Transposition de NIS2 : le projet de loi « résilience » encore repoussé — ce qu’une PME peut faire sans l’attendre
Le texte français qui transpose NIS2 a de nouveau été retiré de l’ordre du jour de l’Assemblée le 6 octobre 2026. La directive, elle, n’a pas bougé, et le référentiel de l’ANSSI est déjà public. Ce qui est connu, et ce qu’il est raisonnable de faire maintenant.
Le projet de loi qui doit transposer NIS2 en droit français devait être examiné en séance publique à l’Assemblée nationale les 7 et 9 octobre 2026. Le 6 octobre, la conférence des présidents l’a retiré de l’ordre du jour ; le rapporteur espérait alors une réinscription « d’ici quinze jours ou trois semaines » (Next, Leto). À la date de publication de cet article, le texte n’est donc toujours pas voté.
Pour un dirigeant de PME, la conclusion naturelle serait d’attendre. C’est précisément la mauvaise lecture, et cet article explique pourquoi.
Ce que le texte français contient réellement
Le véhicule législatif s’appelle « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». Il ne transpose pas seulement NIS2 : il porte aussi la directive REC sur la résilience des entités critiques et le volet du règlement DORA applicable au secteur financier. Il a été adopté par le Sénat le 12 mars 2025 et attend depuis son examen par l’Assemblée.
L’échéance européenne de transposition était fixée au 17 octobre 2024. Le retard français dépasse donc deux ans, et la Commission européenne a engagé une procédure en manquement contre la France au cours de l’été 2026. Ce calendrier concerne l’État, pas les entreprises : aucune sanction ne peut frapper une entité française tant que la loi n’est pas promulguée et ses textes d’application publiés.
Ce qui est déjà connu, et ne dépend pas du vote
La directive NIS2 est publiée depuis 2022. Le débat parlementaire porte sur les modalités françaises — autorité compétente, sanctions, calendrier d’entrée en vigueur — pas sur le fond des obligations. Deux catégories d’entités sont prévues :
- Entités essentielles : les plus grandes structures des secteurs les plus critiques, à partir d’environ 250 salariés ou de seuils financiers équivalents.
- Entités importantes : à partir d’environ 50 salariés, ou de 10 millions d’euros de chiffre d’affaires ou de bilan, dans les secteurs couverts.
Les seuils exacts et la liste des secteurs relèvent du texte final ; ils sont encore cités avec des variantes d’une source à l’autre. L’ANSSI évoque « plusieurs milliers » d’entités assujetties en France. Trois obligations structurent le dispositif : s’enregistrer auprès de l’autorité, mettre en œuvre des mesures de gestion des risques, et notifier les incidents significatifs.
Le référentiel existe déjà : le ReCyF
C’est le point que l’attente fait manquer. Depuis le 17 mars 2026, l’ANSSI diffuse le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Il correspond au référentiel mentionné à l’article 14 du projet de loi et s’organise en quatre piliers — Gouvernance, Protection, Défense, Résilience — déclinés en vingt-deux domaines.
Il est diffusé comme document de travail et reste non obligatoire par défaut. Mais une entité qui décide de l’appliquer pourra s’en prévaloir lors d’un contrôle. Autrement dit : le contenu attendu est public depuis sept mois, même si l’obligation ne l’est pas encore.
Les cinq chantiers qui ne seront pas renégociés
Quel que soit le texte voté, ces cinq points figureront dans les attentes. Ce sont aussi, à peu de chose près, les fondamentaux d’une infrastructure PME sécurisée :
- Une cartographie des actifs : serveurs, postes, services en ligne, comptes à privilèges, prestataires qui accèdent au système.
- L’authentification multifacteur, au minimum sur la messagerie, l’administration et les accès distants.
- La journalisation des événements de sécurité, avec une rétention suffisante pour reconstituer un incident.
- Des sauvegardes testées, c’est-à-dire restaurées pour de vrai au moins une fois (voir la règle 3-2-1).
- Une procédure d’incident capable de produire une notification en 24 heures : qui décide, qui rédige, avec quelles informations.
Et si vous n’êtes pas assujetti
La majorité des PME ne le sera pas directement. Elles le seront indirectement, par leurs clients : une entité assujettie doit maîtriser le risque de sa chaîne d’approvisionnement, et le répercute en clauses contractuelles et en questionnaires. C’est l’effet de cascade, et il ne dépend d’aucun vote : il est déjà à l'œuvre dans les appels d’offres.
Attendre est le seul vrai risque
Un report parlementaire ne repousse ni les attaques, ni les exigences des donneurs d’ordre, ni le temps nécessaire pour déployer une authentification forte ou tester une restauration. Les entités qui se mettront en conformité dans la douleur sont celles qui auront pris le report pour un délai supplémentaire. Celles qui s’en sortiront auront traité ces cinq chantiers parce qu’ils ont une valeur propre, indépendamment de l’article de loi qui finira par les rendre obligatoires.
Sources
Une question sur votre situation ?
Faites l’auto-audit — 93 questions, sans inscription — ou demandez directement un audit gratuit : on regarde votre cas précis.