Actualité
NIS2 : la loi Résilience arrive au vote
Les députés ont fini d'examiner le 10 novembre 2026 la loi qui transpose la directive NIS2 en France. Le vote sur l'ensemble du texte a lieu le 17 novembre. Des milliers d'entreprises auront de nouvelles obligations de cybersécurité, et leurs fournisseurs aussi. Voici où en est le texte, qui est concerné, et ce qu'une PME peut faire dès maintenant.
- 10 novembre 2026Articles examinés à l'Assemblée
- 17 novembre 2026Vote sur l'ensemble du texte
- 50 personnesSeuil des entités importantes
- 24 heuresPour signaler un incident important
Par Mathieu Mari, développeur freelance. Publié le , mis à jour le . La sécurité informatique fait partie de mon métier : je suis payé pour tenir des parcs et des sites à jour. Je ne suis pas juriste : cette page résume des textes publics et ne remplace pas un conseil juridique. Aucun lien rémunéré.
Ce qui a changé
- Publication de cette page. Vote sur l'ensemble du texte fixé au 17 novembre.
- L'Assemblée finit l'examen des articles et supprime l'article sur le chiffrement (69 voix contre 37).
- Début de l'examen en séance. Les éditeurs de logiciels sortent de la liste des entités essentielles sans seuil de taille.
- La Commission européenne saisit la Cour de justice de l'Union contre la France pour retard de transposition.
Les 9 et 10 novembre 2026
NIS2 en France : où en est la loi Résilience.
NIS2 en France passe par le « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». Adopté par le Sénat le 12 mars 2025, il a été examiné en séance par les députés les 9 et 10 novembre 2026. Le vote solennel sur l'ensemble est fixé au mardi 17 novembre.
Un vote le 17 novembre, puis encore une étape
Le gouvernement a engagé la procédure accélérée : une seule lecture par chambre. Si les députés adoptent un texte différent de celui du Sénat, une commission mixte paritaire, sept députés et sept sénateurs, cherche une version commune. Aucune date n'est publiée pour cette étape. La loi s'appliquera ensuite avec ses décrets et ses arrêtés.
L'article sur le chiffrement supprimé
Le Sénat avait ajouté un article 16 bis qui interdisait d'imposer aux services de chiffrement des « clés de déchiffrement maîtresses » ou tout accès non consenti aux données. Les députés l'ont supprimé le 10 novembre, par 69 voix contre 37 ; le gouvernement s'est engagé en séance à ne pas reprendre une mesure voisine prévue par la loi contre le narcotrafic. C'est le point le plus commenté du débat, mais il ne change rien aux obligations des entreprises.
Deux ans de retard sur Bruxelles
La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. La Commission européenne a mis la France en demeure en novembre 2024, puis a décidé le 8 juillet 2026 de saisir la Cour de justice de l'Union, en demandant une somme forfaitaire et des astreintes journalières.
Sources officielles : dossier législatif de l'Assemblée nationale, dossier du Sénat, communiqué de la Commission européenne.
Depuis 2022
Le parcours de la directive NIS2.
Le parcours de la directive NIS2 tient en cinq dates, de son adoption à Bruxelles au vote des députés. Le texte français a attendu vingt mois entre le Sénat et la séance de l'Assemblée.
| Étape | Date |
|---|---|
| Directive (UE) 2022/2555, dite NIS 2, adoptée | 14 décembre 2022 |
| Date limite de transposition | 17 octobre 2024 |
| Projet de loi déposé au Sénat | 15 octobre 2024 |
| Adoption au Sénat | 12 mars 2025 |
| Commission spéciale de l'Assemblée, à l'unanimité | 10 septembre 2025 |
| Examen en séance à l'Assemblée | 9 et 10 novembre 2026 |
| Vote solennel à l'Assemblée | 17 novembre 2026, prévu |
La directive dans son texte officiel : EUR-Lex
Entreprises concernées
NIS2 : qui est concerné.
NIS2 concerne les entreprises d'au moins 50 personnes dans l'un des 17 secteurs d'activité visés, plus les administrations. Le texte les range en deux catégories selon leur taille et leur secteur, et l'État peut y ajouter une entreprise plus petite.
