NIS2 en France : ce que change la transposition

Au 3 novembre 2026, la France n’a pas achevé la transposition de la directive (UE) 2022/2555, dite NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat, mais l’Assemblée nationale ne l’a pas encore examiné en séance publique. Aucune loi n’est promulguée et aucun décret d’application n’est publié.

Devant la Cour de justice, la Commission demande une somme forfaitaire et des astreintes journalières contre la France, l’Irlande, l’Espagne et les Pays-Bas, jusqu’à la notification d’une transposition complète. À la date de rédaction, aucune nouvelle date d’examen n’est fixée à l’Assemblée nationale.

Une directive non transposée ne crée pas, par elle-même, d’obligations à la charge des entreprises. Les obligations propres à NIS2 (enregistrement, mesures de sécurité, notification des incidents, sanctions) s’appliqueront en France après la promulgation de la loi et la publication de ses textes d’application.

Le cadre antérieur reste en vigueur. La loi n° 2018-133 du 26 février 2018, qui a transposé la première directive NIS, s’applique toujours aux opérateurs de services essentiels. Les opérateurs d’importance vitale restent soumis au dispositif prévu par le code de la défense.

Le secteur financier suit un calendrier distinct. Le règlement DORA s’applique directement depuis le 17 janvier 2025 aux entités financières qu’il vise, sans transposition ; le projet de loi ne transpose que la directive qui l’accompagne (voir DORA et ISO 27001).

Dans les relations commerciales, rien n’empêche un client d’exiger dès aujourd’hui de ses fournisseurs des mesures de sécurité ou une certification, au titre de ses propres obligations ou de sa politique d’achats.

Le projet transpose trois textes : la directive NIS2 sur la cybersécurité, la directive (UE) 2022/2557 sur la résilience des entités critiques, et la directive (UE) 2022/2556 qui accompagne le règlement DORA.

Pour la cybersécurité, il reprend les deux catégories de la directive, entités essentielles et entités importantes, définies selon le secteur et la taille (détail dans NIS2 : entités concernées). Selon l’ANSSI, plusieurs milliers d’entités réparties sur 18 secteurs d’activité seront concernées, principalement des entreprises de taille moyenne et grande, des collectivités territoriales et des administrations.

Le texte confie la supervision à l’ANSSI. Il renvoie à un référentiel de cybersécurité, mentionné à son article 14, et prévoit l’enregistrement des entités, la notification des incidents et un régime de sanctions. La directive impose aux États de prévoir des amendes d’un montant maximal d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

Le contenu peut encore évoluer. La procédure accélérée ayant été engagée, une commission mixte paritaire pourra être réunie après le vote de l’Assemblée. Les seuils, délais et modalités cités ici sont ceux de la directive et du texte en discussion, pas ceux d’une loi en vigueur.

L’ANSSI, appelée à superviser le dispositif, a ouvert plusieurs services avant l’adoption de la loi.

MonEspaceNIS2 propose un test d’éligibilité, dont l’agence précise que les résultats sont strictement indicatifs, ainsi qu’une foire aux questions sur le périmètre et les obligations. Depuis novembre 2025, les entités qui estiment relever du dispositif peuvent se pré-enregistrer. L’ANSSI présente ce pré-enregistrement comme une préparation à l’enregistrement obligatoire, qui interviendra avec les textes réglementaires.

Depuis mars 2026, un espace NIS2 sur MesServicesCyber regroupe le test d’éligibilité, l’enregistrement auprès de l’ANSSI, les exigences du ReCyF et le signalement d’incidents. Il doit intégrer puis remplacer progressivement MonEspaceNIS2.

Le Référentiel Cyber France (ReCyF), publié le 17 mars 2026 en version 2.5, est le référentiel auquel renvoie l’article 14 du projet de loi. Il est organisé en objectifs de sécurité, chacun accompagné de moyens acceptables de conformité, et ses annexes font la correspondance avec les dispositions de NIS2.

L’ANSSI le diffuse comme document de travail. Aucune version définitive ne sera publiée avant la fin des travaux législatifs et réglementaires et une consultation, et le document reste susceptible d’ajustements après les débats parlementaires. Il n’est pas contraignant par défaut ; selon l’ANSSI, une entité qui choisit de l’appliquer pourra s’en prévaloir lors d’un contrôle. Un comparateur publié sur MesServicesCyber met ses exigences en regard d’autres référentiels, et un socle réduit de mesures est prévu pour les entités les moins matures.

NIS2 n’impose aucune certification. ISO/IEC 27001:2022 est une norme internationale dont l’application ne dépend pas du calendrier français. Elle couvre une large part des mesures de l’article 21 de la directive, selon la correspondance présentée dans notre guide NIS2 et ISO 27001. Un certificat ne vaut pas conformité à NIS2 et ne remplace ni l’enregistrement ni la notification des incidents, comme l’explique notre page audit NIS2.

La norme tient compte de l’évolution du cadre légal. Sa mesure A.5.31 demande que les exigences légales, statutaires, réglementaires et contractuelles applicables soient identifiées, documentées et tenues à jour. Lors des audits de surveillance, l’auditeur vérifie que cette identification suit les textes en vigueur, ce qui inclura la loi française une fois promulguée.

Certi-Trust réalise la certification ISO 27001 sous accréditation COFRAC n° 4-0612. Il n’atteste pas de la conformité à NIS2, qui relève de l’autorité nationale. Pour un échange sur votre périmètre, vous pouvez contacter un auditeur.

La loi de transposition de NIS2 est-elle adoptée en France ?
Non, à la date de rédaction (novembre 2026). Le Sénat a adopté le projet de loi le 12 mars 2025. L’examen en séance à l’Assemblée nationale, prévu à partir du 7 octobre 2026, a été reporté sans nouvelle date.

Les entreprises françaises doivent-elles déjà appliquer NIS2 ?
Les obligations de NIS2 s’appliqueront après la promulgation de la loi et la publication des textes d’application. Les régimes existants, pour les opérateurs de services essentiels et les opérateurs d’importance vitale, restent en vigueur, et un client peut déjà imposer des exigences de sécurité par contrat.

Qu’est-ce que MonEspaceNIS2 ?
Le service en ligne de l’ANSSI consacré à NIS2 : test d’éligibilité indicatif, foire aux questions et pré-enregistrement. L’espace NIS2 de MesServicesCyber doit progressivement le remplacer.

Le ReCyF est-il obligatoire ?
Pas à la date de rédaction. C’est un document de travail, non contraignant par défaut, appelé à évoluer avec la loi et ses textes d’application.

Quelle autorité contrôlera les entités en France ?
L’ANSSI, selon le projet de loi. Pour le secteur financier, le règlement DORA s’applique déjà, avec ses propres autorités de supervision.