Logo MDP Data Protection avec clé rouge sur fond transparent

Bureaux

425 rue Jean Rostand 31670 Labège

Nous écrire

ask@mdp-data.com

Nous appeler

+33 5 61 60 16 67

Nous contacter

Transposition de NIS2 en France : pourquoi la loi Résilience bloque encore ?

par | Nov 3, 2026 | CYBER

Illustration de la transposition de NIS2 en France montrant la loi Résilience encore bloquée, avec un cadenas, des documents législatifs et un décor institutionnel français.

MDP Data Protection accompagne les organisations face au retard de transposition de NIS2 en France, pour se préparer sans attendre la loi

La transposition de NIS2 en France n’est toujours pas achevée : le projet de loi Résilience, adopté par le Sénat en mars 2025, attend encore son examen en séance à l’Assemblée nationale. Les obligations ne s’appliquent donc pas encore en droit français. Voici où en est le texte, pourquoi il bloque et ce que les organisations concernées peuvent faire dès maintenant.

Où en est la transposition de NIS2 en France ?

La directive (UE) 2022/2555, dite NIS2, devait être transposée par les États membres au plus tard le 17 octobre 2024. En France, le véhicule de cette transposition est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Il transpose aussi la directive sur la résilience des entités critiques (REC) et une partie du dispositif DORA pour le secteur financier.

Son parcours, étape par étape :

  • 15 octobre 2024 : dépôt du projet de loi au Sénat, en procédure accélérée ;
  • 12 mars 2025 : adoption par le Sénat en première lecture ;
  • 10 septembre 2025 : adoption du texte de la commission spéciale de l’Assemblée nationale ;
  • juillet 2026 : l’examen espéré en séance n’a pas lieu ;
  • 22 septembre 2026 : le texte est inscrit à l’ordre du jour des 7 et 9 octobre ;
  • 6 octobre 2026 : la Conférence des présidents le retire de l’ordre du jour, sans fixer de nouvelle date ;
  • 13 octobre 2026 : la Conférence des présidents ne le réinscrit pas.

À la date de publication de cet article, aucune nouvelle date d’examen n’a été annoncée. Le 17 octobre 2026, la France a franchi les deux ans de retard sur l’échéance européenne.

Pourquoi la loi Résilience bloque encore

Le texte est largement consensuel sur le fond. Les reports successifs tiennent à deux facteurs :

  • un désaccord politique sur un article consacré aux messageries chiffrées, introduit pour interdire d’imposer aux fournisseurs des mécanismes d’accès dérobés, qui a notamment fait échouer l’examen espéré en juillet 2026 ;
  • un ordre du jour parlementaire saturé : le retrait du 6 octobre a été justifié par l’examen d’un autre texte, qui a pris plus de temps que prévu.

La dissolution de l’Assemblée nationale en juin 2024 avait déjà retardé le calendrier initial.

Ce que prévoit le projet de loi pour les organisations

Une fois adoptée, la loi Résilience fera basculer la France d’un régime limité à quelques centaines d’opérateurs de services essentiels à un régime beaucoup plus large. Les estimations évoquent environ 15 000 entités concernées, réparties en deux catégories.

Entités essentielles et entités importantes

Le classement dépend du secteur d’activité et de la taille. Le texte adopté en commission à l’Assemblée classe notamment parmi les entités essentielles les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines et les communautés d’agglomération. Les établissements de santé, une partie de l’industrie, le numérique ou les transports font aussi partie des secteurs visés par la directive.

Les obligations attendues

  • Gouvernance : les organes de direction approuvent les mesures de gestion des risques et peuvent être tenus responsables de leur mise en œuvre.
  • Mesures de sécurité : gestion des risques, sécurité de la chaîne d’approvisionnement, continuité d’activité, contrôle des accès, chiffrement, formation.
  • Notification des incidents importants : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois, selon l’article 23 de la directive.
  • Sanctions : la directive impose des plafonds d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes.

Le détail des obligations est présenté dans notre article NIS2 et cybersécurité : obligations et actions clés pour les organisations en 2026.

Ce que risque la France face à l’Union européenne

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Espagne, l’Irlande et les Pays-Bas pour défaut de transposition de NIS2. Elle demande à la Cour d’imposer des sanctions financières : une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète.

Ce contentieux vise l’État, pas les organisations. Il accroît toutefois la pression pour une adoption rapide, et donc pour une entrée en vigueur qui pourrait laisser peu de temps de préparation.

Infographie sur la transposition de NIS2 en France présentant l’état d’avancement de la loi Résilience, les causes du blocage et les actions à engager sans attendre.
Cette infographie résume la transposition de NIS2 en France : état du texte, raisons du blocage parlementaire et premières actions à lancer dès maintenant.

Que faire en attendant la transposition de NIS2 ?

