Cybersecurite 19 Oct 2026 · 1 min de lecture

NIS2 : deux ans de retard, et aucune raison d'attendre la loi

Equipe Redaction

Expert INNOSYS

Samedi 17 octobre 2026, la France a franchi un cap dont personne ne se vante : deux ans jour pour jour après la date limite fixée par Bruxelles, la directive NIS2 n'est toujours pas transposée. Le projet de loi « Résilience », qui devait enfin passer en séance à l'Assemblée nationale les 7 et 9 octobre, a été retiré de l'ordre du jour la veille. Pour un dirigeant de PME ou d'ETI, la tentation est grande de ranger le sujet en attendant le vote. C'est précisément l'erreur à éviter.

Où en est-on exactement ?

Un calendrier qui glisse depuis deux ans

Les faits sont simples et tous publics. La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. Le gouvernement a déposé son projet de loi au Sénat le 15 octobre 2024, en procédure accélérée. Le Sénat l'a adopté le 12 mars 2025 (181 voix pour, 134 contre), puis la commission spéciale de l'Assemblée nationale l'a adopté à l'unanimité le 10 septembre 2025, après l'examen de plusieurs centaines d'amendements. Depuis, le texte attend sa séance publique.

Il devait enfin être débattu le 7 octobre 2026. Le 6 octobre, la conférence des présidents l'a retiré de l'ordre du jour. Raison officielle : l'encombrement du calendrier parlementaire, notamment par un autre texte dont l'examen a pris plus longtemps que prévu. Aucune nouvelle date n'a été fixée à ce stade, selon le ministère cité par plusieurs médias. Le rapporteur, Éric Bothorel, s'est dit confiant : « J'ai bon espoir qu'on pourra réinscrire le texte d'ici quinze jours ou trois semaines. »

En toile de fond, un point de friction politique : l'article 16 bis, ajouté par le Sénat, qui interdit d'imposer aux services de messagerie chiffrée des portes dérobées ou des clés maîtresses. Le sujet divise, et plusieurs observateurs y voient l'une des vraies causes de l'enlisement.

Bruxelles a déjà sorti le carton jaune

Le retard n'est pas sans conséquence pour l'État : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, aux côtés de l'Irlande, de l'Espagne et des Pays-Bas, pour non-transposition. Ailleurs, on avance : en Allemagne, environ 17 700 entités se sont déjà enregistrées, sur quelque 29 500 estimées dans le périmètre.

Ce que la loi va changer, et que l'on connaît déjà

Le paradoxe de la situation, c'est que le contenu du texte est largement stabilisé. Rien de ce qui suit n'est une hypothèse.

Un changement d'échelle massif

Le projet de loi fait passer le nombre d'entités régulées en France d'environ 500 à près de 15 000, et le nombre de secteurs concernés de 6 à 18 : santé, industrie manufacturière, chimie, recherche, services postaux, infrastructures numériques, entre autres. Près de 1 500 collectivités territoriales sont incluses. Autrement dit, une grande partie des ETI et un nombre significatif de PME vont basculer d'un monde où la cybersécurité relevait de la bonne pratique à un monde où elle relève de l'obligation légale.

Des obligations de gouvernance, pas seulement techniques

Les entités devront déterminer elles-mêmes si elles sont « essentielles » ou « importantes », gérer leurs risques, notifier leurs incidents (avec une première alerte sous 24 heures) et coopérer avec l'ANSSI. Les sanctions prévues peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.

Le directeur général de l'ANSSI, Vincent Strubel, l'a résumé aux Assises de la sécurité début octobre : l'objectif est de « faire de la cybersécurité non plus un sujet de techniciens mais un sujet de gouvernance ». Concrètement, cela signifie que la direction générale, la direction financière et le juridique sont en première ligne, pas seulement la DSI.

ISO 27001 ne suffira pas

Autre message à retenir, porté par la ministre déléguée chargée de l'IA et du Numérique, Anne Le Hénanff : « ISO 27001 n'est pas suffisant et surtout n'est pas conforme à NIS2. » Les lacunes pointées portent notamment sur la gestion de crise et la remédiation. Les organisations déjà certifiées ont une longueur d'avance, mais pas un blanc-seing.

Le vrai coût du retard : l'attentisme

Des budgets cyber reportés

Vincent Strubel l'a reconnu sans détour : « Il y a eu un effet d'éviction sur les allocations budgétaires dans les entreprises. » Faute de loi votée, de nombreuses organisations ont repoussé leurs investissements à l'exercice suivant. C'est compréhensible sur le plan comptable, mais dangereux sur le plan opérationnel.

