Tout le monde attend une date. La loi de transposition de NIS2 devait passer à l'Assemblée nationale en juillet 2026, elle passera finalement en septembre. Et pendant que Paris reporte, vos donneurs d'ordre, eux, avancent : les clauses cyber et les questionnaires sécurité circulent déjà dans l'industrie, l'automobile et la logistique du Grand Est.
Reprenons depuis le début. La directive NIS2 est un texte européen. Pour s'appliquer pleinement en France, elle doit passer par une loi nationale. L'échéance fixée par Bruxelles était le 17 octobre 2024.
Cette échéance est dépassée depuis bientôt deux ans.
Le véhicule législatif français s'appelle le projet de loi Résilience. Il transpose en réalité trois textes européens d'un coup : la directive REC sur la résilience des entités critiques, la directive NIS2 sur la cybersécurité, et le règlement DORA pour le secteur financier.
Son parcours, jusqu'ici : présentation en Conseil des ministres le 15 octobre 2024, adoption par le Sénat le 12 mars 2025, puis examen en commission spéciale à l'Assemblée nationale, achevé en septembre 2025. Restait la séance publique.
C'est là que le calendrier a encore glissé. Le texte n'a pas été inscrit à l'ordre du jour de la session extraordinaire de juillet 2026. L'examen dans l'hémicycle est donc attendu en septembre 2026, avec une promulgation dans la foulée si le texte passe sans navette prolongée.
Ensuite viendront les décrets d'application et les référentiels techniques. Plusieurs cabinets juridiques les attendent pour fin 2026.
| 14 décembre 2022 | Adoption de la directive NIS2 au niveau européen |
| 16 janvier 2023 | Entrée en vigueur de la directive |
| 17 octobre 2024 | Date limite de transposition dans les États membres |
| 15 octobre 2024 | Présentation du projet de loi Résilience en Conseil des ministres |
| 12 mars 2025 | Adoption par le Sénat en première lecture |
| Septembre 2025 | Fin de l'examen en commission spéciale à l'Assemblée nationale |
| 17 mars 2026 | Publication du référentiel ReCyF par l'ANSSI |
| Septembre 2026 | Examen en séance publique attendu à l'Assemblée nationale |
| Fin 2026 | Décrets d'application (estimation) |
Deux ans de retard sur l'échéance européenne. On pourrait en conclure que rien ne presse. Ce serait une erreur, et l'ANSSI elle-même l'a bien compris.
L'Agence nationale de la sécurité des systèmes d'information sera l'autorité de contrôle NIS2 pour la quasi-totalité des secteurs (le secteur financier relève de DORA). Et elle n'a pas attendu le vote pour préparer le terrain.
Le 17 mars 2026, l'ANSSI a publié le Référentiel Cyber France, ReCyF pour les intimes. Ce document traduit les obligations NIS2 en 20 objectifs de sécurité concrets : 20 pour les entités essentielles, 15 pour les entités importantes.
Juridiquement, le ReCyF n'est pas encore contraignant. Il le deviendra quand les décrets d'application de la loi Résilience seront publiés. Mais en pratique, c'est déjà la référence : une entreprise qui structure sa sécurité sur ces objectifs sait à quoi ressemblera sa future obligation. Elle ne découvrira rien en 2027.
Autrement dit, le contenu de la conformité est connu. Seule la date d'opposabilité reste ouverte.
L'ANSSI a aussi ouvert MonEspaceNIS2, une plateforme d'enregistrement avec un simulateur d'éligibilité. Vous y répondez à quelques questions (secteur, effectif, chiffre d'affaires) et vous savez si votre entreprise entre dans le champ de NIS2, et dans quelle catégorie.
L'enregistrement sera obligatoire pour les entités concernées. L'ANSSI estime leur nombre entre 15 000 et 18 000 en France. Sous NIS1, elles étaient environ 500. Le changement d'échelle est là : NIS2 ne vise plus seulement les grands opérateurs, elle descend dans le tissu des PME et ETI.
Dix minutes sur le simulateur. C'est le premier réflexe à avoir, avant toute autre démarche.
Le contenu des obligations ne fait plus vraiment débat, la directive les fixe déjà. La loi française les rendra opposables. Pour une entité dans le champ, quatre familles d'obligations se dessinent.
L'enregistrement, d'abord : se déclarer auprès de l'ANSSI via MonEspaceNIS2.
La notification d'incident, ensuite. Le mécanisme prévu par la directive est précis : une alerte précoce sous 24 heures après détection d'un incident important, une notification complète sous 72 heures, puis un rapport final. Pour une PME sans astreinte informatique, ce seul point mérite qu'on s'y prépare : qui détecte, qui qualifie, qui déclare, un dimanche soir ?
