Transposition NIS2 en France : où en est la loi, ce qu'il faut faire

La chronologie, date par date (vérifiée aux sources)

• 14 décembre 2022 : adoption de la directive (UE) 2022/2555, dite NIS2, qui remplace NIS1 et élargit massivement le périmètre.
• 16 janvier 2023 : entrée en vigueur de la directive au niveau européen.
• 17 octobre 2024 : date limite de transposition dans les droits nationaux. La France, comme la majorité des États membres, ne l'a pas tenue ; la Commission européenne a engagé une procédure d'infraction contre les retardataires fin novembre 2024.
• 15 octobre 2024 : dépôt au Sénat du projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », qui transpose en un seul texte trois directives européennes : REC (résilience physique des entités critiques), NIS2 (cybersécurité) et le volet lié à DORA (secteur financier).
• 12 mars 2025 : adoption du texte par le Sénat en première lecture.
• 10 septembre 2025 : adoption du texte par la commission spéciale de l'Assemblée nationale.
• Depuis : la séance publique à l'Assemblée nationale n'a toujours pas eu lieu au 29 juillet 2026, l'examen ayant été plusieurs fois repoussé. Viendront ensuite l'éventuelle navette, la promulgation, puis les décrets d'application et le cadre technique de l'ANSSI.
• 17 mars 2026 : sans attendre la loi, l'ANSSI met à disposition le ReCyF (Référentiel Cyber France), document de travail qui décline les objectifs de sécurité NIS2 en mesures concrètes.

À retenir : le retard est politique, pas technique. Le contenu des obligations, lui, est connu depuis fin 2022 et ne changera pas sur le fond : la loi française précisera les délais, les modalités de contrôle et les sanctions exactes.

Qui sera concerné : le changement d'échelle

NIS1 concernait environ 500 opérateurs en France. Avec NIS2, l'ANSSI évoque de l'ordre de 15 000 entités, réparties en deux catégories, entités essentielles et entités importantes, dans 18 secteurs : énergie, transports, banque et infrastructures de marché, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC, administrations publiques, espace, services postaux, gestion des déchets, chimie, agroalimentaire, industrie manufacturière (dont dispositifs médicaux, électronique, machines, automobile), fournisseurs numériques et recherche.

Le critère d'entrée de référence : à partir de 50 salariés et 10 millions d'euros de chiffre d'affaires annuel dans un secteur couvert, avec des cas particuliers qui font entrer certaines entités quelle que soit leur taille. Beaucoup de PME et d'ETI qui n'ont jamais été régulées en cybersécurité le seront pour la première fois. Pour en avoir le cœur net, le simulateur officiel de l'ANSSI répond en quelques minutes : MonEspaceNIS2.

Ce que NIS2 exigera concrètement

Le socle est dans la directive elle-même, et il est stable :

• Gouvernance (article 20) : les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et se forment à la cybersécurité. La sécurité devient un sujet de direction générale, plus seulement de DSI.
• Gestion des risques (article 21) : une dizaine de mesures minimales, dont l'analyse des risques, la gestion des incidents, la continuité d'activité et la gestion de crise, la sécurité de la chaîne d'approvisionnement, la sécurité des acquisitions et du développement, la cryptographie, la formation et l'hygiène informatique, le contrôle d'accès et l'authentification multifacteur.
• Notification des incidents (article 23) : alerte précoce sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois pour les incidents importants.
• Sanctions (article 34) : la directive impose aux États de prévoir des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes. Les montants exacts applicables en France seront fixés par la loi.

Côté outillage français, le ReCyF publié par l'ANSSI en mars 2026 donne déjà la déclinaison opérationnelle attendue des objectifs de sécurité : c'est le meilleur point de départ pour un état des lieux, même s'il reste à ce stade un document de travail.

Pourquoi ne pas attendre « la date »

• Le précédent DORA : dans le secteur financier, l'échéance du 17 janvier 2025 a déclenché une ruée sur les mêmes profils (GRC, RSSI, consultants conformité) au même moment, avec les délais et les tarifs qui vont avec. NIS2 concerne 30 fois plus d'entités : la tension sera pire.
• Les exigences n'attendent pas la loi : assureurs cyber, donneurs d'ordre et appels d'offres demandent déjà des garanties de niveau NIS2 à leurs fournisseurs, notamment via la sécurité de la chaîne d'approvisionnement des grands groupes.
• L'effort s'étale : un état des lieux, une gouvernance, un plan de traitement et les premiers chantiers techniques prennent 12 à 18 mois dans une organisation moyenne. Commencer au vote de la loi, c'est courir derrière les délais dès le premier jour.
• Les incidents, eux, sont déjà là : se préparer à NIS2, c'est d'abord réduire un risque réel, la conformité vient de surcroît.

Les compétences avant les outils

La mise en conformité NIS2 est d'abord une affaire de personnes : quelqu'un pour cadrer (consultant NIS2 ou GRC en mission), quelqu'un pour porter dans la durée (RSSI, y compris à temps partagé pour les PME et ETI), et des compétences opérationnelles selon votre exposition (SOC pour tenir les délais de notification, DPO pour l'articulation avec le RGPD, DevSecOps pour la chaîne logicielle). Nous détaillons qui recruter, quand et sous quel format dans la page Consultant NIS2.

En résumé

Au 29 juillet 2026, la loi française de transposition de NIS2 n'est pas votée et aucune date ferme n'existe. Mais le contenu des obligations est connu et stable, l'ANSSI a ouvert le test d'assujettissement MonEspaceNIS2 et publié le ReCyF, et environ 15 000 entités dans 18 secteurs sont attendues dans le périmètre. La question utile n'est pas « quand tombe la loi » mais « serons-nous prêts quand elle tombera ». Méfiez-vous des contenus qui annoncent des dates fermes : au rythme des reports, seule la consultation des sources fait foi.

Questions fréquentes

Sources officielles

• Dossier législatif du projet de loi résilience, Assemblée nationale
• La directive NIS2, ANSSI (cyber.gouv.fr), dont MonEspaceNIS2 et le ReCyF
• Directive (UE) 2022/2555 (NIS2), texte intégral sur EUR-Lex

État du dossier et faits vérifiés sur ces sources le 29 juillet 2026. Cet article est une synthèse d'information destinée aux décideurs : il ne remplace pas l'analyse d'un avocat ou d'un consultant sur votre situation.