Car l'absence de loi ne réduit en rien la menace. L'ANSSI a recensé 1 366 incidents de sécurité en 2025. Et la chaîne de sous-traitance reste un point de fragilité majeur : en février 2025, une attaque par rançongiciel contre l'éditeur Harvest a rendu indisponible son logiciel de gestion de patrimoine, utilisé par plus de 4 600 clients, pendant environ quatre semaines. Plusieurs grands assureurs et banques ont dû notifier leurs propres clients. C'est exactement le type de scénario que NIS2 cherche à prévenir.

Une conformité qui prendra du temps, quoi qu'il arrive

L'ANSSI a fixé un cap : une mise en conformité complète de l'ensemble des entités d'ici fin 2028, avec des « galops d'essai » avant les contrôles. Selon une estimation de l'ANSSI reprise dans une tribune publiée par Silicon.fr, l'investissement initial pour une entreprise de taille « importante » se situerait entre 100 000 et 200 000 euros. Ces chiffres plaident pour un étalement des efforts, pas pour leur report.

Le message de l'ANSSI sur le calendrier législatif est d'ailleurs clair : « c'est une question de mois, pas d'années ; mais pas non plus de semaines ». En clair, la loi arrivera, et les entreprises qui auront attendu le Journal officiel pour démarrer partiront avec deux ou trois ans de retard sur leurs obligations.

Les sous-traitants aussi sont concernés

Point souvent sous-estimé : même une PME qui ne serait pas directement assujettie peut être rattrapée par NIS2 via ses clients. L'ANSSI privilégie pour les sous-traitants une approche indirecte, par les contrats. Concrètement, attendez-vous à voir arriver dans vos appels d'offres et vos renouvellements de contrats des clauses de sécurité, des questionnaires d'évaluation et des exigences de notification d'incident. Ne pas être prêt, c'est risquer de perdre des marchés bien avant la première sanction.

Notre lecture d'ESN de terrain

Chez Innosys, nous accompagnons depuis 2005 des PME et ETI sur leurs systèmes, leurs réseaux et leur sécurité. Ce que nous observons rejoint le constat de l'ANSSI : le problème n'est pas de savoir quoi faire, c'est de le faire. Vincent Strubel le dit d'une formule : « Notre problème, ce n'est pas un problème de conception, c'est un problème d'exécution. »

Les mesures qui protègent réellement une organisation sont connues et souvent peu spectaculaires : authentification multifacteur sur les comptes à privilèges, gestion des correctifs, remplacement des composants obsolètes, détection sur les postes et les serveurs, sauvegardes testées, cartographie des prestataires critiques. La feuille de route publiée pour la sécurité de l'État fixe d'ailleurs ce type d'actions aux ministères pour fin 2026 : MFA pour les administrateurs, procédures de correctifs, EDR/XDR sur tous les postes et serveurs. C'est un bon étalon pour une entreprise privée.

L'ANSSI met aussi à disposition des outils concrets : le Référentiel Cyber France (ReCyF), publié en mars 2026 avec des fiches pratiques, et un outil de comparaison sur la plateforme MesServicesCyber. Ils permettent de commencer dès aujourd'hui, sans attendre les décrets.

Ce qu'il faut faire maintenant

Qualifier votre statut. Déterminez, secteur et taille à l'appui, si vous êtes probablement entité essentielle, importante, ou sous-traitant d'une entité régulée. Cette analyse conditionne tout le reste et ne dépend pas de la date du vote.
Mesurer l'écart avec le ReCyF. Utilisez le référentiel de l'ANSSI et l'outil MesServicesCyber pour établir un état des lieux honnête, en priorisant gouvernance, gestion de crise et remédiation — les points où une certification ISO 27001 ne suffit pas.
Traiter les fondamentaux techniques. MFA sur les comptes à privilèges, gestion des correctifs, détection (EDR) sur postes et serveurs, sauvegardes isolées et testées. Ce sont des mesures utiles quel que soit le texte final.
Cartographier vos prestataires critiques. Identifiez les fournisseurs dont la défaillance arrêterait votre activité, et préparez les clauses contractuelles que vos propres clients vous demanderont bientôt.
Inscrire un budget pluriannuel. Plutôt qu'un investissement reporté puis concentré, planifiez un effort étalé jusqu'à l'échéance fin 2028 évoquée par l'ANSSI, et présentez-le en comité de direction : c'est désormais un sujet de gouvernance.

Conclusion

Le Parlement finira par voter la loi Résilience ; la seule inconnue est la date. Les entreprises qui auront utilisé ce délai pour se mettre en ordre de marche transformeront une contrainte réglementaire en argument commercial et en résilience réelle. Si vous souhaitez faire un point sur votre exposition à NIS2 ou prioriser vos chantiers, les équipes cybersécurité d'Innosys sont à votre disposition pour en parler.