ekera
Devenir client
Réglementation · NIS2

NIS2 : la loi Résilience encore repoussée, pourquoi une ETI ne doit pas attendre

· 4 min de lecture

Le texte qui transpose NIS2 en droit français a de nouveau été retiré de l’ordre du jour de l’Assemblée nationale, sans nouvelle date. La France a pourtant deux ans de retard, Bruxelles l’a attaquée devant la Cour de justice de l’Union, et les obligations à venir sont déjà connues dans leurs grandes lignes.

Ce qui s’est passé

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose trois textes européens : NIS2, DORA pour le secteur financier et la directive sur la résilience des entités critiques. Déposé au Sénat le 15 octobre 2024 et adopté par les sénateurs le 12 mars 2025, il attend depuis l’examen en séance à l’Assemblée nationale, où la commission spéciale a rendu son texte le 10 septembre 2025.

Son examen devait commencer le 7 octobre 2026. La veille, la conférence des présidents l’a retiré des séances des 7 et 9 octobre pour laisser la place à un autre texte dont l’examen durait plus longtemps que prévu. Aucune nouvelle date n’a été fixée ; le rapporteur espérait une réinscription sous deux à trois semaines. Près de 400 amendements avaient été déposés pour la séance, après plus de 500 en commission.

La date limite de transposition fixée par l’Union était le 17 octobre 2024. En juillet 2026, la Commission européenne a annoncé saisir la Cour de justice de l’Union européenne contre la France, ainsi que l’Espagne, l’Irlande et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète.

Pourquoi c’est important

Selon l’exposé des motifs du projet de loi, le nombre d’entités régulées en France passerait d’environ 500 à près de 15 000, et les secteurs concernés de 6 à 18. Une grande partie de ces nouvelles entités sont des ETI et des PME qui n’ont jamais été soumises à une réglementation de cybersécurité, et qui n’ont souvent ni responsable de la sécurité ni architecte.

Le report ne change rien au fond. Les obligations viennent de la directive elle-même et ne seront pas réinventées par le Parlement : gestion des risques, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, contrôle des accès et authentification forte, gestion des vulnérabilités, formation, et notification des incidents importants (alerte précoce sous 24 heures, notification sous 72 heures). L’ANSSI a publié son référentiel, ReCyF, pour guider la mise en œuvre.

Surtout, le marché n’attend pas la loi : les grands donneurs d’ordres, déjà soumis aux règles, répercutent leurs exigences sur leurs fournisseurs, et les assureurs posent des questions de plus en plus précises avant de couvrir un risque cyber. Une ETI qui attend le décret découvrira ses obligations par un questionnaire de client ou d’assureur, avec un délai de réponse de quelques semaines.

Ce que cela change pour une ETI

  • Savoir si l’on est concerné : croiser son secteur d’activité et sa taille avec les annexes de la directive, sans attendre le texte français.
  • Cartographier son SI : on ne protège ni ne prouve ce qu’on ne voit pas. Applications, serveurs, comptes, prestataires, flux : c’est la base de toutes les autres mesures.
  • Mesurer ce qu’une attaque arrêterait : identifier les activités critiques et ce qu’un arrêt coûterait permet de choisir les travaux utiles d’abord.
  • Préparer la notification d’incident : qui décide, qui prévient qui, en 24 heures.
  • Rassembler les preuves : politiques, sauvegardes testées, authentification forte, contrats des prestataires. Ce sont elles que demanderont clients, assureurs et, plus tard, l’ANSSI.

Sources

  1. Leto, « Transposition NIS 2 : le projet de loi Résilience de nouveau reporté », octobre 2026
  2. Next, sur le report de l’examen à l’Assemblée nationale, mis à jour le 6 octobre 2026
  3. NosParlementaires, « Loi NIS 2 : déprogrammée la veille de la séance, sans nouvelle date », 7 octobre 2026
  4. Novrisk, « NIS 2, 397 amendements déposés et un retrait sans date de retour », octobre 2026
  5. Le Monde Informatique, « L’UE poursuit la France pour non transposition de la directive NIS 2 », 9 juillet 2026
  6. Directive (UE) 2022/2555 (NIS2), Journal officiel de l’Union européenne, articles 21 et 23

Article préparé avec l’agent de veille d’Ekera à partir des sources citées, relu et validé par l’équipe avant publication. Ekera cartographie le SI des ETI, chiffre ce qu’une attaque arrêterait et prépare les preuves NIS2. Découvrir Ekera.