# Transposition de NIS2 en France : pourquoi la loi Résilience bloque encore ?

URL: https://mdp-data.com/transposition-nis2-france-loi-resilience/
Date: 2026-11-03
Last modified: 2026-10-26
Author: Christophe SAINT-PIERRE

---

> Deux ans après l’échéance européenne, la France n’a toujours pas transposé NIS2. Où en est la loi Résilience, pourquoi elle bloque, ce que risque la France et comment les organisations peuvent se préparer sans attendre.

## MDP Data Protection accompagne les organisations face au retard de transposition de NIS2 en France, pour se préparer sans attendre la loi

La **transposition de NIS2 en France** n’est toujours pas achevée : le projet de loi Résilience, adopté par le Sénat en mars 2025, attend encore son examen en séance à l’Assemblée nationale. Les obligations ne s’appliquent donc pas encore en droit français. Voici où en est le texte, pourquoi il bloque et ce que les organisations concernées peuvent faire dès maintenant.

## Où en est la transposition de NIS2 en France ?

La [directive (UE) 2022/2555, dite NIS2](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32022L2555), devait être transposée par les États membres au plus tard le 17 octobre 2024. En France, le véhicule de cette transposition est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit «** loi Résilience** ». Il transpose aussi la directive sur la résilience des entités critiques (REC) et une partie du dispositif [DORA](https://mdp-data.com/dora-reglement-resilience-numerique-secteur-financier/)pour le secteur financier.

Son parcours, étape par étape :

- **15 octobre 2024** : dépôt du projet de loi au Sénat, en procédure accélérée ;

- **12 mars 2025** : adoption par le Sénat en première lecture ;

- **10 septembre 2025** : adoption du [texte de la commission spéciale de l’Assemblée nationale](https://www.assemblee-nationale.fr/dyn/17/textes/l17b1779_texte-adopte-commission) ;

- **juillet 2026** : l’examen espéré en séance n’a pas lieu ;

- **22 septembre 2026** : le texte est inscrit à l’ordre du jour des 7 et 9 octobre ;

- **6 octobre 2026** : la Conférence des présidents le retire de l’ordre du jour, sans fixer de nouvelle date ;

- **13 octobre 2026** : la Conférence des présidents ne le réinscrit pas.

À la date de publication de cet article, aucune nouvelle date d’examen n’a été annoncée. Le 17 octobre 2026, la France a franchi les deux ans de retard sur l’échéance européenne.

## Pourquoi la loi Résilience bloque encore

Le texte est largement consensuel sur le fond. Les reports successifs tiennent à deux facteurs :

- **un désaccord politique** sur un article consacré aux messageries chiffrées, introduit pour interdire d’imposer aux fournisseurs des mécanismes d’accès dérobés, qui a notamment fait échouer l’examen espéré en juillet 2026 ;

- **un ordre du jour parlementaire saturé** : le retrait du 6 octobre a été justifié par l’examen d’un autre texte, qui a pris plus de temps que prévu.

La dissolution de l’Assemblée nationale en juin 2024 avait déjà retardé le calendrier initial.

## Ce que prévoit le projet de loi pour les organisations

Une fois adoptée, la loi Résilience fera basculer la France d’un régime limité à quelques centaines d’opérateurs de services essentiels à un régime beaucoup plus large. Les estimations évoquent environ 15 000 entités concernées, réparties en deux catégories.

### Entités essentielles et entités importantes

Le classement dépend du secteur d’activité et de la taille. Le texte adopté en commission à l’Assemblée classe notamment parmi les entités essentielles les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés urbaines et les communautés d’agglomération. Les établissements de santé, une partie de l’industrie, le numérique ou les transports font aussi partie des secteurs visés par la directive.

### Les obligations attendues

- **Gouvernance** : les organes de direction approuvent les mesures de gestion des risques et peuvent être tenus responsables de leur mise en œuvre.

- **Mesures de sécurité** : gestion des risques, sécurité de la chaîne d’approvisionnement, continuité d’activité, contrôle des accès, chiffrement, formation.

- **Notification des incidents importants** : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois, selon l’article 23 de la directive.

- **Sanctions** : la directive impose des plafonds d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes.

Le détail des obligations est présenté dans notre article [NIS2 et cybersécurité : obligations et actions clés pour les organisations en 2026](https://mdp-data.com/nis2-et-cybersecurite-obligations-et-actions-cles-pour-les-organisations/).

## Ce que risque la France face à l’Union européenne

Le 8 juillet 2026, la [Commission européenne a saisi la Cour de justice de l’Union européenne](https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules) contre la France, l’Espagne, l’Irlande et les Pays-Bas pour défaut de transposition de NIS2. Elle demande à la Cour d’imposer des sanctions financières : une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète.

Ce contentieux vise l’État, pas les organisations. Il accroît toutefois la pression pour une adoption rapide, et donc pour une entrée en vigueur qui pourrait laisser peu de temps de préparation.

Cette infographie résume la transposition de NIS2 en France : état du texte, raisons du blocage parlementaire et premières actions à lancer dès maintenant.

