La directive européenne est entrée en vigueur en janvier 2023. La France devait la transposer avant le 17 octobre 2024. À ce jour, la loi n’est toujours pas promulguée. Ce vide juridique apparent cache un calendrier déjà écrit, et une échéance qui se rapproche.
Ce que change NIS 2 par rapport à NIS 1
La première directive NIS, adoptée en 2016, encadrait en France quelques centaines d’opérateurs de services essentiels. Le périmètre était étroit et concentré sur les infrastructures les plus critiques : énergie, transports, santé, eau, banque.
La directive (UE) 2022/2555, dite NIS 2, adoptée le 14 décembre 2022 et entrée en vigueur le 16 janvier 2023, change d’échelle. Elle couvre dix-huit secteurs d’activité et fait passer le nombre d’entités concernées en France de quelques centaines à plusieurs milliers, selon les estimations publiées par l’ANSSI.
Le changement de nature est plus important que le changement de volume. NIS 2 ne vise plus seulement les grands opérateurs, elle descend dans le tissu des entreprises de taille intermédiaire et des PME structurées. Beaucoup d’organisations découvriront qu’elles sont assujetties alors qu’elles ne l’étaient pas auparavant.
À retenir. Deux catégories coexistent, les entités essentielles et les entités importantes. Elles ne sont pas soumises aux mêmes exigences ni aux mêmes modalités de contrôle. La différence tient au secteur d’activité et à la taille de l’organisation.
Où en est précisément la transposition française
Une directive européenne ne s’applique pas directement. Chaque État doit la transposer dans son droit national. En France, cette transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui couvre simultanément trois textes européens : REC, NIS 2 et le volet directive de DORA.
Le parcours parlementaire est documenté et public. Le texte a été présenté en Conseil des ministres le 15 octobre 2024. Le Sénat l’a adopté en première lecture le 12 mars 2025, après engagement de la procédure accélérée, et l’a transmis à l’Assemblée nationale le lendemain. La commission spéciale de l’Assemblée a déposé son texte le 10 septembre 2025.
Depuis, l’examen en séance publique reste attendu. La France figure parmi les États membres visés par une procédure d’infraction ouverte par la Commission européenne pour dépassement du délai de transposition.
Ce que ce retard ne change pas
Le contenu des obligations est connu. Il figure dans la directive, dont le texte est définitif depuis décembre 2022. La loi française rendra ces obligations opposables et précisera les modalités par décret, mais elle ne réécrira pas les exigences de fond.
Autrement dit, une organisation qui structure aujourd’hui sa sécurité sur la base de la directive ne travaille pas dans le vide. Elle prend de l’avance sur une échéance dont seule la date reste incertaine.
Les seuils qui déterminent votre catégorie
L’assujettissement repose sur deux critères combinés : appartenir à l’un des secteurs listés par la directive, et dépasser certains seuils de taille. Les valeurs ci-dessous reprennent les seuils fixés par la directive et repris par la recommandation européenne relative à la définition des PME.
| Catégorie | Effectif | Chiffre d’affaires ou bilan |
|---|---|---|
| Entité essentielle | 250 salariés et plus | CA supérieur à 50 M€ ou bilan supérieur à 43 M€ |
| Entité importante | de 50 à 249 salariés | CA supérieur à 10 M€ ou bilan supérieur à 10 M€ |
Ces seuils comportent des exceptions. Certaines entités sont désignées indépendamment de leur taille, notamment les administrations et les fournisseurs de services jugés critiques pour un territoire. Le secteur d’activité prime toujours sur le critère de taille.
L’ANSSI met à disposition un simulateur d’éligibilité sur sa plateforme MonEspaceNIS2. Compter une dizaine de minutes pour obtenir une première qualification à partir du secteur, de l’effectif et du chiffre d’affaires. C’est le premier réflexe à avoir, avant toute autre démarche.
