NIS2 en France : où en est-on, et que faire dès maintenant ?

Adoptée par l'Union européenne fin 2022, la directive NIS2 élargit considérablement le nombre d'organisations soumises à des obligations de cybersécurité. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national. Près de deux ans plus tard, la France n'a toujours pas de loi en vigueur. Faisons le point sur ce qui est connu, ce qui reste à trancher, et ce que vous pouvez faire sans attendre.

Où en est la transposition en France ?

• Octobre 2024 : la date limite européenne est dépassée. Le gouvernement engage la procédure accélérée sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
• Début 2025 : le Sénat adopte le texte.
• Septembre 2025 : la commission spéciale de l'Assemblée nationale l'adopte à son tour.
• Juillet 2026 : la Commission européenne saisit la Cour de justice de l'Union européenne contre la France, ainsi que l'Espagne, l'Irlande et les Pays-Bas, pour défaut de transposition.
• À partir du 7 octobre 2026 : le texte est examiné en séance à l'Assemblée nationale.

Autrement dit, les obligations ne s'appliquent pas encore formellement en France : leur date d'entrée en vigueur dépendra du vote définitif puis des textes d'application. En revanche, leur contenu est connu depuis 2022, puisqu'il est fixé par la directive elle-même.

Qui sera concerné ?

NIS2 distingue les entités essentielles et les entités importantes, réparties dans 18 secteurs : énergie, transports, santé, eau, infrastructures numériques, administrations, mais aussi gestion des déchets, industrie manufacturière, agroalimentaire, services postaux ou fournisseurs numériques. En règle générale, sont visées les organisations d'au moins 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires dans ces secteurs, et certaines quelle que soit leur taille. En France, on parle de plusieurs milliers d'entités : le chiffre de 15 000 est souvent avancé.

Pour savoir si votre organisation est dans le périmètre, l'ANSSI propose un test d'éligibilité sur sa plateforme MesServicesCyber.

Et si vous n'êtes pas concerné directement, vous le serez peut-être indirectement : la directive impose aux entités concernées de sécuriser leur chaîne d'approvisionnement. Si l'un de vos clients entre dans le périmètre, il vous demandera tôt ou tard des garanties.

Ce que NIS2 exigera

• Des mesures de gestion des risques (article 21) : analyse des risques, gestion des incidents, continuité d'activité et sauvegardes, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, chiffrement, contrôle des accès, authentification multifacteur…
• De la cyberhygiène et de la formation : la directive cite explicitement « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ».
• L'implication de la direction (article 20) : les dirigeants approuvent les mesures, supervisent leur mise en œuvre et doivent eux-mêmes être formés.
• La notification des incidents importants (article 23) : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois.
• Des sanctions dissuasives (article 34) : la directive impose aux États de prévoir des amendes pouvant atteindre au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.

Que faire dès maintenant ?

L'ANSSI le recommande elle-même : inutile d'attendre la loi pour s'engager dans une démarche de sécurisation cohérente avec NIS2. Elle a d'ailleurs publié en mars 2026 le Référentiel Cyber France (ReCyF), qui détaille les mesures de sécurité attendues. Voici par où commencer :

1. Vérifier votre éligibilité sur MesServicesCyber et repérer ceux de vos clients qui sont concernés.
2. Faire l'inventaire de vos postes, serveurs, comptes et applications : on ne protège bien que ce que l'on connaît.
3. Traiter les fondamentaux : mises à jour régulières, sauvegardes hors ligne et testées, authentification multifacteur, gestionnaire de mots de passe, comptes administrateurs séparés.
4. Former et sensibiliser vos équipes, dirigeants compris, par exemple avec des simulations de phishing régulières.
5. Préparer la gestion d'incident : qui appeler, qui décide, et comment notifier en moins de 24 heures.
6. Documenter ce que vous mettez en place : en cas de contrôle, il faudra pouvoir le prouver.

Comment SyNode-IT peut vous aider

Nous accompagnons les entreprises sur ces fondamentaux : supervision et mises à jour des postes, sauvegardes, sécurisation des accès et documentation. Pour la sensibilisation, nous avons développé Phisheur, une plateforme de simulation de phishing en français dont les rapports peuvent servir de preuve des actions de formation menées.

Sources : directive (UE) 2022/2555, ANSSI, Next, Leto. Article à jour au 1er octobre 2026.