Cybersecurite 12 Oct 2026 · 1 min de lecture

NIS2 encore reportée : la menace, elle, n'attend pas

Equipe Redaction

Expert INNOSYS

Le 6 octobre, la conférence des présidents de l'Assemblée nationale a retiré de l'ordre du jour le projet de loi Résilience, qui doit transposer la directive NIS2, deux ans après l'échéance européenne. Le même week-end, la Région Hauts-de-France annonçait une cyberattaque passée par deux de ses prestataires. Ces deux actualités racontent la même histoire : le calendrier législatif glisse, la menace non.

Un texte attendu depuis deux ans, encore repoussé

L'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité devait enfin commencer en séance publique le mercredi 7 octobre. La veille, la conférence des présidents l'a retiré des ordres du jour des 7 et 9 octobre, sans fixer de nouvelle date. La raison officielle avancée est l'encombrement du calendrier parlementaire, notamment l'examen du projet de loi sur les violences sexistes et sexuelles, plus long que prévu.

Le rapporteur Éric Bothorel espère une reprogrammation « dans quinze jours ou trois semaines ». Mais le texte a déjà accumulé les retards : déposé au Sénat en procédure accélérée le 15 octobre 2024, adopté par les sénateurs le 12 mars 2025, adopté par la commission spéciale de l'Assemblée en septembre 2025, il bute notamment sur l'article 16 bis, ajouté par le Sénat, qui interdit d'imposer aux fournisseurs de messageries chiffrées des mécanismes affaiblissant leur sécurité. Pendant ce temps, l'échéance de transposition fixée par Bruxelles, le 17 octobre 2024, est largement dépassée, et la France fait l'objet d'une procédure devant la Cour de justice de l'Union européenne pour non-transposition.

Conséquence très concrète : les obligations de NIS2 ne s'appliquent toujours pas en droit français. Elles n'entreront en vigueur qu'une fois la loi promulguée puis ses décrets et arrêtés publiés.

Ce que le texte va changer, quand il arrivera

Le projet de loi ne transpose pas seulement NIS2. Il intègre aussi la directive REC sur la résilience des entités critiques et la directive associée au règlement DORA pour le secteur financier. Côté cybersécurité, les chiffres donnent la mesure du changement :

le périmètre passe de 6 à 18 secteurs, dont la santé, l'industrie manufacturière, la chimie, la recherche, les services postaux et les infrastructures numériques ;
on passe d'environ 500 entités régulées à près de 15 000, dont environ 1 500 collectivités ; le rapport de la commission spéciale évoque 14 500 entités que l'ANSSI devra suivre ;
le texte distingue entités essentielles et entités importantes, avec des obligations proportionnées : gouvernance, gestion des risques, notification des incidents, coopération avec l'ANSSI ;
les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. L'État et les collectivités n'y sont pas soumis, mais restent tenus aux obligations de sécurité et de notification.

Pour une PME ou une ETI, le basculement est culturel avant d'être juridique : beaucoup d'organisations qui n'ont jamais été « régulées » au sens cyber vont le devenir, parfois sans l'avoir anticipé.

Hauts-de-France : l'attaque qui illustre l'enjeu

Le 3 octobre, la Région Hauts-de-France a annoncé un accès non autorisé à des données personnelles traitées pour son compte par deux prestataires : Atexo, qui gérait la plateforme des aides régionales, et Docaposte, qui opérait celle de la carte Génération#HDF destinée aux lycéens et apprentis. Les deux plateformes ont été fermées, une plainte a été déposée, et les prestataires indiquent avoir identifié les failles et engagé des corrections.

Selon la Région, noms, prénoms et adresses électroniques sont concernés, et des RIB ainsi que d'autres données d'identification le sont potentiellement. La collectivité ne peut pas, à ce stade, chiffrer le nombre de personnes touchées. Un pirate revendique sur un forum les données de plus de 700 000 personnes ; le site spécialisé FrenchBreaches évoque 782 000 enregistrements et 48 Go de données. Ces chiffres ne sont pas vérifiés et doivent être pris avec prudence.

Ce qui frappe, c'est le chemin d'entrée : les attaquants ne sont pas passés par le système d'information de la Région, mais par ceux de ses prestataires. C'est exactement le scénario que NIS2 cherche à encadrer en imposant aux entités régulées de maîtriser la sécurité de leur chaîne d'approvisionnement.

Notre lecture : la sous-traitance est le vrai sujet NIS2

Dans nos missions, nous constatons que la plupart des organisations ont progressé sur leur propre périmètre : MFA, sauvegardes, EDR, sensibilisation. Le point faible se situe presque toujours à la frontière : l'éditeur SaaS qui héberge des données sensibles, l'infogéreur qui dispose d'accès à privilèges, la plateforme métier opérée par un tiers et rarement auditée après la signature du contrat.

Deux erreurs reviennent souvent :

Croire que le report de la loi offre un répit

Le report ne change rien à la menace. Il ne change pas non plus les attentes des grands donneurs d'ordre, déjà soumis à des cadres comme DORA dans la finance, qui répercutent leurs exigences sur leurs fournisseurs par voie contractuelle. Une PME qui fournit une entité essentielle sera interrogée sur sa sécurité, loi promulguée ou non.

Penser que la responsabilité s'externalise avec le service

Quand un prestataire est compromis, c'est le responsable du traitement qui doit informer les personnes concernées, gérer la relation avec la CNIL et assumer l'impact d'image. L'exemple des Hauts-de-France le rappelle : c'est la Région qui communique, porte plainte et informe ses usagers. Externaliser un service, ce n'est pas externaliser le risque.

Ce qu'il faut faire maintenant

Qualifier votre statut probable. Déterminez dès aujourd'hui si votre organisation relève, selon le projet de loi, des entités essentielles ou importantes, ou si elle sera concernée indirectement comme fournisseur d'une entité régulée. Cette qualification conditionne tout le reste.
Cartographier vos prestataires critiques et les données qu'ils détiennent. Pour chaque traitement externalisé, listez les catégories de données (RIB, pièces d'identité, données de santé…), les accès dont dispose le prestataire et son niveau de certification.
Revoir les clauses contractuelles de notification. Délai d'alerte, contenu minimal de la notification, interlocuteur désigné, droit d'audit : ces clauses doivent exister et être testées, pas seulement rédigées.
Tester votre capacité à détecter et notifier. Organisez un exercice de crise sur un scénario de compromission d'un prestataire, avec message type aux personnes concernées et circuit de décision. C'est souvent là que les failles d'organisation apparaissent.
Planifier les audits fournisseurs dans la durée. Un questionnaire à la signature ne suffit pas. Prévoyez une revue périodique de vos prestataires les plus critiques, proportionnée à leur exposition.

Conclusion

Le report du projet de loi Résilience peut sembler une bonne nouvelle pour des équipes déjà débordées. C'est en réalité une fausse respiration : quand le texte sera promulgué, les délais de mise en conformité seront courts, et les attaquants, eux, n'attendent pas le Journal officiel. Les organisations qui auront profité de ces semaines pour cartographier leurs prestataires et tester leurs procédures partiront avec une longueur d'avance.

Chez Innosys, nous accompagnons depuis 2005 des DSI et des dirigeants de PME et d'ETI sur ces sujets très concrets : diagnostic de maturité, cartographie des tiers, exercices de crise. Si vous souhaitez faire le point sur votre exposition, nous en discuterons volontiers.