Loi française en attente de vote · point au 19 octobre 2026

Échéance réglementaire

NIS2 arrive. Êtes-vous concerné ?

La directive européenne NIS2 fait passer le nombre d’organisations soumises à des obligations de cybersécurité de quelques centaines à environ 15 000 en France : PME de taille moyenne, ETI, collectivités. Et leurs fournisseurs, par contrat. Le jour où la loi sera votée, il sera tard pour commencer.

Faire le test en 4 questions Demander un diagnostic

~15 000: entités visées en France, dont environ 1 500 collectivités
24 h: pour alerter l’ANSSI après un incident important
10 M€: ou 2 % du chiffre d’affaires mondial : amende maximale

Illustration : un immeuble d’entreprise sous un dôme de protection, relié à ses fournisseurs, avec une horloge de 24 heures et une liste de contrôle

Où en est-on ?

Une directive en vigueur, une loi française en retard

Le retard législatif n’est pas un répit : c’est le temps qu’il reste pour se préparer sans urgence.

Calendrier de la transposition de la directive NIS2 en France
Date	Étape
16 janvier 2023	Entrée en vigueur de la directive NIS2 au niveau européen
15 octobre 2024	Dépôt au Sénat du projet de loi « Résilience », qui transpose NIS2
17 octobre 2024	Date limite de transposition fixée par la directive — non tenue par la France
12 mars 2025	Le Sénat adopte le projet de loi
10 septembre 2025	La commission spéciale de l’Assemblée nationale adopte son texte
17 mars 2026	L’ANSSI publie le Référentiel Cyber France (ReCyF), cadre des mesures attendues
8 juillet 2026	La Commission européenne saisit la Cour de justice de l’Union pour défaut de transposition
6 octobre 2026	Les séances des 7 et 9 octobre à l’Assemblée sont déprogrammées ; aucune nouvelle date fixée à ce jour
Après le vote	Décrets d’application, enregistrement des entités auprès de l’ANSSI, puis délais de mise en conformité fixés par les textes

Sources : Commission européenne, ANSSI, Sénat, Assemblée nationale. Point au 19 octobre 2026 ; nous actualisons ce calendrier à chaque étape.

Deux catégories

Entité essentielle ou entité importante

Le classement dépend de votre secteur et de votre taille. Les obligations de fond sont proches ; c’est le contrôle et le niveau des sanctions qui changent.

Entité essentielle

Grandes organisations des secteurs les plus critiques

Énergie, transports, banque, santé, eau, infrastructures numériques, administrations… Contrôles possibles à tout moment, sans incident préalable.

Sanctions prévues par la directive : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial.

Entité importante

À partir de 50 salariés ou 10 M€ de chiffre d’affaires, dans 18 secteurs

Industrie, agroalimentaire, chimie, déchets, services postaux, numérique… Contrôles a posteriori, en cas d’incident ou de signalement.

Sanctions prévues par la directive : jusqu’à 7 M€ ou 1,4 % du chiffre d’affaires mondial.

NIS2 par ricochet

Pas concerné directement ? Vos clients, eux, le sont peut-être

La directive oblige les entités concernées à maîtriser la sécurité de leurs fournisseurs. Pour une PME de 20 personnes qui travaille avec un hôpital, une collectivité ou un industriel, NIS2 arrive par trois portes.

Le questionnaire sécurité

Votre client vous demande comment vous protégez ses données et vos accès à son système : double authentification, sauvegardes, mises à jour, gestion des comptes.

« Vos accès distants sont-ils protégés par une authentification forte ? »

Les clauses du contrat

Au renouvellement, le contrat impose de signaler un incident sous quelques heures, d’appliquer des mesures minimales et d’accepter un contrôle.

Un manquement peut coûter le marché, pas seulement une amende.

La preuve

Une réponse « oui » ne suffit plus : on vous demande un rapport, une attestation, un plan de reprise écrit. Ce qui n’est pas documenté n’existe pas.

C’est là qu’un prestataire qui documente tout fait la différence.

Auto-évaluation

Êtes-vous concerné par NIS2 ?

Quatre questions, une minute. Le résultat est indicatif : il applique les critères de secteur et de taille de la directive européenne.

Question 1 sur 4

Dans quel secteur opérez-vous ?

À savoir : tant que la loi française n’est pas publiée, ce test applique les critères de la directive européenne. Certaines entités sont désignées quelle que soit leur taille, et les collectivités font l’objet de règles propres. Il ne remplace pas une analyse juridique.

Ce que la directive exige

Six obligations, et une responsabilité qui remonte à la direction

NIS2 ne demande pas d’acheter un produit. Elle demande de prouver que les risques sont gérés, que les mesures sont en place et que l’organisation sait réagir.

La direction s’engage

Les dirigeants approuvent les mesures de sécurité, en supervisent la mise en œuvre et doivent être formés. Leur responsabilité peut être engagée en cas de manquement.

