Où en est la loi, au moment où j’écris
NIS2 est une directive européenne qui impose un socle de cybersécurité à des milliers d’entreprises et d’organismes, dans dix-huit secteurs d’activité. Chaque État membre devait la traduire dans son droit avant le 17 octobre 2024. En France, le texte s’appelle le projet de loi « Résilience ». Le Sénat l’a adopté en mars 2025, la commission spéciale de l’Assemblée nationale a établi sa version en septembre 2025, et depuis, le passage en séance publique est repoussé de session en session. Le dernier report date du 6 octobre 2026 : le texte a été retiré de l’ordre du jour la veille de son examen, sans nouvelle date.
Conséquence concrète : aucune obligation NIS2 ne s’applique encore aux entreprises françaises. Pas de loi promulguée, pas de décret, pas de sanction possible. L’ANSSI, l’agence de l’État chargée du sujet, a tout de même publié en mars 2026 son Référentiel Cyber France, le document de travail qui décrit ce qui sera attendu. Il ne sera contraignant qu’une fois annexé à un décret.
Êtes-vous concerné ? Trois questions suffisent
Le périmètre tient à deux critères : votre secteur et votre taille. Les dix-huit secteurs couvrent bien plus que l’énergie ou les hôpitaux : industrie manufacturière, agroalimentaire, transports, gestion des déchets, services postaux, numérique, recherche, chimie, une partie de la distribution.
Côté taille, le seuil d’entrée dans la catégorie des « entités importantes » est de 50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de total de bilan. Au-delà de 250 salariés, ou de 50 millions d’euros de chiffre d’affaires, on passe dans la catégorie des « entités essentielles », avec des exigences supplémentaires. Quelques activités, comme l’hébergement ou l’édition de logiciels, peuvent être concernées quelle que soit leur taille.
Posez-vous donc trois questions. Mon activité figure-t-elle dans l’un des dix-huit secteurs ? Est-ce que je dépasse 50 salariés ou 10 millions d’euros ? Et si je ne suis pas concerné directement, l’un de mes clients l’est-il ? Cette troisième question est la plus importante.
Notre avis : ce n’est pas l’État qui vous le dira en premier
Le référentiel de l’ANSSI consacre un objectif entier à la « maîtrise de l’écosystème » : une entreprise soumise à NIS2 devra connaître et encadrer les risques que lui font courir ses fournisseurs. Traduction pour vous : si vous livrez, maintenez ou hébergez quoi que ce soit pour une entreprise concernée, elle vous demandera des comptes. Un questionnaire de sécurité, une clause dans le prochain contrat, une demande de preuves lors d’un renouvellement.
Ce mouvement a déjà commencé, bien avant la loi : les grands groupes sécurisent leur chaîne d’approvisionnement sans attendre le décret, et les assureurs cyber posent les mêmes questions. Notre conviction, c’est que la date qui compte pour une PME n’est pas celle du vote à l’Assemblée. C’est le jour où un donneur d’ordre lui dit : « montrez-nous ce que vous faites ».
Le second point de notre position tient en une phrase : les mesures de base coûtent moins cher que la première attaque. Les quinze premiers objectifs du référentiel, ceux qui s’appliqueront aux entités importantes, ne demandent rien d’exotique. Savoir ce que l’on possède, décider qui est responsable, contrôler les accès, mettre à jour, sauvegarder, savoir quoi faire quand ça casse. Une entreprise qui s’arrête une semaine parce qu’un fichier chiffré a bloqué sa facturation paie bien plus que l’ensemble de ces mesures. Et personne ne lui demandera alors si la loi était promulguée.
Ce que le texte vous demandera, en clair
Trois familles d’obligations se dessinent, et elles ont peu de chances de changer d’ici le vote. D’abord, vous enregistrer auprès de l’ANSSI, qui a déjà ouvert un pré-enregistrement facultatif en ligne, avec un simulateur pour vérifier si vous entrez dans le périmètre. Ensuite, déclarer les incidents importants : une alerte sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final. Enfin, mettre en œuvre les mesures du référentiel et pouvoir le prouver. Le projet de loi prévoit aussi que la direction porte la responsabilité du sujet : la cybersécurité devient une affaire de dirigeant, pas seulement d’informaticien.
Par quoi commencer, concrètement
Pas par un tableur de deux cents lignes. Nous recommandons de démarrer par trois chantiers qui resteront utiles quel que soit le texte final.
Faites l’inventaire : quelles applications font tourner l’entreprise, où sont les données, qui y accède, qui s’en occupe. C’est le premier objectif du référentiel, et le plus souvent absent. Désignez un responsable et faites-le remonter à la direction : une réunion par trimestre avec trois indicateurs suffit pour commencer. Testez une restauration de sauvegarde, vraiment, sur un cas réel : le jour de l’incident est le pire moment pour découvrir qu’elle ne fonctionne pas.
Ces trois chantiers répondent en même temps aux questionnaires de vos clients, aux exigences de votre assureur et au RGPD. Ils ne demandent pas d’attendre l’Assemblée nationale.