Cybersecurite 09 Nov 2026 · 1 min de lecture

NIS2 revient à l'Assemblée : le compte à rebours est lancé

Equipe Redaction

Expert INNOSYS

Deux ans après la date limite fixée par Bruxelles, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité revient enfin devant les députés. Inscrit à l'ordre du jour à partir du lundi 9 novembre, il doit transposer NIS2, mais aussi les directives REC et DORA. Pour des milliers de PME et d'ETI, c'est le moment de passer de la veille réglementaire au plan d'action.

Un texte attendu depuis octobre 2024

La directive européenne NIS2 devait être transposée par les États membres au plus tard le 17 octobre 2024. La France a engagé la procédure accélérée dès le 15 octobre 2024, et le Sénat a adopté le projet de loi le 12 mars 2025. Puis le texte s'est enlisé : adopté en commission spéciale à l'Assemblée en septembre 2025, il a ensuite attendu plus d'un an une place dans un calendrier parlementaire saturé.

L'automne 2026 a encore apporté son lot de rebondissements. Inscrit pour le 7 octobre, l'examen a été retiré de l'ordre du jour la veille par la conférence des présidents. Next rapportait alors l'espoir du rapporteur Éric Bothorel de voir le texte « réinscrit d'ici quinze jours ou trois semaines ». Ce sera finalement un peu plus : selon Silicon.fr (5 novembre), la discussion publique est fixée au lundi 9 novembre, avec des débats prévus jusqu'au vendredi 13 novembre. Le dossier législatif de l'Assemblée nationale indique bien une discussion en séance publique le 9 novembre sur le texte de la commission n° 1779-A0, avec 404 amendements déposés en séance.

Ce retard n'est pas neutre. D'après Clubic, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet dernier pour défaut de transposition. Autrement dit, la pression politique pour aboutir est maximale.

Ce que contient le projet de loi

Trois directives dans un même véhicule

Le texte est un « paquet » : il transpose NIS2 (cybersécurité), la directive REC sur la résilience des entités critiques et, pour sa partie française, DORA, le règlement sur la résilience opérationnelle numérique du secteur financier.

Selon Silicon.fr, le titre I modernise le dispositif de sécurité des activités d'importance vitale (SAIV), applicable à plus de 300 opérateurs, et prévoit des plans de résilience pour quelque 1 500 points d'importance vitale. Le titre II, consacré à la cybersécurité, fait passer le champ de la régulation de 6 à 18 secteurs.

Un changement d'échelle : on passe de quelques centaines à des milliers d'entités

C'est le point qui concerne directement nos clients. Jusqu'ici, la régulation cyber visait essentiellement les opérateurs d'importance vitale et les opérateurs de services essentiels, soit quelques centaines d'organisations. Avec NIS2, Clubic évoque « quelque 15 000 entités » concernées en France, réparties entre entités essentielles et entités importantes. Les députés ont en outre ajouté les éditeurs de logiciels au périmètre lors du passage en commission.

Concrètement, de nombreuses ETI industrielles, des acteurs de la santé, du transport, de la gestion des déchets, de l'agroalimentaire, du numérique ou encore des collectivités vont découvrir qu'elles sont désormais régulées, avec des obligations de gouvernance, de gestion des risques et de notification d'incidents.

Les obligations et les sanctions

Les sources consultées rappellent le socle fixé par la directive NIS2 : une obligation d'alerte dans les 24 heures en cas d'incident significatif et, pour les entités les plus critiques, des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial (Clubic). Le texte français précisera les modalités exactes ; elles pourront encore évoluer au fil des amendements.

L'ANSSI, de son côté, a déjà préparé le terrain. Son directeur général, Vincent Strubel, entendu par les rapporteurs début octobre, a plaidé pour ne pas « surtransposer » NIS2 et a qualifié le texte de « réponse adaptée à l'état de la menace et à ses évolutions anticipées » (Silicon.fr). L'agence a publié en mars son référentiel ReCyF et ouvert un pré-enregistrement des entités sur son portail, selon Clubic.

Le point dur : le chiffrement

Le blocage le plus politique ne porte pas sur les PME, mais sur l'article 16 bis, introduit au Sénat, relatif au chiffrement (Next). C'est l'un des sujets à suivre dans les débats cette semaine, car il intéresse tous les éditeurs et intégrateurs de solutions de messagerie et de communication sécurisée.

