NIS 2 en France : où en est vraiment la loi Résilience, et que faire en attendant

« La transposition française de NIS 2 a été finalisée début 2026. » Cette phrase, ou l’une de ses variantes, figure aujourd’hui sur plusieurs pages françaises bien positionnées sur cette question. Elle est inexacte, et elle contredit ce que l’ANSSI publie elle-même.

Nous datons cette page pour cette raison. Le sujet bouge, la désinformation y est involontaire mais réelle, et un RSSI qui construit un budget sur une échéance imaginaire perd deux fois : une première fois en arbitrages mal calés, une seconde fois en crédibilité devant sa direction.

État de la transposition

Une directive européenne ne s’applique pas directement aux entreprises. Elle engage les États membres à la transposer dans leur droit national, et c’est ce droit national qui crée les obligations, désigne les autorités, fixe les seuils et prévoit les sanctions. Tant que la loi française n’est pas promulguée, aucune de ces quatre choses n’existe en droit interne.

La chronologie parlementaire, avec les dates et les numéros de texte

C’est vérifiable pièce par pièce sur le dossier législatif du Sénat et sur celui de l’Assemblée nationale.

Un an et un jour séparent le dépôt du rapport de commission de la date à laquelle nous vérifions cette page. Le texte n’est pas mort — un projet de loi transmis reste inscrit — mais il n’a pas non plus franchi la séance publique à l’Assemblée nationale, et il reste ensuite une navette possible, puis la promulgation, puis les textes d’application.

La meilleure confirmation vient de l’ANSSI elle-même. Lorsqu’elle présente le Référentiel Cyber France, elle le décrit comme « le référentiel de cybersécurité mentionné à l’article 14 du projet de loi Résilience ». Une administration qui écrit « projet de loi » en septembre 2026 ne décrit pas une loi promulguée.

Pourquoi tant de pages se trompent

Trois confusions se combinent. La première : l’échéance de transposition du 17 octobre 2024 est souvent lue comme la date d’entrée en vigueur des obligations en France — elle ne l’est pas, elle oblige l’État, pas les entreprises. La deuxième : l’adoption par le Sénat, largement commentée en mars 2025, a été relayée comme une adoption définitive. La troisième : la publication du ReCyF en mars 2026 a été lue comme le signal d’un dispositif entré en vigueur, alors que l’ANSSI l’a explicitement diffusé comme un document de travail.

Entités essentielles et entités importantes : ce que prévoit le texte adopté par le Sénat

Le texte adopté par le Sénat reprend l’architecture à deux niveaux de la directive : des entités essentielles (EE) et des entités importantes (EI), déterminées par le croisement d’un secteur d’activité et d’un critère de taille, et renvoie aux listes sectorielles et aux seuils par voie réglementaire.

Les critères de taille figurent dans la directive, dont le texte français reprend la logique :

Trois points que le marché escamote souvent, et qui comptent davantage que la catégorie elle-même :

• La différence EE/EI porte sur la supervision et les sanctions, pas sur les mesures. Les obligations de gestion des risques sont pour l’essentiel les mêmes. Être « seulement » entité importante ne réduit pas le travail technique ; cela retarde le moment où quelqu’un vient le vérifier.
• La taille s’apprécie au niveau du groupe, avec les règles de prise en compte des entreprises liées et partenaires. Une filiale de quarante personnes dans un groupe de trois mille n’est pas mécaniquement hors champ.
• Le périmètre découle du service rendu, pas de votre organigramme. C’est l’écart le plus coûteux quand on a déjà une certification, et nous l’avons détaillé dans ISO 27001 et NIS 2.

Le texte adopté par le Sénat prévoit par ailleurs que des textes d’application pourront, pour certaines catégories d’entités, imposer le recours à des produits, services ou prestataires certifiés ou qualifiés, ou en faire une présomption de conformité. C’est aujourd’hui une possibilité ouverte par un texte non définitif, pas une règle. Si elle est retenue pour votre secteur, elle changera le choix de prestataire : nous suivons ce point et signalerons le changement ici.

Ce que la directive, elle, demande aujourd’hui

Rien de ce qui suit n’est du droit français en vigueur. Ce sont les exigences de la directive (UE) 2022/2555, que la loi de transposition traduira en obligations nationales. Elles restent le meilleur guide de préparation disponible, à condition de les citer pour ce qu’elles sont.

