Conformité NIS 2 : où en est la loi Résilience et que faire dès maintenant ?

C'est la mise en œuvre des exigences de la directive européenne NIS 2 par les entités concernées : mesures de gestion des risques de cybersécurité, notification rapide des incidents (24 heures, 72 heures, un mois), maîtrise de la chaîne d'approvisionnement et responsabilité accrue des dirigeants. En France, ces obligations dépendent de la loi Résilience, qui n'est pas encore promulguée.

La directive européenne existe, mais la loi française de transposition n'est pas encore promulguée (état au 11 août 2026) : les décrets d'application, l'enregistrement des entités puis les contrôles viendront ensuite. Pour autant, « la loi n'est pas votée » ne signifie pas « rien ne bouge » : l'ANSSI publie déjà ses outils et les grands donneurs d'ordre imposent déjà leurs exigences à leurs fournisseurs.

En six étapes : déterminer son périmètre (secteur, taille, clients régulés), recenser ses actifs et ses prestataires, s'auto-évaluer avec le ReCyF, lancer les chantiers qui prennent des mois (sauvegardes, authentification multifacteur, journalisation, plan de crise), préparer la notification des incidents en trois temps et impliquer la direction.

Les entités d'un des 18 secteurs listés (11 hautement critiques, 7 critiques) qui dépassent un seuil de taille : entité moyenne (50 à 249 salariés ou plus de 10 M€ de chiffre d'affaires) ou grande entité (250 salariés et plus, ou plus de 50 M€). Certaines entités sont visées quelle que soit leur taille. En France, cela représente environ 15 000 entités, contre environ 500 avant NIS 2.

Présenté en Conseil des ministres le 15 octobre 2024, le projet de loi a été adopté par le Sénat le 12 mars 2025, puis examiné en commission spéciale à l'Assemblée nationale, dont l'examen s'est achevé en septembre 2025. Au 11 août 2026, il n'est pas promulgué : l'examen en séance publique est attendu à la rentrée, suivi des décrets d'application. Le calendrier a déjà glissé plusieurs fois.

Quatre raisons : un texte trois-en-un (NIS 2, REC et des dispositions liées à DORA), qui demande l'accord de plusieurs ministères ; un agenda parlementaire saturé depuis 2024 (dissolution, successions de gouvernements) ; des arbitrages sensibles (pouvoirs de contrôle de l'ANSSI, articulation avec les services de l'État, collectivités territoriales) ; et un détail renvoyé aux décrets, arrêtés et au référentiel de l'ANSSI. L'échéance du 17 octobre 2024 a été manquée et la Commission européenne a ouvert une procédure d'infraction contre la France fin novembre 2024.

Non. L'ANSSI n'attend pas : elle a ouvert le guichet en ligne MonEspaceNIS2 et publié le ReCyF. Les chantiers (sauvegardes, authentification multifacteur, journalisation, plan de crise) prennent des mois, pas des semaines, et les grands donneurs d'ordre imposent déjà leurs exigences à leurs fournisseurs.

Le RGPD est un règlement d'application directe qui protège les données personnelles (autorité : la CNIL). NIS 2 est une directive à transposer qui protège la sécurité et la continuité des systèmes (autorité : l'ANSSI). Un même incident peut relever des deux, et la conformité RGPD ne dispense de rien.

Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. S'y ajoutent injonctions, publicité des sanctions et mesures visant les dirigeants. Elles ne sont pas pour demain matin : promulgation, décrets, enregistrement des entités, premiers contrôles ciblés, puis sanctions pleinement effectives, avec une mise en conformité progressive annoncée de l'ordre de trois ans.

C'est un sujet qui se qualifie avant de se chiffrer. La conformité est portée par l'entité et engage sa direction : un prestataire peut l'aider à voir clair (quelles exigences touchent quels systèmes) et opérer les briques techniques qui relèvent de son périmètre, mais pas la rendre conforme à sa place.

Pas directement, mais souvent par ricochet : NIS 2 impose aux entités régulées de sécuriser leur chaîne d'approvisionnement, et même hors périmètre, une entreprise reçoit les exigences de ses clients régulés : questionnaires de sécurité, clauses contractuelles, engagements de notification. Il faut d'abord vérifier son secteur et sa taille.