Ce que cela change concrètement pour une PME ou une ETI

« On a encore le temps » : un faux confort

Clubic le rappelle : après le vote à l'Assemblée, il faudra encore harmoniser le texte avec la version du Sénat, puis attendre les décrets d'application. Un délai d'environ trois ans après la promulgation est évoqué pour la mise en conformité, et les entreprises ne sont pas juridiquement tenues de s'y conformer avant.

Sur le terrain, nous voyons pourtant les choses arriver bien plus vite, et ce pour trois raisons.

Les donneurs d'ordre n'attendent pas la loi. Les grands comptes régulés doivent maîtriser la sécurité de leur chaîne d'approvisionnement. Ils répercutent déjà des exigences NIS2 dans leurs appels d'offres et leurs contrats de sous-traitance : questionnaires de sécurité, clauses de notification d'incident, droits d'audit. Une PME prestataire peut donc être « NIS2 de fait » bien avant d'être « NIS2 de droit ».

Les assureurs cyber regardent les mêmes sujets. Authentification forte, sauvegardes isolées, plan de réponse à incident : les questionnaires de souscription recoupent largement les mesures attendues par NIS2.

La menace, elle, n'attend pas. L'Usine Digitale résumait la situation en titrant que les organisations « encaissent les cyberattaques » pendant que la France tarde à adopter NIS2. Les mesures demandées par la directive sont, avant tout, de l'hygiène cyber.

Le vrai sujet : la gouvernance

Avec des sanctions calculées en pourcentage du chiffre d'affaires mondial, NIS2 fait de la cybersécurité un sujet de direction générale. Elle ne peut plus être simplement déléguée à « l'informatique » ou à un prestataire : les arbitrages de risque et de budget doivent remonter au niveau où se prennent les décisions. Dans les PME que nous accompagnons, c'est souvent le changement le plus profond : il faut un responsable identifié, un budget arbitré, des indicateurs suivis en comité de direction.

Le risque de l'« usine à gaz »

À l'inverse, nous voyons aussi des entreprises se lancer dans des démarches documentaires très lourdes, sans traiter les fondamentaux techniques. Un classeur de politiques de sécurité ne remplace pas une sauvegarde testée, un inventaire à jour ou des comptes administrateurs protégés. Le message de l'ANSSI contre la surtransposition vaut aussi à l'échelle de l'entreprise : proportionnalité et efficacité d'abord.

Ce qu'il faut faire maintenant

Qualifiez votre statut. Vérifiez, à partir de votre secteur, de votre taille et de votre chiffre d'affaires, si vous êtes susceptible d'être entité essentielle ou importante, et regardez si vous êtes fournisseur d'une entité régulée. Le pré-enregistrement proposé par l'ANSSI est un bon point de départ.
Désignez un responsable et inscrivez la cyber au comité de direction. Un pilote nommé, une feuille de route validée par la direction et un point trimestriel suffisent pour démarrer correctement.
Faites un écart rapide avec le référentiel ReCyF. Plutôt qu'un audit exhaustif, un diagnostic de quelques jours sur les mesures clés (gestion des identités, sauvegardes, mises à jour, journalisation, cloisonnement) permet de prioriser.
Préparez la notification d'incident. L'alerte en 24 heures suppose de savoir détecter, qualifier et escalader un incident. Rédigez une procédure simple, identifiez les contacts (prestataires, assureur, ANSSI) et testez-la lors d'un exercice de crise.
Cartographiez vos fournisseurs critiques. Infogérance, hébergement, éditeurs SaaS : listez-les, vérifiez leurs engagements contractuels de sécurité et de notification, et anticipez les questionnaires que vos propres clients vont vous envoyer.

Conclusion

L'examen du projet de loi Résilience à l'Assemblée ne marque pas la fin du feuilleton, mais il rend le calendrier enfin lisible. Les entreprises qui auront utilisé ce délai pour construire une gouvernance et traiter les fondamentaux aborderont les décrets d'application sereinement ; les autres découvriront leurs obligations au moment où leurs clients et leurs assureurs les exigeront.

Chez Innosys, nous accompagnons depuis 2005 des PME et des ETI sur l'administration de leurs systèmes et leur cybersécurité. Si vous souhaitez faire le point sur votre exposition à NIS2 et bâtir une feuille de route proportionnée, nos équipes sont à votre disposition.