Article 21 — les mesures de gestion des risques

L’article 21, paragraphe 2, énumère dix familles de mesures : analyse des risques et politiques de sécurité ; gestion des incidents ; continuité d’activité, sauvegardes et gestion de crise ; sécurité de la chaîne d’approvisionnement ; sécurité de l’acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités ; procédures d’évaluation de l’efficacité des mesures ; pratiques d’hygiène informatique et sensibilisation à la cybersécurité ; cryptographie et chiffrement ; sécurité des ressources humaines, contrôle d’accès et gestion des actifs ; authentification multifacteur et communications sécurisées.

Deux de ces familles ne peuvent pas être satisfaites sur document. Le traitement des vulnérabilités suppose de savoir lesquelles vous avez, ce qui est un travail récurrent. L’évaluation de l’efficacité des mesures suppose de les mettre à l’épreuve : une politique approuvée ne prouve pas qu’une mesure fonctionne.

Article 23 — la notification des incidents

La directive organise une chaîne en trois temps : alerte précoce dans les 24 heures, notification d’incident dans les 72 heures, rapport final au plus tard un mois après la notification d’incident, un rapport intermédiaire pouvant être demandé entre les deux.

Ce qui coince en pratique n’est presque jamais le formulaire. C’est l’horloge : qui, un samedi à 3 heures du matin, a l’autorité de qualifier un incident d’important, et qui notifie. Tant que la France n’a pas désigné son point de contact et ses modalités, vous ne pouvez pas répéter l’exercice pour de bon — mais vous pouvez déjà nommer les rôles et chronométrer la chaîne de décision interne.

Article 20 et article 34 — direction et sanctions

L’article 20 de la directive place l’approbation et la supervision des mesures entre les mains des organes de direction, et prévoit que leurs membres acquièrent des connaissances et des compétences suffisantes pour identifier les risques et apprécier les pratiques de gestion des risques.

L’article 34 fixe les plafonds que les États membres doivent prévoir : pour les entités essentielles, au moins 10 millions d’euros ou au moins 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu ; pour les entités importantes, au moins 7 millions d’euros ou au moins 1,4 %.

Ces chiffres circulent partout en France comme s’ils étaient déjà opposables. Ils ne le sont pas. Ce sont des planchers imposés aux législateurs nationaux par la directive, et le régime français de sanction sera celui que la loi de transposition retiendra.

Ce que l’ANSSI a réellement publié

Deux choses concrètes, qu’il est utile de connaître parce qu’elles existent vraiment.

MonEspaceNIS2. L’ANSSI a ouvert un espace en ligne permettant aux organisations de se signaler et de se préparer à un futur enregistrement : vérifier si l’on se situe probablement dans le champ, déclarer ses coordonnées, recevoir les informations. C’est de la préparation, pas une formalité légalement exigible ; le faire ne crée pas d’obligation, ne pas le faire ne constitue aujourd’hui aucun manquement. En pratique, s’y inscrire coûte peu et vous place dans la boucle d’information de l’autorité.

Le Référentiel Cyber France (ReCyF). Publié le 17 mars 2026, il organise les mesures attendues en objectifs, dont une partie s’adresserait aux seules entités essentielles. L’ANSSI l’a diffusé en tant que document de travail et le rattache explicitement au projet de loi. Le présenter comme une réglementation opposable est faux ; l’ignorer serait dommage, parce qu’il est à ce jour la meilleure indication de ce que l’autorité française attendra. Nous en avons tiré la lecture opérationnelle dans ReCyF : ce que l’objectif d’audit implique pour vos tests.

Faut-il un prestataire qualifié par l’ANSSI ?

La question arrive systématiquement, et la réponse la plus solide est celle de l’ANSSI elle-même, dans sa foire aux questions consacrée à NIS 2 :

« Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »

De notre côté, disons-le sans détour : Haxoris n’est pas un prestataire qualifié PASSI. La qualification PASSI est une démarche volontaire délivrée par l’ANSSI au titre du décret n° 2015-350 du 27 mars 2015. Elle n’est pas requise pour un test d’intrusion commandé par une entreprise privée. En revanche, les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés : nous ne soumissionnons pas sur ces prestations. La question est traitée en détail dans Faut-il un prestataire qualifié PASSI ?.

