NIS2 en France 2026 : ce que la loi Resilience change pour les entreprises

NIS2 arrive en France en 2026, avec du retard sur le calendrier européen. Cette directive impose un cadre commun de cybersécurité à des milliers d’entreprises et d’administrations. Elle ne se limite plus aux grands groupes stratégiques comme l’ancienne directive NIS. Environ 15 000 entités françaises entrent désormais dans son champ, un chiffre qui peut grimper jusqu’à 18 000 selon la méthode de comptage retenue. Cet article explique ce que change NIS2, qui est concerné, quelles obligations s’appliquent, ce que change concrètement la loi Résilience, et comment préparer son entreprise avant l’entrée en vigueur définitive du texte français.

NIS2 : de quoi parle cette directive européenne ?

NIS2 est la deuxième version de la directive européenne sur la sécurité des réseaux et de l’information. Elle remplace la directive NIS de 2016, jugée trop étroite face à la multiplication des cyberattaques. Le texte européen est entré en vigueur en 2023. Chaque État membre devait le transposer dans son droit national avant le 17 octobre 2024. La France n’a pas tenu ce délai. La Commission européenne a ouvert une procédure d’infraction à son encontre fin novembre 2024. Le vote définitif de la loi française de transposition, portée par le projet de loi Résilience, est désormais attendu lors de la session extraordinaire de juillet 2026.

NIS1 et NIS2 : ce qui change réellement

Beaucoup de dirigeants confondent encore l’ancienne et la nouvelle directive. Le tableau suivant résume les écarts principaux entre les deux textes.

NIS2 en France : où en est la transposition en 2026 ?

Le projet de loi Résilience a suivi un parcours législatif long. Il transpose en réalité trois textes européens en un seul mouvement : NIS2, la directive REC sur la résilience des entités critiques, et le règlement DORA pour le secteur financier. Le Sénat a adopté le texte le 12 mars 2025. L’examen en commission spéciale à l’Assemblée nationale s’est achevé le 10 septembre 2025. Depuis, le texte attend son passage en hémicycle, désormais annoncé pour juillet 2026 sous réserve de la convocation d’une session extraordinaire. Sa promulgation par le président de la République est attendue dans la foulée, à l’été 2026.

Ce retard s’explique en grande partie par un point de blocage politique : l’article 16 bis, introduit par le Sénat, interdit d’imposer aux fournisseurs de services de chiffrement l’intégration de portes dérobées ou de clés de déchiffrement maître. La Direction générale de la sécurité intérieure (DGSI) s’oppose à cette disposition, estimant que la généralisation du chiffrement de bout en bout complique les enquêtes judiciaires. Cet arbitrage entre protection du chiffrement et besoins du renseignement explique une bonne part des atermoiements parlementaires. Une fois la loi promulguée, l’ANSSI deviendra le superviseur central du dispositif : elle contrôlera les entités concernées et sanctionnera les manquements les plus graves.

NIS2 : quelles entreprises sont concernées ?

NIS2 élargit considérablement le périmètre de l’ancienne directive. Environ 15 000 entités françaises entrent dans son champ selon l’ANSSI, contre un nombre bien plus restreint sous NIS1. Le texte couvre 18 secteurs d’activité, répartis en deux annexes qui déterminent aussi le régime de supervision applicable.

La taille de l’entreprise compte aussi : les critères s’appliquent en priorité aux structures de plus de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires dans un secteur régulé. Une PME du secteur de la santé, un opérateur logistique de taille intermédiaire ou un fournisseur de services cloud peuvent ainsi tous entrer dans le champ de NIS2. Beaucoup de dirigeants découvrent qu’ils sont concernés en lisant les textes d’application, alors qu’ils pensaient ce sujet réservé aux grands groupes.

Entités essentielles et entités importantes : la différence

NIS2 distingue deux catégories d’entités. Les entités essentielles regroupent les secteurs les plus critiques de l’Annexe I : énergie, santé, transport, banque, infrastructures numériques. Les entités importantes couvrent les secteurs de l’Annexe II, jugés moins critiques mais toujours sensibles. Cette distinction change le niveau de supervision.

NIS2 : quelles obligations pour les entreprises concernées ?

NIS2 impose un socle commun d’obligations à toutes les entités couvertes, essentielles ou importantes.

Gestion des risques et gouvernance

Chaque entité doit mettre en place une gestion des risques cyber adaptée à son activité. Cela couvre le chiffrement des données sensibles, le contrôle d’accès et la formation des équipes. La sécurité de la chaîne d’approvisionnement occupe une place particulière dans le texte : une entreprise doit désormais évaluer le niveau de sécurité de ses fournisseurs et sous-traitants, pas seulement le sien. Un maillon faible chez un prestataire peut suffire à exposer toute la chaîne. La gouvernance de la cybersécurité devient aussi une responsabilité directe des dirigeants : un dirigeant qui néglige ses obligations sous NIS2 engage sa responsabilité personnelle, ce qui change la donne pour de nombreuses directions générales.

