Où en est NIS2 en France à l’été 2026 ? La directive européenne devait être transposée avant le 17 octobre 2024, mais la loi française — le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité » — est toujours en cours d’examen parlementaire. Malgré ce retard, l’ANSSI a déjà publié son référentiel et ouvert l’enregistrement : une partie du dispositif est déjà exigible en pratique.
⏱ L’essentiel en 30 secondes
- Statut de la loi : le projet de loi résilience a été adopté au Sénat le 12 mars 2025 et est en attente d’examen définitif à l’Assemblée nationale (été 2026).
- Déjà en place : le référentiel ReCyF (17 mars 2026) et le pré-enregistrement sur MonEspaceNIS2 (depuis novembre 2025).
- À venir : promulgation attendue courant 2026, puis décrets d’application précisant listes d’entités et échéances.
La chronologie de la transposition en France
Première directive européenne sur la sécurité des réseaux, transposée en France en 2018. Elle ne visait qu’environ 300 opérateurs.
L’Union européenne adopte la directive (UE) 2022/2555, qui élargit massivement le périmètre.
Date limite théorique pour transposer NIS2 en droit national. La France, comme d’autres États, n’a pas tenu ce délai.
Le projet de loi « résilience » (qui transpose aussi NIS2, DORA et REC/CER) est adopté en première lecture au Sénat.
L’ANSSI ouvre le pré-enregistrement sur sa plateforme officielle.
L’ANSSI publie son Référentiel Cyber France, avant même la promulgation de la loi, pour permettre aux entités de se préparer.
Examen en séance publique attendu, avec une promulgation espérée dans la foulée, suivie des décrets techniques.
Période de transition pour l’enregistrement et l’auto-évaluation, puis montée en puissance des contrôles de l’ANSSI et application effective des sanctions.
Vous voulez prendre de l’avance sur la loi ?
Faites le point en 30 min avec un spécialiste.
Juillet 2026 : la France poursuivie devant la Cour de justice de l’UE
L’échéance européenne de transposition était fixée au 17 octobre 2024. Sur les 23 États qui l’avaient manquée, 19 ont depuis régularisé. Il n’en reste que quatre : la France, l’Espagne, l’Irlande et les Pays-Bas.
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne (CJUE) contre ces quatre pays. Elle demande une somme forfaitaire assortie d’astreintes journalières, qui courent tant que la directive n’est pas transposée.
Pourquoi la loi « résilience » est bloquée
Adopté au Sénat en mars 2025 puis en commission spéciale à l’Assemblée nationale le 10 septembre 2025, le projet de loi n’a jamais été inscrit en séance publique. Le blocage ne tient pas au cœur technique de NIS2 mais à l’article 16 bis sur le chiffrement : il interdit d’imposer aux fournisseurs de chiffrement des « portes dérobées », un sujet politiquement sensible (renseignement, libertés publiques). Selon le gouvernement, l’examen est attendu au plus tôt à la session de septembre 2026.
Ce que ça change pour une PME : la saisine de la CJUE met la France sous pression pour voter vite. Quand la loi arrivera, les délais de mise en conformité seront courts. Les entreprises qui auront anticipé (inventaire, gouvernance, mesures de base du ReCyF) seront prêtes ; les autres devront rattraper en urgence.
Directive européenne vs loi française : ce qui change
La directive fixe un cadre commun ; la loi française et ses décrets en précisent l’application. Voici les principaux points de traduction en droit national :
| Point | Directive UE (NIS2) | France (loi résilience + ANSSI) |
|---|---|---|
| Autorité compétente | Chaque État désigne une autorité | L’ANSSI est l’autorité nationale unique |
| Référentiel de mesures | 20 objectifs de sécurité génériques | Le ReCyF décline ces objectifs, gradués EE / EI |
| Enregistrement | Obligation d’enregistrement des entités | Via la plateforme MonEspaceNIS2 |
| Catégories d’entités | Entités essentielles / importantes | Mêmes catégories, listes précisées par décret |
| Sanctions (essentielles) | Jusqu’à 10 M€ ou 2 % du CA mondial | Transposé, plafonds identiques |
| Sanctions (importantes) | Jusqu’à 7 M€ ou 1,4 % du CA mondial | Transposé, plafonds identiques |
| Responsabilité des dirigeants | Direction responsable de la conformité | Confirmée : la direction peut être personnellement engagée |
Ce qui est déjà exigible en 2026 vs ce qui arrive
✅ Déjà applicable / disponible en 2026 : le référentiel ReCyF (mars 2026), le pré-enregistrement sur MonEspaceNIS2 (depuis novembre 2025), et la logique de sécurité imposée par contrat par les grands donneurs d’ordre à leurs sous-traitants.
⏳ Ce qui arrive avec la loi et les décrets : la liste officielle des entités notifiées, les échéances contraignantes d’enregistrement et de mise en conformité, et l’entrée en vigueur des contrôles et sanctions (à partir de 2027-2028).
Autrement dit : attendre « la date » de la loi est un piège. Les entités qui commencent dès 2026 à s’auto-évaluer via le ReCyF et à se pré-enregistrer prennent une longueur d’avance, sans risque de perte de temps. Pour savoir si vous êtes concerné, utilisez notre test « suis-je concerné » ; pour les démarches ANSSI, voyez notre page NIS2 & ANSSI.
Que faire dès maintenant en France ?
- Vérifier votre statutÊtes-vous entité essentielle, importante, ou hors champ ? Notre guide pilier NIS2 détaille les critères.
- Vous pré-enregistrerSur MonEspaceNIS2, sans attendre la promulgation de la loi.
- Vous auto-évaluer avec le ReCyFPour situer votre maturité et identifier vos écarts.
- Bâtir un plan d’actionUn audit NIS2 transforme l’auto-évaluation en feuille de route priorisée.
Anticipez la loi française sur NIS2
Nous vous aidons à vous situer et à démarrer votre conformité dès 2026, avant les contrôles. Diagnostic offert, 30 minutes, sans engagement.
Demander mon diagnostic offert TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
Laisser un commentaire