Si tu attends que la loi française de transposition de NIS2 soit votée pour t’en préoccuper, tu risques d’attendre longtemps — et de te retrouver à traiter dans l’urgence ce que tu aurais pu lisser sur plusieurs mois. Le texte accumule les reports depuis 2024, mais la directive européenne, elle, est déjà en vigueur, et tes clients ou donneurs d’ordre te demandent probablement déjà des garanties. Dans cet article, tu vas voir où en est exactement la loi en septembre 2026, qui sera concerné, quelles obligations concrètes t’attendent, et surtout ce que tu peux commencer à mettre en place dès aujourd’hui, indépendamment du calendrier parlementaire.
NIS2, un rappel en une minute
NIS2 (Network and Information Security 2) est la directive européenne (UE) 2022/2555 qui remplace la première directive NIS de 2016. Elle élargit fortement le périmètre des organisations concernées par des obligations de cybersécurité — on passe d’environ 500 entités régulées en France sous NIS1 à plusieurs milliers sous NIS2 — et durcit les obligations : gestion des risques, notification d’incidents, sécurité de la chaîne d’approvisionnement, et responsabilité personnelle des dirigeants en cas de manquement grave.
Le délai de transposition fixé par l’Union européenne était le 17 octobre 2024. La France ne l’a pas tenu, et ce n’est pas un cas isolé : plusieurs États membres sont dans la même situation. Ça ne dispense personne des obligations de fond, qui découlent directement de la directive.
Où en est réellement la loi française en septembre 2026 ?
C’est le point que beaucoup d’admins et de RSSI ont du mal à suivre, tant le calendrier a glissé. Voici l’état des lieux :
- Octobre 2024 : présentation du projet de loi de résilience (qui transpose NIS2 et intègre aussi une partie du règlement DORA) en Conseil des ministres.
- 12 mars 2025 : adoption du texte par le Sénat en première lecture.
- Septembre 2025 : fin de l’examen en commission spéciale à l’Assemblée nationale.
- Été 2026 : le texte n’est finalement pas inscrit à l’ordre du jour de la session extraordinaire de juillet — nouveau report.
- Septembre 2026 : un passage en séance publique à l’Assemblée est de nouveau annoncé, avec une promulgation qui pourrait suivre rapidement si le texte n’est pas trop amendé.
Pendant ce temps, l’ANSSI n’a pas attendu le vote pour avancer sur le terrain technique : elle a publié en mars 2026 le référentiel ReCyF (Référentiel Cyber France), qui détaille une vingtaine d’objectifs de sécurité, et elle a ouvert la plateforme MonEspaceNIS2, qui permet à toute organisation de simuler son éligibilité et de s’enregistrer en amont. Concrètement : le texte de loi n’est pas encore promulgué, mais l’écosystème (ANSSI, secteurs régulés, grands donneurs d’ordre) fonctionne déjà largement comme si NIS2 s’appliquait.
Qui sera concerné : entités essentielles, importantes… et ta collectivité
Le texte français distingue deux catégories, reprises de la directive :
- Entités essentielles : grandes entreprises (250 salariés ou plus, ou plus de 50 M€ de chiffre d’affaires) dans les secteurs à très forts enjeux — énergie, transport, banque, santé, eau, infrastructures numériques, administration publique.
- Entités importantes : entreprises moyennes (50 salariés ou plus, ou plus de 10 M€ de chiffre d’affaires) dans ces mêmes secteurs, ou grandes entreprises dans des secteurs jugés moins critiques — postal, gestion des déchets, chimie, agroalimentaire, fabrication industrielle, services numériques.
Particularité française : le texte étend le périmètre aux collectivités territoriales de plus de 30 000 habitants, ce qui change la donne pour pas mal d’équipes IT de collectivités qui ne se sentaient pas concernées jusque-là.
Si tu es prestataire ou sous-traitant d’une entité régulée sans l’être toi-même directement, ne te crois pas hors sujet pour autant : la sécurité de la chaîne d’approvisionnement fait partie des obligations, ce qui veut dire que tes clients vont te demander des garanties contractuelles bien avant que la loi ne t’impose quoi que ce soit en direct.
Les obligations concrètes qui t’attendent
Les dix familles de mesures minimales
Le texte prévoit dix familles de mesures de sécurité à mettre en œuvre, de façon proportionnée à la taille et à la criticité de l’entité :
- Analyse des risques et politique de sécurité des systèmes d’information
- Gestion des incidents
- Continuité d’activité (sauvegardes, reprise après sinistre, gestion de crise)
- Sécurité de la chaîne d’approvisionnement
- Sécurité de l’acquisition, du développement et de la maintenance des systèmes
- Évaluation de l’efficacité des mesures de gestion des risques
- Hygiène informatique de base et formation à la cybersécurité
- Politiques de cryptographie
- Sécurité des ressources humaines et gestion des accès
- Authentification multifacteur et solutions de communication sécurisées
Notification d’incident : le calendrier qui ne pardonne pas
Autre point à anticiper dès maintenant, indépendamment du vote de la loi : le rythme de notification d’un incident significatif. Il faut compter une alerte précoce sous 24h, une notification complète sous 72h, puis un rapport final sous un mois. Ça suppose d’avoir déjà, avant l’incident, une procédure claire et testée — pas quelque chose que tu improvises le jour J.