Notification des incidents : 24h, 72h, un mois

NIS2 fixe un calendrier de notification strict en cas d’incident significatif. Une alerte précoce doit partir sous 24 heures après la découverte de l’incident. Une notification complète suit sous 72 heures, avec une évaluation initiale de la gravité. Un rapport final doit ensuite être transmis sous un mois. Ce rythme impose aux entreprises de disposer d’un processus de détection et d’escalade déjà rodé, pas seulement d’une procédure sur le papier. Notre article dédié détaille la procédure complète de notification d’incident sous 24h, avec un modèle à préparer à l’avance.

Feuille de route : comment séquencer sa mise en conformité NIS2

La mise en conformité NIS2 se planifie sur douze à dix-huit mois. Voici la séquence généralement recommandée par les cabinets spécialisés, du diagnostic initial jusqu’à la revue annuelle.

NIS2, RGPD, AI Act : comparer les sanctions

NIS2 prévoit des sanctions financières inspirées du modèle du RGPD. Pour une entité essentielle, l’amende peut atteindre 10 millions d’euros, ou 2 % du chiffre d’affaires mondial si ce montant est plus élevé. Pour une entité importante, le plafond descend à 7 millions d’euros, ou 1,4 % du chiffre d’affaires mondial. Au-delà de l’amende, l’ANSSI pourra aussi émettre des avertissements publics et imposer à une organisation non conforme de communiquer elle-même sur ses manquements : une sanction réputationnelle qui pèse souvent plus lourd que l’amende. De nombreuses entreprises jonglent désormais avec plusieurs textes européens aux logiques de sanction proches mais distinctes. Le tableau ci-dessous les met en perspective.

Le RGPD protège les données à caractère personnel, quand NIS2 protège la sécurité des réseaux et des systèmes d’information dans leur ensemble, qu’ils traitent ou non des données personnelles. L’AI Act, dont l’échéance clé pour les systèmes à haut risque tombe également en 2026, cible spécifiquement les systèmes d’intelligence artificielle. Ces trois textes peuvent s’appliquer en même temps à une même entreprise, avec des obligations distinctes à respecter en parallèle plutôt qu’un empilement redondant.

NIS2 : le référentiel ReCyF de l’ANSSI, à quoi sert-il ?

Le 17 mars 2026, l’ANSSI a publié le Référentiel Cyber France, ou ReCyF. Ce document liste, en vingt objectifs répartis en quatre blocs, les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2. Il reste non obligatoire à ce stade, mais une entreprise qui l’applique pourra s’en prévaloir en cas de contrôle. Le ReCyF offre donc un cadre pratique et concret, là où le texte européen reste volontairement général. Notre mode d’emploi complet du référentiel ReCyF détaille chacun des vingt objectifs et propose une méthode pour démarrer bloc par bloc.

NIS2 et les autres chantiers de conformité 2026

NIS2 n’est pas la seule échéance réglementaire de l’année pour les entreprises françaises. Comme pour la facturation électronique, dont l’obligation démarre au 1er septembre 2026, ou pour l’AI Act, dont l’échéance clé tombe le 2 août 2026, la mise en conformité NIS2 demande d’anticiper plutôt que de subir. À cela s’ajoutent les obligations climatiques et extra-financières qui montent en puissance à la même période, décrites dans notre article sur l’impact du réchauffement climatique sur les entreprises en 2026. Ces réformes partagent un point commun : elles imposent de revoir en profondeur des processus internes, pas seulement d’ajouter une case à cocher. Une entreprise qui les traite séparément perd du temps. Beaucoup ont intérêt à les piloter ensemble, au sein d’un même plan de mise en conformité annuel, porté par une gouvernance unique plutôt que par des équipes cloisonnées.

Comment se préparer à NIS2 dès maintenant ?

Quelques actions concrètes permettent d’avancer avant l’entrée en vigueur définitive de NIS2 :

• Vérifiez si votre secteur d’activité entre dans le champ de la directive, et si votre taille vous classe comme entité essentielle ou importante.
• Consultez le référentiel ReCyF de l’ANSSI pour évaluer l’écart entre vos pratiques actuelles et les objectifs attendus.
• Formalisez une procédure de notification d’incident qui respecte les délais de 24 heures, 72 heures et un mois.
• Impliquez votre direction générale dès maintenant : la responsabilité personnelle des dirigeants change la priorité donnée à ce sujet.
• Auditez la sécurité de vos fournisseurs et sous-traitants, un point central de la directive souvent sous-estimé.
• Désignez un référent NIS2 ou renforcez votre équipe sécurité : la demande pour les métiers de la cybersécurité, RSSI en tête, explose du fait de ces nouvelles obligations réglementaires.
• Rappelez les fondamentaux à vos équipes : mots de passe robustes et authentification à deux facteurs restent la base de toute conformité, comme le détaille notre guide pour sécuriser ses comptes en ligne.