## Que faire en attendant la transposition de NIS2 ?

Attendre la loi pour démarrer est risqué : les chantiers les plus longs (gouvernance, cartographie, gestion des fournisseurs) demandent plusieurs mois. L’ANSSI met déjà à disposition plusieurs ressources :

- **Vérifier si vous êtes concerné** avec le simulateur de l’espace [MonEspaceNIS2 de l’ANSSI](https://messervices.cyber.gouv.fr/nis2), à partir de votre secteur et de votre taille.

- **Vous appuyer sur le Référentiel Cyber France ([ReCyF](https://messervicescyber-ressources.cellar-c2.services.clever-cloud.com/20260317_NIS_V2_ReCyF_v2.5.pdf))**, publié par l’ANSSI le 17 mars 2026 comme document de travail. Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2 : 15 objectifs pour toutes les entités, et 5 de plus pour les entités essentielles.

- **Désigner un responsable** de la démarche au niveau de la direction, puisque la responsabilité des dirigeants sera engagée.

- **Cartographier vos systèmes et vos fournisseurs** critiques, et intégrer des exigences de sécurité dans les contrats.

- **Organiser la gestion des incidents** pour tenir les délais de 24 et 72 heures, en l’articulant avec la notification des violations de données prévue par le RGPD.

Certains secteurs ont déjà des obligations proches. Les établissements de santé et médico-sociaux, par exemple, doivent dès aujourd’hui signaler leurs incidents graves au CERT Santé, comme le détaille notre article sur [la violation de données en ESSMS](https://mdp-data.com/violation-donnees-essms-72-heures/). Et DORA s’applique déjà directement au secteur financier depuis janvier 2025.

💬 Conseil pratique : beaucoup d’organisations découvriront NIS2 par leurs clients avant la loi. Les entités concernées exigeront de leurs fournisseurs des garanties de sécurité : être prêt à répondre à ces questionnaires est déjà un avantage commercial.

La loi tarde, mais votre préparation peut commencer.

Gouvernance, plan d’actions, suivi des fournisseurs et des incidents : pilotez votre préparation à NIS2 avec [l’espace NIS2 de notre logiciel de conformité Simply](https://mdp-data.com/simply-rgpd/), à côté de vos obligations RGPD.

[Échanger avec un expert](https://content.mdp-data.com/premier-contact-25022026-083012)

## Questions fréquentes : transposition de NIS2 en France

NIS2 s’applique-t-elle déjà en France ?
Non. Une directive doit être transposée en droit national pour créer des obligations à la charge des organisations. Tant que la loi Résilience n’est pas adoptée et publiée, les obligations de NIS2 ne s’appliquent pas en France. Les anciennes règles issues de la première directive NIS restent en vigueur pour les opérateurs de services essentiels déjà désignés.

Quand la loi Résilience sera-t-elle adoptée ?
Aucune date n’est fixée. Le texte, adopté par le Sénat le 12 mars 2025, devait être examiné à l’Assemblée nationale les 7 et 9 octobre 2026, mais il a été retiré de l’ordre du jour le 6 octobre. Après son adoption, une commission mixte paritaire ou de nouvelles lectures pourront encore être nécessaires, puis des décrets d’application.

Comment savoir si mon organisation sera concernée par NIS2 ?
Le statut dépend du secteur d’activité et de la taille de l’organisation, avec des règles particulières pour certaines entités publiques. L’ANSSI propose un simulateur gratuit sur son espace MonEspaceNIS2, qui donne une première indication. Le classement définitif dépendra du texte de loi adopté et de ses décrets d’application.

Le ReCyF de l’ANSSI est-il obligatoire ?
Non. Le Référentiel Cyber France est publié comme document de travail depuis le 17 mars 2026. Il correspond au référentiel prévu par le projet de loi et sera, par défaut, non obligatoire. Les entités qui choisiront de l’appliquer pourront s’en prévaloir en cas de contrôle de l’ANSSI. C’est donc une base solide pour démarrer dès maintenant.

Que risque la France pour son retard de transposition ?
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France. Elle demande une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète. Ces sanctions visent l’État. Elles renforcent la pression pour une adoption rapide de la loi Résilience.

## En résumé

La transposition de NIS2 en France n’est pas achevée : la loi Résilience, adoptée par le Sénat en mars 2025, attend son examen à l’Assemblée nationale. Les obligations ne s’appliquent donc pas encore en droit français. La Commission européenne a saisi la Cour de justice contre la France en juillet 2026. Les organisations peuvent vérifier leur statut et s’appuyer sur le ReCyF de l’ANSSI pour anticiper.

## Sources

- [Directive (UE) 2022/2555 (NIS2) (EUR-Lex)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32022L2555)

- [Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat, n° 1112 (Assemblée nationale)](https://www.assemblee-nationale.fr/dyn/17/textes/l17b1112_projet-loi)

- [Texte de la commission spéciale, n° 1779-A0, 10 septembre 2025 (Assemblée nationale)](https://www.assemblee-nationale.fr/dyn/17/textes/l17b1779_texte-adopte-commission)

- [Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice (Commission européenne, 8 juillet 2026)](https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules)

- [La directive NIS 2 et le Référentiel Cyber France (ANSSI)](https://cyber.gouv.fr/la-directive-nis-2)

- [MonEspaceNIS2 (ANSSI)](https://messervices.cyber.gouv.fr/nis2)

---
Source: https://mdp-data.com/transposition-nis2-france-loi-resilience/
Generated by Hack The SEO