Loi NIS2 en France : où en est le texte, et que faire dès maintenant ?

Au 10 novembre 2026, la loi qui transpose la directive NIS2 en France n’est pas encore adoptée : elle est examinée en séance à l’Assemblée nationale depuis le 9 novembre. Pour la plupart des entreprises, rien ne change du jour au lendemain. Mais c’est le bon moment pour savoir si vous êtes concerné, et pour commencer par ce qui sera utile quoi qu’il arrive.

État du texte mis à jour le 10 novembre 2026. Nous actualisons cet article à chaque étape : vote de l’Assemblée nationale, version définitive, décrets d’application.

Où en est la loi NIS2 en France ?

NIS2 est une directive européenne adoptée en décembre 2022. Chaque pays de l’Union devait l’intégrer dans son droit avant le 17 octobre 2024. En France, c’est le rôle du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Voici son parcours :

• Octobre 2024 : le gouvernement présente le projet de loi.
• Mars 2025 : le Sénat l’adopte en première lecture.
• 2025 : une commission spéciale de l’Assemblée nationale examine et modifie le texte.
• Octobre 2026 : l’examen en séance, prévu début octobre, est reporté.
• Depuis le 9 novembre 2026 : le texte est examiné en séance à l’Assemblée nationale.

Et ensuite ? Si les deux assemblées n’adoptent pas exactement le même texte, une commission mixte paritaire, composée de députés et de sénateurs, cherche une version commune. La loi est ensuite promulguée, puis complétée par des décrets d’application. Ce sont ces textes qui fixeront les obligations précises et leur calendrier. Aucune date n’est encore connue.

Ce que la loi va changer pour les entreprises concernées

Elle reprend les grands principes de la directive :

• des mesures de sécurité proportionnées aux risques : gestion des accès, sauvegardes, gestion des incidents, sécurité des fournisseurs, sensibilisation ;
• le signalement des incidents importants à l’ANSSI, selon un calendrier précis (dans la directive : une alerte sous 24 heures, une notification sous 72 heures, un rapport final dans le mois) ;
• l’implication de la direction, qui valide les mesures et peut voir sa responsabilité engagée ;
• des contrôles et des sanctions, plus stricts pour les entités dites essentielles que pour les entités importantes.

Notre article NIS2 et PME : ce qui change concrètement détaille ces obligations.

Votre entreprise est-elle concernée ?

Tout dépend de votre secteur et de votre taille, pas seulement de votre effectif. Trois situations se présentent :

• Vous êtes directement concerné si vous exercez dans l’un des secteurs listés (énergie, transport, santé, eau, numérique, industrie manufacturière, agroalimentaire, gestion des déchets, entre autres) et que vous êtes une entreprise moyenne ou grande : en règle générale, à partir de 50 salariés, ou de plus de 10 millions d’euros de chiffre d’affaires et de bilan. Certaines activités sont visées quelle que soit la taille.
• Vous êtes concerné indirectement si vous êtes fournisseur ou sous-traitant d’une entreprise concernée. La loi ne vous impose rien directement, mais votre client devra s’assurer de la sécurité de ses fournisseurs : questionnaires, clauses dans les contrats, preuves à fournir.
• Vous n’êtes ni l’un ni l’autre : NIS2 ne vous oblige à rien, mais ses mesures restent une bonne base pour vous protéger.

Pour une première réponse, l’ANSSI propose un test en ligne sur son portail MonEspaceNIS2. Son résultat est indicatif tant que la loi et ses décrets ne sont pas publiés. Nous pouvons le vérifier avec vous lors d’un premier échange.

Ce qui ne dépend pas du vote

Sans attendre la loi, l’ANSSI met à disposition depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui liste les mesures qu’elle recommande pour atteindre les objectifs de sécurité de NIS2. Il est diffusé comme document de travail et n’est pas obligatoire par défaut, mais une entreprise qui l’applique pourra s’en prévaloir en cas de contrôle. C’est la meilleure indication de ce qui sera attendu. L’ANSSI annonce aussi un référentiel de mesures basiques, plus simple, pour les organisations les moins avancées.

Les entreprises peuvent également se pré-enregistrer dès maintenant sur le portail de l’ANSSI. Cette démarche est volontaire : elle facilitera l’enregistrement quand la réglementation s’appliquera. L’ANSSI invite les futures entités concernées à s’engager dès à présent dans une démarche de sécurisation. Source : ANSSI, 18 mars 2026 (nouvel onglet).

Autre constat, déjà visible sur le terrain : les grandes entreprises et les acheteurs publics n’attendent pas la loi pour interroger leurs fournisseurs. Si vous travaillez pour eux, les questionnaires de sécurité arrivent dès maintenant.

Que faire dès maintenant, utilement ?

Ces six actions servent quoi qu’il arrive, que vous soyez concerné ou non :

• Savoir où vous en êtes : passer le test de l’ANSSI, puis faire le point sur votre sécurité, par exemple avec notre autodiagnostic gratuit ou un audit.
• Protéger les accès : la double authentification sur la messagerie et les accès à distance.
• Vérifier vos sauvegardes : une copie hors ligne, et un test de restauration réussi.
• Préparer la gestion d’un incident : qui appeler, qui décide, qui prévient qui, dans les premières 24 heures.
• Former vos équipes aux e-mails piégés et à la fraude au virement, avec une sensibilisation concrète.
• Désigner un responsable de la sécurité, en interne ou avec un RSSI externalisé à temps partagé.

Ce qu’il vaut mieux éviter

• Céder à la précipitation : personne n’est en infraction aujourd’hui, puisque la loi n’est pas adoptée.
• Acheter une « certification NIS2 » : elle n’existe pas. NIS2 n’impose aucune certification.
• Répondre « oui » à tout dans le questionnaire d’un client : une réponse honnête accompagnée d’un plan d’actions daté rassure davantage.

Pour aller plus loin : notre accompagnement audit et mise en conformité NIS2.