L'espace NIS 2 de MesServicesCyber réunit les outils de préparation de l'ANSSI. Un test en ligne détermine si une entité est régulée et à quelle catégorie elle appartient. Le pré-enregistrement auprès de l'agence est ouvert. Le Référentiel Cyber France, publié le 17 mars 2026, liste les mesures recommandées pour atteindre les objectifs de NIS 2, avec un comparateur vers les autres référentiels dont ISO. L'ANSSI le diffuse comme document de travail, susceptible d'ajustements selon les discussions parlementaires.
DORA s'applique depuis janvier 2025 au secteur financier.
Le règlement (UE) 2022/2554 s'applique directement aux banques, assureurs, sociétés de gestion et autres entités financières depuis le 17 janvier 2025. Il porte sur la gestion du risque lié aux technologies de l'information, la notification des incidents, les tests de résilience opérationnelle numérique et la relation avec les prestataires de services informatiques.
Par où commencer, selon votre situation
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2 (EUR-Lex)
- Règlement (UE) 2022/2554 du 14 décembre 2022, dit DORA (EUR-Lex)
- Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
- Commission européenne, « Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity », 8 juillet 2026
- ANSSI, « NIS 2 : l'ANSSI poursuit et renforce sa dynamique d'accompagnement », 18 mars 2026
- ANSSI, espace NIS 2 de MesServicesCyber, test d'éligibilité, pré-enregistrement et critères des entités essentielles et importantes
- INCYBER NEWS, « Transposition de NIS2 : l'examen à l'Assemblée nationale reporté, au plus tôt en septembre 2026 », 10 juillet 2026
- Assemblée nationale, relevé de conclusions de la conférence des présidents du 22 septembre 2026, inscription en séance
- Assemblée nationale, relevé de conclusions de la conférence des présidents du 6 octobre 2026, retrait de l'ordre du jour
- ENISA, guide technique de mise en œuvre des mesures de gestion des risques NIS 2
- ANSSI, « Panorama de la cybermenace 2025 », 11 mars 2026
Article à jour au 7 octobre 2026. Il sera actualisé dès l'adoption définitive de la loi.