-
Entités essentielles
Au moins 250 personnes, ou plus de 50 M€ de chiffre d'affaires et 43 M€ de bilan, dans un secteur hautement critique : énergie, transports, santé, eau, banque, numérique, espace…
-
Entités importantes
Au moins 50 personnes, ou plus de 10 M€ de chiffre d'affaires et de bilan, dans un secteur hautement critique ou critique : fabrication de machines, d'équipements électriques ou électroniques et de véhicules, agroalimentaire, chimie, déchets, poste…
-
Désignées par l'État
Une entreprise de toute taille, si elle est seule à rendre un service ou si une panne chez elle toucherait la santé publique ou tout un territoire.
Combien d'entreprises ? Les chiffres officiels varient : « quelque 15 000 » entités selon le Sénat en 2025, « plus de 18 000, voire 20 000 » selon la ministre en séance le 9 novembre, « plus de 25 000 » selon l'ANSSI en mars 2026. L'ANSSI propose un test gratuit pour savoir si vous l'êtes. Le test de l'ANSSI
Ce que dit le texte
Les obligations NIS2 pour une entreprise concernée.
Les obligations NIS2 tiennent en trois mots selon l'ANSSI : s'enregistrer, se protéger, signaler. On parle souvent de norme NIS2 : c'est en fait une réglementation NIS2, pas une norme qu'on certifie une fois pour toutes. C'est une obligation légale, dont la direction de l'entreprise répond elle-même.
| Obligation | Ce qu'elle demande |
|---|---|
| S'enregistrer | Se déclarer auprès de l'ANSSI. Les informations et les délais seront fixés par décret. |
| Gérer les risques | Des mesures « appropriées et proportionnées », y compris quand l'informatique est confiée à un prestataire. La direction les approuve, les suit, et se forme à la cybersécurité. |
| Signaler les incidents | Un premier signalement dans les 24 heures, un point à 72 heures, un rapport final un mois plus tard, et l'information des clients touchés. |
| Sanctions | Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante. |
L'ANSSI a publié en mars 2026 une version de travail de son référentiel, le ReCyF : 15 objectifs pour toutes les entités, 5 de plus pour les essentielles. La loi ne fixe aucun délai de mise en conformité ; en séance, la ministre a rapporté que l'ANSSI vise la conformité de toutes les entités fin 2028, avec des contrôles montant en puissance sur deux ans. L'espace NIS2 de l'ANSSI
PME et fournisseurs
Pas concerné par NIS2, mais fournisseur d'une entreprise qui l'est.
Pas concerné par NIS2, mais fournisseur d'une entreprise qui l'est : c'est le cas de beaucoup de PME, et la loi vous rattrape par vos clients. Une entité concernée doit protéger son informatique « y compris en cas de recours à la sous-traitance ».
Le référentiel de l'ANSSI le détaille : l'entité dresse la liste de ses prestataires informatiques, vérifie que chacun respecte ses propres règles, l'écrit dans le contrat, puis contrôle périodiquement, audits compris. Concrètement, attendez-vous à recevoir de vos clients :
- Un questionnaire de sécurité. Comptes, accès à distance, sauvegardes, mises à jour, gestion des incidents.
- Des clauses dans le contrat. Engagements de sécurité, délai pour signaler un incident, droit d'audit.
- Des preuves à fournir. Dire ce qu'on fait ne suffira plus : il faudra le montrer.
En cas d'incident, c'est le client concerné par NIS2 qui le déclare à l'ANSSI, pas son fournisseur : d'où l'intérêt pour lui d'être prévenu vite, et par écrit. Un sous-traitant de l'industrie, en Nord-Isère comme ailleurs, a intérêt à préparer ses réponses avant que la demande arrive.
Dès maintenant
Conformité NIS2 : ce qu'une PME peut faire sans attendre les décrets.
La mise en conformité NIS2 se prépare sans attendre les décrets : les mesures de base sont connues, utiles même hors NIS2, et ce sont celles que vos clients vous demanderont en premier.
-
Savoir où vous en êtes
Passer le test de l'ANSSI, puis lister vos postes, serveurs, comptes et prestataires qui ont un accès.
-
Fermer les portes connues
Double authentification sur la messagerie et les accès à distance, postes et serveurs à jour, plus aucun Windows 10 sans correctifs.
-
Pouvoir repartir
Des sauvegardes hors des locaux, déconnectées, et une restauration testée pour de vrai.