Attendre la loi pour démarrer est risqué : les chantiers les plus longs (gouvernance, cartographie, gestion des fournisseurs) demandent plusieurs mois. L’ANSSI met déjà à disposition plusieurs ressources :

  • Vérifier si vous êtes concerné avec le simulateur de l’espace MonEspaceNIS2 de l’ANSSI, à partir de votre secteur et de votre taille.
  • Vous appuyer sur le Référentiel Cyber France (ReCyF), publié par l’ANSSI le 17 mars 2026 comme document de travail. Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2 : 15 objectifs pour toutes les entités, et 5 de plus pour les entités essentielles.
  • Désigner un responsable de la démarche au niveau de la direction, puisque la responsabilité des dirigeants sera engagée.
  • Cartographier vos systèmes et vos fournisseurs critiques, et intégrer des exigences de sécurité dans les contrats.
  • Organiser la gestion des incidents pour tenir les délais de 24 et 72 heures, en l’articulant avec la notification des violations de données prévue par le RGPD.

Certains secteurs ont déjà des obligations proches. Les établissements de santé et médico-sociaux, par exemple, doivent dès aujourd’hui signaler leurs incidents graves au CERT Santé, comme le détaille notre article sur la violation de données en ESSMS. Et DORA s’applique déjà directement au secteur financier depuis janvier 2025.

💬 Conseil pratique : beaucoup d’organisations découvriront NIS2 par leurs clients avant la loi. Les entités concernées exigeront de leurs fournisseurs des garanties de sécurité : être prêt à répondre à ces questionnaires est déjà un avantage commercial.

La loi tarde, mais votre préparation peut commencer.

Gouvernance, plan d’actions, suivi des fournisseurs et des incidents : pilotez votre préparation à NIS2 avec l’espace NIS2 de notre logiciel de conformité Simply, à côté de vos obligations RGPD.

Échanger avec un expert

Questions fréquentes : transposition de NIS2 en France

NIS2 s’applique-t-elle déjà en France ?+
Non. Une directive doit être transposée en droit national pour créer des obligations à la charge des organisations. Tant que la loi Résilience n’est pas adoptée et publiée, les obligations de NIS2 ne s’appliquent pas en France. Les anciennes règles issues de la première directive NIS restent en vigueur pour les opérateurs de services essentiels déjà désignés.
Quand la loi Résilience sera-t-elle adoptée ?+
Aucune date n’est fixée. Le texte, adopté par le Sénat le 12 mars 2025, devait être examiné à l’Assemblée nationale les 7 et 9 octobre 2026, mais il a été retiré de l’ordre du jour le 6 octobre. Après son adoption, une commission mixte paritaire ou de nouvelles lectures pourront encore être nécessaires, puis des décrets d’application.
Comment savoir si mon organisation sera concernée par NIS2 ?+
Le statut dépend du secteur d’activité et de la taille de l’organisation, avec des règles particulières pour certaines entités publiques. L’ANSSI propose un simulateur gratuit sur son espace MonEspaceNIS2, qui donne une première indication. Le classement définitif dépendra du texte de loi adopté et de ses décrets d’application.
Le ReCyF de l’ANSSI est-il obligatoire ?+
Non. Le Référentiel Cyber France est publié comme document de travail depuis le 17 mars 2026. Il correspond au référentiel prévu par le projet de loi et sera, par défaut, non obligatoire. Les entités qui choisiront de l’appliquer pourront s’en prévaloir en cas de contrôle de l’ANSSI. C’est donc une base solide pour démarrer dès maintenant.
Que risque la France pour son retard de transposition ?+
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France. Elle demande une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète. Ces sanctions visent l’État. Elles renforcent la pression pour une adoption rapide de la loi Résilience.

En résumé

La transposition de NIS2 en France n’est pas achevée : la loi Résilience, adoptée par le Sénat en mars 2025, attend son examen à l’Assemblée nationale. Les obligations ne s’appliquent donc pas encore en droit français. La Commission européenne a saisi la Cour de justice contre la France en juillet 2026. Les organisations peuvent vérifier leur statut et s’appuyer sur le ReCyF de l’ANSSI pour anticiper.

Sources

Pour aller plus loin

Les solutions MDP Data Protection

MDP Data Protection et sa méthode CCOS accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.

  • SimplyRGPD : Pilotage de votre conformité au quotidien.
  • MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.

Notre Méthode : le Continuous Compliance Operating System - CCOS

Découvrez notre méthode pour passer à une conformité en continu.

Sinon retrouvez un résumé ici : le Continuous Compliance Operating System

Restez à jour sans y passer vos journées

Notre veille réglementaire, une fois par mois. Les textes qui bougent, ce qu'ils changent, ce qu'il faut faire.

À propos de l’auteur

Christophe SAINT-PIERRE est le dirigeant de MDP Data Protection. Expert reconnu en conformité réglementaire, RGPD, NIS2 et AI Act, il accompagne depuis plus de vingt ans les organisations dans leur transformation numérique.

Sa vision stratégique repose sur l'idée que la conformité ne doit pas être perçue comme une contrainte, mais comme un véritable levier de compétitivité, de sécurité et de confiance. Engagé pour une souveraineté numérique européenne, il défend également une approche éthique de l'intelligence artificielle et de la cybersécurité. Lire sa biographie complète.