NIS2 : suis-je concerné, et que dois-je faire ?

Où en est vraiment la transposition en France ?

Statut vérifié le 28 août 2026, susceptible d'évoluer. Cette section s'appuie sur les dossiers législatifs officiels du Sénat, de l'Assemblée nationale et de Légifrance, ainsi que sur l'ANSSI.

À cette date, la loi de transposition de NIS2 n'est pas encore promulguée. La directive devait pourtant être transposée par les États membres avant le 17 octobre 2024 : la France est en retard. Le texte français, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, a été adopté par le Sénat le 12 mars 2025 (après engagement de la procédure accélérée), puis transmis à l'Assemblée nationale, où son examen s'est enlisé, notamment autour de la question du chiffrement (article 16 bis du texte). Aucune loi définitive n'est publiée à ce jour ; le parcours complet est consultable sur le dossier législatif de Légifrance.

La conséquence est nette, et l'ANSSI le dit clairement : NIS2 n'entrera en vigueur en France que « dès lors que l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués ». Aucun de ces décrets ni référentiel n'est publié. Autrement dit, les obligations et les sanctions décrites partout ne sont pas encore, aujourd'hui, directement exigibles en droit français. Se préparer reste utile ; craindre une sanction imminente ne l'est pas.

Qu'est-ce que NIS2, et pourquoi elle change d'échelle ?

NIS2 est la directive (UE) 2022/2555, qui succède à la directive NIS de 2016. Son ambition : rehausser le niveau de cybersécurité dans toute l'Union. Le changement d'échelle est considérable. Là où la première directive visait quelques centaines d'opérateurs en France, NIS2 concernera, selon l'ANSSI, plusieurs milliers d'entités réparties sur un large éventail de secteurs (énergie, transports, santé, eau, numérique, administrations, mais aussi de nombreux sous-traitants). Beaucoup d'organisations seront concernées sans l'avoir anticipé.

Suis-je une entité essentielle ou une entité importante ?

NIS2 répartit les organisations concernées en deux catégories, selon leur secteur et leur taille. Les entités essentielles sont, pour l'essentiel, les grandes entreprises (à partir de 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et 43 millions de bilan) opérant dans les secteurs les plus critiques. Les entités importantes sont les entreprises de taille moyenne (à partir de 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires) des secteurs concernés. Ces seuils de taille reprennent les définitions de la recommandation européenne 2003/361/CE (micro, petite, moyenne et grande entreprise), tandis que la liste des secteurs figure aux annexes I et II de la directive. Cette distinction n'est pas cosmétique : elle commande le niveau des obligations et, surtout, le régime de contrôle. Le périmètre exact applicable en France sera arrêté par les décrets ; c'est l'un des points qui attend encore un texte.

Quelles obligations concrètes ?

La directive impose quatre grands blocs. D'abord, des mesures de gestion des risques : sécurisation des accès, gestion des vulnérabilités, sauvegardes, continuité d'activité, sécurité de la chaîne d'approvisionnement. Ensuite, une obligation de notification des incidents significatifs à l'autorité nationale, dans des délais courts. Troisième bloc, souvent sous-estimé : la responsabilité des dirigeants, qui doivent approuver et suivre les mesures, et se former. Enfin, une obligation de s'enregistrer auprès de l'autorité (l'ANSSI en France). Le détail de ces mesures sera précisé par les référentiels de l'ANSSI, encore à paraître.

Ce qui s'applique déjà, et ce qui attend encore un texte

C'est la question que presque personne ne traite honnêtement. Faisons-le clairement.

Ce qui est déjà vrai : la directive existe et fixe un cap ; son délai de transposition (17 octobre 2024) est dépassé ; l'ANSSI accompagne les entités et met à disposition un espace dédié pour se préparer. Les bonnes pratiques de cybersécurité, elles, sont utiles indépendamment de tout texte.

Ce qui attend encore un texte : la loi de transposition (non promulguée), les décrets qui fixeront le périmètre exact et les seuils applicables en France, les arrêtés et les référentiels techniques de l'ANSSI. Tant que ces textes ne sont pas publiés, aucune sanction NIS2 n'est exigible en France, et le calendrier de mise en conformité n'est pas figé. Se dire « concerné » aujourd'hui, c'est se préparer ; ce n'est pas être en infraction.

Quelles sanctions sont prévues ?

La directive prévoit des sanctions financières lourdes : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes (article 34 de la directive (UE) 2022/2555). Point essentiel : ces montants sont prévus par le texte européen ; ils ne seront applicables en droit français qu'une fois la transposition menée à son terme. À ce jour, aucune sanction NIS2 n'est exigible en France. Le contrôle prévu sera par ailleurs plus strict pour les entités essentielles, avec des contrôles possibles a priori, tandis que les entités importantes seront contrôlées plutôt a posteriori.

Que faire dès maintenant ?

Ne pas attendre les décrets pour agir sur les fondamentaux, mais ne pas céder à la panique commerciale non plus. Concrètement : évaluer si votre secteur et votre taille vous placent probablement dans le périmètre, mettre à niveau les mesures de cybersécurité de base (accès, sauvegardes, sensibilisation, plan de réponse aux incidents), et surveiller la publication des textes français. C'est exactement ce que préparera notre audit MonAuditNIS2, aligné sur le référentiel RECYF de l'ANSSI, dès son ouverture.

Sources : ANSSI, « La directive NIS 2 » ; ANSSI, avancement de la transposition ; directive (UE) 2022/2555 (EUR-Lex). Statut arrêté au 28 août 2026, à vérifier au regard des textes publiés depuis.