En bref
- NIS2 vise les entreprises moyennes et grandes de 18 secteurs (énergie, santé, transports, numérique, industrie, alimentaire, déchets…), ainsi que certaines administrations.
- Au 9 novembre 2026, la loi française de transposition n'est pas votée : l'Assemblée nationale l'examine du 9 au 13 novembre. Des décrets suivront.
- Les petites entreprises sont rarement concernées directement, mais souvent indirectement, comme fournisseurs d'entités soumises à NIS2.
- Sans attendre : vérifier son statut, faire un état des lieux et s'appuyer sur le référentiel publié par l'ANSSI.
Où en est la loi en France (au 9 novembre 2026)
La directive européenne NIS2 devait être transposée par les États membres au plus tard le 17 octobre 2024. En France, elle l'est par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience », qui transpose aussi la directive sur la résilience des entités critiques et adapte le droit français au règlement DORA pour le secteur financier.
- 12 mars 2025 : adoption du texte par le Sénat.
- Septembre 2025 : examen en commission spéciale à l'Assemblée nationale.
- 17 mars 2026 : l'ANSSI publie le Référentiel Cyber France (ReCyF), en version de travail.
- 8 juillet 2026 : la Commission européenne saisit la Cour de justice de l'UE contre la France et trois autres pays pour retard de transposition.
- Du 9 au 13 novembre 2026 : examen du texte en séance à l'Assemblée nationale, après deux reports.
Après le vote, il faudra encore la promulgation de la loi puis des décrets d'application qui préciseront les listes d'entités et les échéances. Nous mettrons cet article à jour à chaque étape.
Qui est concerné
NIS2 s'applique selon deux critères : le secteur et la taille.
Le secteur. La directive liste 18 secteurs, répartis en secteurs « hautement critiques » (énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, gestion des services informatiques entre entreprises, administration publique, espace) et « autres secteurs critiques » (services postaux, gestion des déchets, chimie, alimentaire, fabrication de certains produits, fournisseurs numériques, recherche).
La taille. En règle générale, sont visées les entreprises moyennes (au moins 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan) et grandes (au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions de bilan). Certaines entités sont concernées quelle que soit leur taille, par exemple certains fournisseurs de services numériques ou de télécommunications.
| Catégorie | Qui | Supervision |
|---|---|---|
| Entité essentielle | Surtout les grandes entreprises des secteurs hautement critiques | Contrôles réguliers, y compris sans incident |
| Entité importante | Les autres entreprises dans le champ, dont beaucoup d'entreprises moyennes | Contrôles surtout en cas de manquement suspecté |
Le périmètre exact en France dépendra du texte voté et de ses décrets : vérifiez votre situation une fois ceux-ci publiés.
Les petites entreprises : concernées par ricochet
Une PME de moins de 50 salariés est rarement soumise directement à NIS2. Mais les entités concernées doivent sécuriser leur chaîne d'approvisionnement : elles vont demander à leurs fournisseurs et sous-traitants des preuves de sécurité, dans leurs contrats ou leurs questionnaires. Pour beaucoup de PME, c'est par là que NIS2 arrive.
Ce que la directive demande
- Gérer les risques : analyse des risques, mesures techniques et organisationnelles adaptées (sauvegardes, contrôle des accès, double authentification, chiffrement, sécurité des fournisseurs…).
- Déclarer les incidents importants à l'autorité, l'ANSSI en France, dans des délais courts.
- Impliquer la direction : les dirigeants approuvent les mesures, suivent une formation et peuvent voir leur responsabilité engagée.
Que faire dès maintenant
- Vérifier votre statut : secteur, effectif, chiffre d'affaires, et liens avec des clients soumis à NIS2.
- Faire un état des lieux : un audit de cybersécurité ou un audit de conformité ciblé NIS2.
- S'appuyer sur le ReCyF de l'ANSSI pour prioriser les mesures, même s'il est encore en version de travail.
- Désigner un pilote : en interne, ou un RSSI externalisé.
- Préparer la détection et la réponse : savoir repérer un incident et le déclarer à temps (voir que faire en cas de cyberattaque).
Se faire accompagner sur NIS2
Filtrez notre classement des prestataires pour PME en Île-de-France sur « Accompagnement NIS2 ».
Questions fréquentes
NIS2 est-elle en vigueur en France ?
Pas encore au 9 novembre 2026. Le projet de loi dit « Résilience », qui la transpose, a été adopté par le Sénat le 12 mars 2025 et est examiné en séance à l'Assemblée nationale du 9 au 13 novembre 2026. Des décrets d'application devront ensuite préciser les obligations.
Une PME de moins de 50 salariés est-elle concernée par NIS2 ?
En règle générale non : la directive vise les entreprises moyennes et grandes des secteurs listés. Mais une petite entreprise peut être indirectement concernée si elle est fournisseur ou sous-traitant d'une entité soumise à NIS2, qui devra sécuriser sa chaîne d'approvisionnement.
Quelle différence entre entité essentielle et entité importante ?
Les deux catégories ont des obligations de sécurité proches. Les entités essentielles sont soumises à une supervision plus étendue ; pour les entités importantes, les contrôles interviennent surtout lorsqu'un manquement est suspecté.
Que peut faire une PME en attendant la loi ?
Vérifier si elle entre dans le champ (secteur et taille), faire un état des lieux de sa sécurité, s'appuyer sur le Référentiel Cyber France (ReCyF) publié par l'ANSSI le 17 mars 2026 en version de travail, et préparer les réponses aux questionnaires de ses clients.
Sources
- Le projet de loi Résilience arrive à l'Assemblée nationale (INCYBER, 9 novembre 2026)
- NIS2 : la loi Résilience revient à l'Assemblée (Solutions Numériques)
- NIS 2, le projet de loi de retour le 9 novembre (Silicon, 5 novembre 2026)
- Loi Résilience : saisine de la CJUE le 8 juillet 2026 et ReCyF (aocsi.fr)
Une erreur ou une information à mettre à jour ? Écrivez-nous.