Côté sanctions, le texte prévoit des montants dissuasifs : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes, avec en plus des pouvoirs de suspension, d’injonction, et une responsabilité personnelle possible des dirigeants.
Comment t’y préparer dès maintenant, sans attendre le vote définitif
La bonne nouvelle, c’est qu’aucune des actions ci-dessous n’est perdue si la loi change encore de forme d’ici sa promulgation — ce sont des fondamentaux de sécurité que tu as intérêt à avoir de toute façon.
1. Vérifie ton statut sur MonEspaceNIS2
Le simulateur d’éligibilité de l’ANSSI te donne en quelques minutes une première indication de ta catégorie probable (essentielle, importante, ou hors périmètre). Ça t’évite de mobiliser du temps sur un sujet qui, potentiellement, ne te concerne pas encore directement.
2. Cartographie ton SI et tes fournisseurs
C’est le prérequis à peu près à toutes les mesures qui suivent : tu ne peux pas gérer un risque que tu n’as pas identifié. Liste tes systèmes critiques, leurs interdépendances, et surtout tes prestataires externes (hébergeur, éditeurs SaaS, intégrateurs) — c’est souvent le point aveugle.
3. Généralise le MFA avant qu’on te l’impose
L’authentification multifacteur fait partie des dix familles de mesures, et c’est aussi l’un des contrôles avec le meilleur rapport effort/protection contre les compromissions de comptes. Si tu es sur Microsoft Entra ID, le changement d’enforcement Conditional Access de juin 2026 pousse déjà dans ce sens côté Microsoft. Pour auditer rapidement qui n’a pas encore de méthode MFA robuste enregistrée dans ton tenant, un script PowerShell avec le module Microsoft Graph fait le travail :
Connect-MgGraph -Scopes "UserAuthenticationMethod.Read.All", "User.Read.All"
Get-MgUser -All -Property Id, DisplayName, UserPrincipalName | ForEach-Object {
$methods = Get-MgUserAuthenticationMethod -UserId $_.Id
$hasStrongMfa = $methods | Where-Object {
$_.AdditionalProperties["@odata.type"] -match "microsoftAuthenticatorAuthenticationMethod|fido2AuthenticationMethod|windowsHelloForBusinessAuthenticationMethod"
}
[PSCustomObject]@{
Utilisateur = $_.UserPrincipalName
MfaRobuste = [bool]$hasStrongMfa
}
} | Where-Object { -not $_.MfaRobuste } | Export-Csv "audit-mfa-faible.csv" -NoTypeInformation -Encoding UTF8
La documentation complète de la cmdlet Get-MgUserAuthenticationMethod est disponible sur Microsoft Learn.
4. Durcis tes environnements techniques
Si une partie de ton infrastructure tourne sur Kubernetes, la sécurisation du cluster (RBAC, network policies, gestion des secrets, images signées) rentre directement dans les mesures de sécurité du développement et de la maintenance des systèmes exigées par NIS2. Notre guide complet pour sécuriser un cluster Kubernetes couvre ces points un par un si tu veux avancer concrètement sur ce chantier.
FAQ
NIS2 s’applique-t-elle déjà en France si la loi n’est pas votée ?
La directive européenne est en vigueur depuis 2023, mais elle ne devient contraignante en droit français qu’une fois transposée par une loi nationale. Tant que le texte n’est pas promulgué, il n’y a pas encore de base légale française pour sanctionner un manquement au titre de NIS2 spécifiquement. En revanche, des obligations proches existent déjà par ailleurs (LPM pour les OIV, RGPD pour les données personnelles), et attendre la loi pour agir revient à se donner très peu de temps une fois qu’elle sera votée.
Comment savoir si mon organisation est une entité essentielle ou importante ?
Le simulateur d’éligibilité de MonEspaceNIS2 est le point de départ le plus fiable, en croisant ton secteur d’activité, ta taille et ton chiffre d’affaires avec les annexes de la directive.
Le MFA seul suffit-il à être conforme ?
Non. C’est une des dix familles de mesures, pas la seule. La conformité suppose une démarche globale — analyse de risques, continuité d’activité, sécurité fournisseurs, etc. — mais le MFA reste un des contrôles les plus rapides à déployer largement et l’un de ceux qui réduisent le plus vite la surface d’attaque réelle.
En résumé
La loi française traîne, mais ni les obligations de fond de NIS2, ni la pression commerciale de tes clients et donneurs d’ordre n’attendent le vote définitif. Utilise ce délai à ton avantage : cartographie ton SI, généralise le MFA, avance sur le durcissement de tes environnements techniques, et suis l’avancement du texte via le site de l’ANSSI. Le jour où la loi sera promulguée, tu seras déjà bien avancé plutôt qu’en train de découvrir le sujet.
Laisser un commentaire