La réponse courte
La loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité — le véhicule français de transposition de NIS2 — ne figurait pas à l'ordre du jour de la session extraordinaire de juillet 2026. Son examen en séance publique à l'Assemblée nationale glisse à l'automne, alors même que le délai européen était fixé au 17 octobre 2024. Début juillet 2026, la Commission européenne a saisi la Cour de justice de l'UE contre la France pour ce retard.
Le calendrier légal patine, mais les exigences de fond ne bougent pas. Gouvernance du risque, notification des incidents, sécurité de la chaîne d'approvisionnement : ces obligations sont connues et de plus en plus présentes dans les appels d'offres. Anticiper par un audit de sécurité et un état des lieux du périmètre, c'est transformer un retard réglementaire en avance opérationnelle.
Que s'est-il passé exactement ?
La directive NIS2 (Network and Information Security 2) durcit et élargit le cadre européen de cybersécurité : elle couvre désormais dix-huit secteurs et distingue deux catégories d'organisations, les entités « essentielles » et les entités « importantes ». En France, on estime qu'entre 15 000 et 18 000 entités tomberont dans son périmètre — un changement d'échelle considérable par rapport au régime précédent, qui ne visait qu'une poignée d'opérateurs.
Le texte devait être transposé en droit national avant le 17 octobre 2024. La France a choisi de le faire via un projet de loi « résilience » qui transpose d'un même mouvement plusieurs textes européens (NIS2, mais aussi le règlement DORA sur la résilience opérationnelle du secteur financier et la directive sur la résilience des entités critiques). Ce projet a été adopté par le Sénat le 12 mars 2025, puis examiné en commission spéciale à l'Assemblée nationale en septembre 2025.
Depuis, l'examen en séance publique n'a cessé d'être reporté. Espéré pendant la session extraordinaire convoquée en juillet 2026, il en est finalement absent : le texte n'y figure pas, ce qui repousse son adoption à l'automne 2026 au plus tôt, décrets d'application et arrêtés de l'ANSSI venant ensuite. C'est dans ce contexte que, début juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France — ainsi que l'Irlande, l'Espagne et les Pays-Bas — pour défaut de transposition, une procédure qui peut aboutir à des sanctions financières.
Pourquoi ça bloque ?
Le point de crispation n'est pas technique mais politique. Il se cristallise autour de l'article 16 bis du projet, qui protège le chiffrement de bout en bout et interdit d'imposer des « portes dérobées » (backdoors) dans les messageries. Les services de renseignement y voient un frein à leurs capacités d'enquête, tandis que les défenseurs de la vie privée et une partie des experts en sécurité jugent toute porte dérobée intrinsèquement dangereuse — une faille utilisable par n'importe qui, pas seulement par les autorités.
Le directeur de l'ANSSI, Vincent Strubel, a résumé la tension sans détour : protection de la vie privée et sécurité nationale sont deux impératifs de même valeur, et il n'existe « pas de solution magique ». Ce désaccord de fond, ajouté à un agenda parlementaire encombré, explique que le texte reste en suspens malgré la pression de Bruxelles. Pour les entreprises, la conséquence est paradoxale : l'incertitude porte sur des dispositions périphériques, pas sur le socle de cybersécurité que NIS2 impose.
Ce que cela change pour les équipes qui bâtissent en France
Première conséquence : ne confondez pas retard de la loi et suspension des obligations. Les grands principes de NIS2 — analyse de risque documentée, mesures techniques et organisationnelles proportionnées, notification des incidents significatifs dans des délais courts, responsabilisation des dirigeants — sont désormais des attentes de marché. Vos clients grands comptes et vos partenaires du secteur public les intègrent déjà dans leurs contrats, indépendamment du calendrier législatif.