NIS2 : pour aller plus loin

Plusieurs articles complètent ce guide sur des points pratiques essentiels. Notre article sur la notification d’incident en 24h détaille la procédure à suivre en cas d’incident significatif. Notre article sur le référentiel ReCyF explique comment utiliser concrètement les vingt objectifs de l’ANSSI pour structurer votre mise en conformité. Retrouvez aussi notre calendrier de la facturation électronique, notre guide sur l’AI Act, ainsi que notre panorama des métiers de la cybersécurité qui recrutent en 2026.

FAQ : les questions fréquentes sur NIS2

NIS2 est-elle déjà applicable en France en 2026 ?

Pas totalement. La loi française de transposition, portée par le projet de loi Résilience, doit encore être votée puis promulguée en 2026. La France accuse un retard sur le calendrier européen, qui fixait l’échéance au 17 octobre 2024.

Combien d’entreprises françaises sont concernées par NIS2 ?

Environ 15 000 entités selon l’ANSSI, un chiffre qui atteint jusqu’à 18 000 selon les estimations, réparties entre entités essentielles et entités importantes, selon leur secteur d’activité et leur taille.

Pourquoi la loi Résilience a-t-elle pris autant de retard ?

Au-delà de la charge de travail parlementaire, un point de blocage spécifique freine le texte : l’article 16 bis, qui protège les fournisseurs de chiffrement contre l’obligation d’intégrer des portes dérobées, s’oppose aux besoins d’enquête de la DGSI. Cet arbitrage explique une bonne partie du retard pris depuis fin 2024.

Que risque un dirigeant qui ignore ses obligations NIS2 ?

Sa responsabilité personnelle peut être engagée, en plus des sanctions financières prévues pour l’entreprise. C’est l’un des changements les plus marquants par rapport à l’ancienne directive NIS.

Le référentiel ReCyF est-il obligatoire ?

Non, il reste un document de travail non obligatoire. Mais une entreprise qui l’applique pourra s’en prévaloir en cas de contrôle de l’ANSSI.

Quel est le montant maximal d’une amende NIS2 ?

Jusqu’à 10 millions d’euros, ou 2 % du chiffre d’affaires mondial pour une entité essentielle. Le plafond descend à 7 millions d’euros, ou 1,4 % du chiffre d’affaires mondial, pour une entité importante.

NIS2 et RGPD, quelle différence ?

Le RGPD protège les données à caractère personnel. NIS2 protège la sécurité des réseaux et des systèmes d’information dans leur ensemble, qu’ils traitent ou non des données personnelles. Les deux textes peuvent s’appliquer en même temps à une même entreprise, avec des obligations distinctes à respecter en parallèle.

NIS2 et AI Act peuvent-ils s’appliquer à la même entreprise ?

Oui. Une entreprise qui déploie des systèmes d’IA à haut risque tout en relevant d’un secteur couvert par NIS2 doit respecter les deux textes simultanément. Mieux vaut piloter ces chantiers avec une gouvernance commune plutôt que des équipes qui travaillent chacune de leur côté.

Une PME qui n’a pas d’équipe technique dédiée peut-elle se mettre en conformité ?

Oui, à condition d’anticiper. Un référent NIS2, même externe, capable de mobiliser un prestataire en cas d’incident, combiné à un plan de traitement des risques priorisé, permet à une structure de taille modeste d’aborder cette obligation sans disposer d’un RSSI à temps plein.

Sources et méthodologie

Cet article s’appuie sur le texte de la directive (UE) 2022/2555, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (loi Résilience), les publications de l’ANSSI dont le référentiel ReCyF, ainsi que le suivi parlementaire du texte au Sénat et à l’Assemblée nationale. Les chiffres et échéances sont ceux connus au 9 juillet 2026 et seront mis à jour après le vote en hémicycle et la promulgation de la loi.

Ce qu’il faut retenir sur NIS2

NIS2 marque un changement d’échelle pour la cybersécurité des entreprises françaises. Le texte couvre bien plus d’entités que l’ancienne directive NIS, avec des obligations précises : gestion des risques, sécurité de la chaîne d’approvisionnement, notification rapide des incidents. La transposition française prend du retard, en partie à cause d’un désaccord sur le chiffrement, mais les entreprises concernées ont intérêt à anticiper dès maintenant, plutôt que d’attendre le vote définitif de la loi. Le référentiel ReCyF de l’ANSSI offre déjà un cadre concret pour avancer. Combinée à d’autres chantiers comme la facturation électronique ou l’AI Act, la mise en conformité NIS2 dessine une année 2026 particulièrement chargée pour les directions juridiques, techniques et financières des entreprises françaises.