La seule chose vraiment utile à faire maintenant : tester ce que vous avez déjà

Face à un texte non stabilisé, deux réflexes sont également mauvais. Acheter de la « mise en conformité NIS 2 » à un régime qui n’existe pas encore en droit français revient à payer pour un cadrage qui sera à refaire. Ne rien faire jusqu’à la promulgation revient à concentrer tout le travail sur le délai le plus court.

Il existe une troisième voie, et elle a une propriété rare : sa valeur ne dépend pas du texte final. Vérifiez que vos mesures actuelles tiennent. Quel que soit le libellé retenu par le législateur, personne ne vous reprochera d’avoir su, avant tout le monde, ce qu’un attaquant pouvait faire de votre système d’information.

Concrètement, cinq actions qui conserveront leur valeur :

Deux arguments supplémentaires, souvent décisifs en comité :

D’abord, une obligation déjà en vigueur couvre une partie du même terrain. L’article 32 du RGPD impose « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». La CNIL est compétente, et elle sanctionne sur ce fondement aujourd’hui, sans attendre la loi Résilience. Le même test sert donc les deux cadres.

Ensuite, la contrainte arrive rarement par la voie réglementaire en premier. Elle arrive par le contrat. Vos clients qui se préparent à être entités essentielles répercutent déjà leurs exigences dans leurs questionnaires fournisseurs et leurs appels d’offres. Pour beaucoup d’éditeurs, d’infogéreurs et de sous-traitants, c’est par là que NIS 2 entrera, bien avant qu’une autorité française ne les contacte. Un rapport de test d’intrusion récent répond à cette question ; une déclaration d’intention non.

Si l’exercice doit porter sur l’organisation autant que sur la technique, c’est l’objet d’un audit de sécurité informatique. Et si la question est plutôt « par où commencer », nous avons décrit la préparation côté client dans préparer un audit de cybersécurité. L’ensemble de notre approche est présenté sur la page préparation à NIS 2.

DORA n’est pas NIS 2, et ce n’est pas notre offre

Une précision que le marché français confond régulièrement, au point d’en faire un bon test de sérieux d’un prestataire. Les entités financières — banques, assureurs, établissements de paiement, prestataires de services sur actifs numériques — relèvent du règlement (UE) 2022/2554 (DORA), un règlement d’application directe, et non du régime NIS 2. La directive NIS 2 prévoit d’ailleurs qu’un acte sectoriel de l’Union imposant des exigences au moins équivalentes prend le pas sur elle.

DORA prévoit ses propres tests, dont des tests de pénétration fondés sur la menace (TLPT), encadrés en France dans le cadre TIBER-FR porté par la Banque de France, avec des critères propres quant à qui peut réaliser le test — notamment en matière de certification, d’assurance et d’indépendance. Ce n’est pas notre offre, et nous ne la vendons pas. Vendre de la « conformité NIS 2 » à une banque française, c’est désigner le mauvais régime ; c’est aussi le signe le plus rapide qu’un prestataire ne maîtrise pas le sujet.

Comment nous tenons cette page à jour

Nous revérifions ce dossier sur Légifrance et sur les dossiers législatifs du Sénat et de l’Assemblée nationale à intervalle régulier, et à chaque étape parlementaire. Nous surveillons trois choses en particulier : l’inscription du texte en séance publique à l’Assemblée nationale, la promulgation elle-même, et la publication des textes d’application — ce sont ces derniers qui fixeront les listes sectorielles, les seuils, les modalités d’enregistrement et, le cas échéant, les exigences de recours à des prestataires qualifiés.

La date qui fait foi est celle-ci : dernière vérification le 11 septembre 2026. Si vous lisez cette page bien après cette date, redemandez-nous l’état du dossier plutôt que de vous fier à l’encadré.

NIS 2 en France — questions fréquentes

Haxoris est un prestataire européen : vos données et vos rapports restent dans l’Union européenne, nos tarifs sont publics, le contre-audit est inclus sans surcoût, et vous savez nommément qui réalise le test. Décrivez-nous le périmètre que la directive viserait chez vous et demandez un devis.

Nos services associés : tests d’intrusion pour préparer la directive (UE) 2022/2555 (NIS 2) · tests d’intrusion sur vos applications et vos infrastructures · audit de sécurité informatique de votre environnement · audit de vulnérabilités de vos systèmes et de vos applications