Deuxième conséquence : la sécurité de la chaîne d'approvisionnement devient un sujet contractuel. NIS2 rend les entités responsables de la sécurité de leurs fournisseurs de logiciels et de services numériques. Concrètement, un éditeur ou une ESN qui vend à une entité « essentielle » sera audité sur ses propres pratiques — cycle de développement sécurisé, gestion des vulnérabilités, capacité à signaler un incident. Pour les secteurs déjà très régulés comme la FinTech, DORA ajoute une couche d'exigences sur la résilience opérationnelle et les prestataires tiers critiques.
Troisième conséquence : la notification d'incident doit devenir un processus, pas une improvisation. NIS2 impose des jalons serrés (alerte précoce, puis notification détaillée). Or, être capable de détecter, qualifier et déclarer un incident en quelques heures suppose une instrumentation logicielle pensée en amont : journalisation exploitable, inventaire des actifs à jour, chaîne d'alerte testée. Ceux qui découvriront ces exigences le jour de l'incident les subiront ; ceux qui les auront outillées les traiteront comme une routine.
Comment se préparer sans attendre « la date »
La bonne approche ne consiste pas à tout figer en attendant les décrets, mais à traiter la conformité comme une dette que l'on rembourse par étapes, en commençant par ce qui a de la valeur quel que soit le texte final :
- Déterminez si vous êtes concerné. Vérifiez votre secteur, votre taille et votre rôle dans la chaîne de valeur : entité essentielle, importante, ou fournisseur d'une entité régulée. Le statut change vos obligations et vos échéances.
- Faites l'état des lieux des écarts. Un diagnostic honnête entre vos pratiques actuelles et les exigences NIS2 vaut mieux qu'une conformité de façade. Priorisez par le risque, pas par la facilité.
- Industrialisez la notification d'incident. Définissez qui déclare, à qui, dans quel délai et avec quelles preuves. Répétez-le au moins une fois : un plan jamais exécuté n'est pas un plan.
- Sécurisez votre chaîne d'approvisionnement. Cartographiez vos dépendances logicielles et vos sous-traitants critiques, et intégrez des clauses de sécurité dans les contrats.
- Documentez pour l'audit. Analyse de risque, mesures en place, décisions des dirigeants : tracez-les. La conformité qui ne se prouve pas ne compte pas.
Ceci n'est pas un conseil juridique, et la bonne trajectoire dépend de votre secteur, de vos données et de votre exposition. Mais le signal envoyé par Bruxelles est sans ambiguïté : le retard français ne durera pas éternellement, et la conformité NIS2 finira par s'imposer. Les entreprises qui avanceront le mieux sont celles qui auront traité le sujet comme de l'ingénierie — méthodique, testée, documentée — avant qu'il ne devienne une urgence.
Questions fréquentes
Où en est la transposition de NIS2 en France ?
La directive aurait dû être transposée avant le 17 octobre 2024. Le véhicule français, la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, a été adoptée par le Sénat le 12 mars 2025, puis examinée en commission spéciale à l'Assemblée nationale en septembre 2025. Absente de l'ordre du jour de la session extraordinaire de juillet 2026, son examen en séance publique est repoussé à l'automne 2026 au plus tôt.
Pourquoi la Commission européenne a-t-elle saisi la CJUE contre la France ?
Début juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, mais aussi contre l'Irlande, l'Espagne et les Pays-Bas, pour défaut de transposition de la directive NIS2 dans les délais. La procédure peut déboucher sur des sanctions financières si le retard perdure.
Faut-il attendre la loi pour se mettre en conformité NIS2 ?
Non. Attendre « la date » est précisément le piège. Les obligations de fond de NIS2 — gouvernance du risque, gestion et notification des incidents, sécurité de la chaîne d'approvisionnement — sont connues et déjà exigées dans de nombreux cahiers des charges. Les entreprises qui cartographient leur périmètre, industrialisent la notification d'incident et sécurisent leur cycle de développement dès maintenant traverseront la mise en conformité sans précipitation quand les décrets tomberont.
Sources
Next — Cybersécurité : la transposition de NIS2 continue de traîner des pieds
IT-Connect — NIS 2 encore repoussé : la France traînée devant la Cour de justice
Banque des Territoires — Directive NIS2 : la transposition française repoussée