-
Savoir qui appeler
Une page qui dit quoi faire en cas d'attaque : qui prévenir, dans quel ordre, en moins de 24 heures.
Ces mesures font partie de l'infogérance : postes, serveurs, sauvegardes et sécurité suivis chaque mois, avec un état des lieux offert pour commencer. En parler
À surveiller
Les dates à surveiller.
Les dates à surveiller vont du vote du 17 novembre 2026 à fin 2028, horizon de conformité donné en séance.
- 17 novembre 2026. Vote solennel de l'Assemblée sur l'ensemble du texte.
- Date inconnue. Commission mixte paritaire, puis vote final des deux chambres.
- Après la loi. Décrets et arrêtés : informations à transmettre, délais d'enregistrement, mesures attendues. NIS2 s'applique en France à leur publication.
- Fin 2028. Conformité de toutes les entités visée par l'ANSSI, selon la ministre en séance.
Je mets cette page à jour après le vote du 17 novembre, puis à chaque étape, sur source officielle d'abord.
Questions fréquentes
NIS2 : vos questions.
NIS2 : vos questions portent sur ce qu'est la directive, sa date d'application en France, les entreprises concernées, les sanctions et le cas des fournisseurs.
Mathieu Mari
Développeur freelance.
NIS2 c'est quoi, en deux mots ?
La directive NIS 2, souvent écrite NIS2, est une directive européenne de 2022 qui impose des règles de cybersécurité à des milliers d'entreprises et d'administrations, dans 18 secteurs. Elle remplace la première directive NIS, de 2016, au périmètre bien plus étroit.
Quand NIS2 s'applique-t-elle en France ?
Quand la loi Résilience, ses décrets et ses arrêtés seront publiés. Au 13 novembre 2026, le texte attend le vote de l'Assemblée du 17 novembre, puis une commission mixte paritaire. Avant cela, aucune obligation NIS2 n'est opposable à une entreprise française.
Qui est concerné par la directive NIS2 ?
Les administrations, et les entreprises des secteurs visés à partir de 50 personnes. La vôtre l'est probablement si elle compte au moins 50 personnes, ou plus de 10 M€ de chiffre d'affaires et de bilan, dans l'un des secteurs visés : industrie, énergie, transports, santé, agroalimentaire, numérique… Le test gratuit de l'ANSSI le dit en quelques questions.
Quelles sont les sanctions prévues par NIS2 ?
Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Les collectivités ne paient pas d'amende.
Je suis fournisseur d'une entreprise concernée, que dois-je faire ?
Vous n'avez pas d'obligation envers l'ANSSI, mais votre client doit vérifier la sécurité de ses prestataires : questionnaire, clauses dans le contrat, audits possibles. Préparez des réponses précises sur vos accès, vos sauvegardes et vos mises à jour.
Pouvez-vous nous aider à nous préparer ?
Oui pour l'informatique : état des lieux offert, puis postes, serveurs, sauvegardes et sécurité tenus à jour dans le cadre de l'infogérance. Pour l'analyse juridique de votre situation, un avocat ou un juriste reste l'interlocuteur.
À voir aussi
Pour aller plus loin.
Pour aller plus loin, trois pages : l'infogérance qui tient votre informatique à jour, la fin de Windows 10 qui laisse des postes sans correctifs, et les autres actus.
Infogérance
Postes, serveurs, sauvegardes et sécurité suivis chaque mois, pour un prix connu d'avance.
L'infogéranceFin de Windows 10
La deuxième année de support payant a commencé : dates, prix et que faire de vos postes.
L'actuToutes les actus
Les faits datés du web, de l'IA et de l'informatique, et ce qu'ils changent pour vous.
Les actus
Contact
Parlons de votre projet.
Quelques lignes suffisent pour commencer : votre activité, ce qui coince aujourd'hui, ce que vous aimeriez obtenir. Je vous réponds personnellement, et le devis est gratuit.
- Devis
- Gratuit, après un premier échange en visio, au téléphone ou sur place
- contact@mathieumari.com
- Écrire sur WhatsApp
- Basé à
- Aoste (38490), Isère
- Interventions
- Isère, Savoie, Lyon et Suisse, sur place ou à distance
- SIRET
- 750 107 542 00078