Le ReCyF, ce que l’ANSSI attend concrètement
Le 17 mars 2026, l’ANSSI a rendu public le Référentiel Cyber France, désigné par l’acronyme ReCyF. Ce document traduit les obligations de la directive en objectifs de sécurité opérationnels : vingt objectifs pour les entités essentielles, dont quinze communs aux entités importantes.
Juridiquement, le référentiel n’est pas encore contraignant. Il est diffusé en version de travail et le deviendra lorsque les décrets d’application seront publiés. En pratique, il constitue déjà la référence : une organisation qui structure sa sécurité sur ces objectifs saura précisément à quoi ressemblera son obligation future.
Les objectifs couvrent quatre familles : la gouvernance, la protection, la défense et la résilience. On y retrouve la cartographie du système d’information, la gestion des accès et des identités, la sécurité de la chaîne d’approvisionnement, la gestion des incidents, la continuité d’activité et la sensibilisation des équipes.
Le point souvent sous-estimé. La notification d’incident est l’obligation la plus immédiate. La directive prévoit une alerte précoce dans les vingt-quatre heures suivant la détection d’un incident significatif. Cela suppose un dispositif de détection, une chaîne d’alerte et des interlocuteurs identifiés. Ces trois éléments ne s’improvisent pas le jour de l’incident.
Par où commencer sans attendre la loi
Les délais de mise en œuvre sont incompressibles. Cartographier un système d’information, qualifier ses dépendances fournisseurs, rédiger une politique de sécurité, construire un plan de continuité puis l’éprouver par un exercice, cela représente un chantier de dix-huit à trente-six mois pour une organisation de taille moyenne.
Une organisation qui démarre le jour de la promulgation démarre avec deux ans de retard sur celle qui a commencé aujourd’hui.
Qualifier votre situation
Déterminer si vous êtes assujetti, et dans quelle catégorie. Une demi-journée suffit à obtenir une réponse documentée.
Mesurer l’écart
Confronter vos pratiques actuelles aux objectifs du référentiel, et obtenir un état des lieux lisible en comité de direction.
Prioriser
Traduire les écarts en actions ordonnées selon le risque, l’effort et les dépendances. Tout ne se traite pas la première année.
L’erreur la plus fréquente consiste à attendre le texte définitif pour agir. La seconde consiste à traiter le sujet comme un projet technique. NIS 2 impose une responsabilité aux organes de direction : la gouvernance, la formalisation et la traçabilité pèsent autant que les mesures techniques.
Questions fréquentes
Mon entreprise compte 80 salariés, suis-je concerné ?
Peut-être. Le critère de taille ne suffit pas : il faut d’abord appartenir à l’un des dix-huit secteurs couverts par la directive. Une entreprise de 80 salariés dans un secteur listé relève a priori de la catégorie des entités importantes. Hors de ces secteurs, elle n’est pas assujettie.
Que risque-t-on en cas de manquement ?
La directive prévoit des sanctions administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour une entité essentielle, et 7 millions d’euros ou 1,4 % pour une entité importante. Les montants exacts applicables en France seront fixés par la loi de transposition.
Faut-il attendre les décrets pour se lancer ?
Non. Les exigences de fond figurent dans la directive, dont le texte est définitif. Les décrets préciseront les modalités et le calendrier, pas la nature des obligations. Les chantiers structurants peuvent donc démarrer immédiatement.
Une certification ISO 27001 suffit-elle ?
Elle constitue une base solide et couvre une part importante des objectifs attendus, mais elle ne vaut pas conformité. NIS 2 comporte des exigences propres, notamment sur la notification d’incident et la responsabilité des dirigeants, qui ne relèvent pas du périmètre de la norme.
Savoir où vous en êtes, en dix jours
Le Diagnostic Cyber Express évalue votre maturité, vos écarts au regard des objectifs attendus et vos priorités. Vous repartez avec un rapport lisible en comité de direction et une feuille de route à 90 jours.
Découvrir le diagnostic