Analyse des risques

Connaître son système d’information, ses actifs critiques et ses accès, puis prioriser. C’est le point de départ de tout le reste.

Mesures techniques

Authentification forte, gestion des correctifs et des vulnérabilités, protection des postes, chiffrement, cloisonnement du réseau, journalisation.

Incidents signalés en 24 h

Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Sans supervision, on ne détecte pas dans ces délais.

Continuité d’activité

Sauvegardes testées, plan de reprise écrit, gestion de crise. Il faut pouvoir redémarrer, pas seulement avoir une copie.

Chaîne d’approvisionnement

Les entités concernées doivent maîtriser la sécurité de leurs fournisseurs. Si vous en êtes un, les exigences vous arrivent par contrat.

Notre accompagnement

Se préparer maintenant, pas dans l’urgence du décret

Nous alignons nos clients sur le Référentiel Cyber France de l’ANSSI, puis nous opérons et prouvons les mesures dans la durée.

Diagnostic NIS2

Qualification de votre statut (essentielle, importante, fournisseur ou hors périmètre) et mesure de l’écart avec le Référentiel Cyber France. Vous repartez avec une feuille de route chiffrée et priorisée.

Socle de protection

MFA généralisé, EDR supervisé, filtrage de la messagerie, sensibilisation au phishing, sauvegarde externalisée, gestion des correctifs et scan de vulnérabilités mensuel. En service mensuel, opéré par nos équipes.

Détection et réponse

Supervision des alertes et procédure de réponse à incident écrite, avec les modèles de notification. Pour tenir le délai de 24 heures, il faut savoir avant qu’on vous le dise.

Pilotage et preuves

Tableau de bord mensuel de conformité, revue avec la direction, exercice de crise annuel. Ce que vous montrerez à un contrôleur, à un donneur d’ordre ou à votre assureur.

Où en êtes-vous par rapport au référentiel ?

Un premier échange de 30 minutes suffit pour qualifier votre situation et savoir si un diagnostic complet est utile. Assutech est référencé sur la plateforme Cybermalveillance.gouv.fr.

Demander un diagnostic Réserver 30 min

Cette page a une vocation informative et ne constitue pas un conseil juridique. Votre exposition réelle à NIS2 dépend de votre secteur, de votre taille, de vos relations contractuelles et du texte français qui sera finalement adopté.

Livre blanc gratuit

NIS2 : le guide pratique pour les PME et ETI

Dix pages pour savoir si vous êtes concerné, comprendre ce que la directive exige, suivre le plan d’action en dix mesures et préparer la fiche réflexe 24 heures. À garder, à imprimer, à partager avec votre direction.

Télécharger le livre blanc

Questions fréquentes

NIS2 en sept questions

NIS2 s’applique-t-elle déjà en France ?

La directive est en vigueur au niveau européen depuis le 16 janvier 2023, mais ses obligations s’appliqueront en France après le vote de la loi de transposition et la publication de ses décrets. Au 19 octobre 2026, le texte a été adopté par le Sénat et attend son examen en séance à l’Assemblée nationale.

Mon entreprise compte moins de 50 salariés : suis-je tranquille ?

En principe, elle n’est pas directement soumise, sauf cas particuliers où la taille ne compte pas (certains prestataires numériques, entités désignées). Mais si vous travaillez pour une entité concernée, ses exigences vous arriveront par le contrat : questionnaire, clauses de notification d’incident, contrôles.

Quels délais pour se mettre en conformité ?

Ils seront fixés par la loi et ses décrets ; à ce jour, aucun n’est arrêté. Ce qui est sûr : les mesures demandées (authentification forte, sauvegardes testées, détection, procédure d’incident) prennent plusieurs mois à mettre en place proprement.

Que risque un dirigeant ?

La directive rend les organes de direction responsables de l’approbation et du suivi des mesures, et leur impose une formation. Elle prévoit des amendes jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et 7 M€ ou 1,4 % pour une entité importante. Le montant exact appliqué en France dépendra de la loi.

Faut-il une certification, ISO 27001 par exemple ?

Non. NIS2 n’impose pas de certification : elle demande des mesures adaptées aux risques et la capacité de les prouver. Une démarche ISO 27001 aide, mais elle n’est ni obligatoire ni suffisante à elle seule.

Combien coûte une mise en conformité ?

Cela dépend de votre point de départ. Le diagnostic sert précisément à le chiffrer : vous repartez avec une feuille de route priorisée, mesure par mesure, que vous la réalisiez avec nous ou non.

Nous avons déjà un prestataire informatique. Pouvez-vous intervenir ?

Oui. Le diagnostic NIS2 peut être réalisé indépendamment de votre infogérance actuelle, et nous pouvons ne reprendre que la partie sécurité (détection, sauvegarde, sensibilisation) en laissant le reste en place.