Viennent les mesures de gestion des risques : analyse de risques, sécurité de la chaîne d'approvisionnement, gestion des accès, sauvegardes, continuité d'activité, sensibilisation. C'est le cœur du référentiel ReCyF, et c'est aussi là que le chantier est le plus long.
Enfin, la responsabilité des dirigeants. NIS2 place explicitement la cybersécurité au niveau de la direction : les organes de direction approuvent les mesures, en supervisent la mise en œuvre et se forment au sujet. Nous avons détaillé le régime de sanctions dans un article dédié, retenez simplement que le sujet ne se déléguera pas entièrement à un prestataire.
Voici le point que la plupart des articles sur le sujet ratent. Pour une PME industrielle du Grand Est, la vraie question n'est pas "quand la loi sera-t-elle promulguée ?". C'est "quand mon client va-t-il m'imposer ses exigences ?".
Et la réponse, souvent : c'est déjà fait.
Les grands donneurs d'ordre de l'automobile, de l'aéronautique ou de la logistique sont eux-mêmes des entités essentielles ou importantes au sens de NIS2. La directive leur impose de sécuriser leur chaîne d'approvisionnement. Ils ne vont pas attendre la promulgation française pour s'y mettre : leurs directions achats insèrent dès maintenant des clauses cyber dans les contrats et envoient des questionnaires sécurité à leurs fournisseurs.
C'est le mécanisme de cascade que nous décrivons dans notre guide de la conformité NIS2. Un sous-traitant de 40 personnes en Lorraine peut très bien être hors du champ légal de NIS2 et se voir quand même imposer ses exigences par contrat. Le législateur peut reporter, pas votre client.
Dans l'automobile, le phénomène se double d'un référentiel sectoriel bien installé : TISAX. Les constructeurs allemands l'exigent depuis des années, et les exigences NIS2 viennent s'empiler par-dessus. Un fournisseur de rang 2 en Alsace jongle déjà avec les deux.
Résultat : il existe deux calendriers. Le calendrier légal, qui glisse de session en session. Et le calendrier commercial, qui suit le rythme des appels d'offres et des renouvellements de contrats. Vous ne serez probablement pas sanctionné par l'ANSSI en 2027. Vous pouvez en revanche perdre un appel d'offres dès cet automne faute de réponse crédible à un questionnaire sécurité.
Vos clients vous demandent déjà des preuves de conformité.
Trente minutes pour mesurer où vous en êtes. Réserver un diagnostic (à partir de 2 500 € HT).
L'ANSSI a annoncé une logique d'accompagnement : environ trois ans laissés aux entités pour atteindre la conformité après publication des exigences techniques, et de la pédagogie avant les sanctions.
Trois ans, cela semble confortable. Deux nuances.
D'abord, une mise en conformité sérieuse prend du temps. État des lieux, gouvernance, sauvegardes, gestion des accès, plan de continuité, sensibilisation des équipes : pour une PME sans équipe informatique, comptez 6 à 18 mois de travail réel selon le point de départ. Commencer en 2028 pour être prêt en 2029, c'est jouable sur le papier. En pleine charge de production, avec un prestataire informatique déjà débordé, beaucoup moins.
Ensuite, ce délai de trois ans concerne la sanction administrative. Pas la cascade. Votre donneur d'ordre, lui, veut des réponses à son questionnaire cette année. Et une certification ISO 27001, quand elle est exigée, ne s'obtient pas en trois mois.
Le report parlementaire n'est donc pas un sursis. C'est une fenêtre. Ceux qui l'utilisent pour se préparer aborderont 2027 avec un dossier solide, des réponses prêtes pour les questionnaires, et zéro précipitation. Les autres feront tout en même temps, sous pression, au prix fort.
Pas besoin d'attendre septembre. Quatre actions concrètes, dans l'ordre.
Passez le simulateur MonEspaceNIS2. Dix minutes pour savoir si votre entreprise entre dans le champ, directement ou non.
Relisez vos contrats clients récents. Cherchez les clauses cybersécurité, les annexes sécurité, les engagements de notification d'incident. Beaucoup de dirigeants découvrent qu'ils ont déjà signé des obligations sans les avoir chiffrées.
Mesurez votre écart. Le référentiel ReCyF donne la cible, un diagnostic donne votre position réelle par rapport à elle, avec un plan d'action priorisé et chiffré. C'est le point de départ que nous recommandons, et c'est ce que couvre notre diagnostic de conformité, à partir de 2 500 € HT.
Enfin, gardez un œil sur septembre. Nous suivons le parcours de la loi Résilience et ses décrets, et nous publions régulièrement sur le sujet dans notre guide NIS2 France.
La date de promulgation ne changera pas grand-chose à votre réalité de sous-traitant. Vos clients ont déjà tranché le calendrier pour vous. Autant en reprendre le contrôle.