Réglementation · 6 min · mis à jour le 5 novembre 2026
Loi Résilience : où en est la transposition de NIS 2 en France ?
La directive NIS 2 devait être transposée au plus tard le 17 octobre 2024. En France, le texte qui la transpose, le projet de loi Résilience, n'est toujours pas promulgué. Après plusieurs reports, l'Assemblée nationale l'examine en séance à partir du 9 novembre 2026. Voici où en est la procédure et ce que cela change pour vous.
Le texte : un projet de loi pour trois directives
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose trois textes européens : la directive NIS 2 (cybersécurité), la directive CER (résilience des entités critiques) et la directive qui accompagne le règlement DORA pour le secteur financier.
Son titre consacré à la cybersécurité fixe le périmètre des entités essentielles et importantes, leurs obligations, les pouvoirs de contrôle de l'ANSSI et les sanctions.
Les étapes au Parlement
| Date | Étape |
|---|---|
| 15 octobre 2024 | Dépôt du projet de loi au Sénat, en procédure accélérée |
| 12 mars 2025 | Adoption par le Sénat en première lecture |
| 10 septembre 2025 | Adoption du texte par la commission spéciale de l'Assemblée nationale |
| 6 octobre 2026 | Examen en séance, prévu le 7 octobre, reporté par la conférence des présidents |
| 9 novembre 2026 | Examen en séance publique à l'Assemblée nationale, débats prévus jusqu'au 13 novembre |
Après le vote de l'Assemblée, une commission mixte paritaire devra probablement accorder les deux chambres. Viendront ensuite la promulgation, puis les décrets d'application. La Commission européenne a engagé une procédure d'infraction contre les États en retard, dont la France.
Ce qui est déjà connu
- Les critères de la directive : secteurs des annexes I et II, seuils de taille, distinction entre entités essentielles et importantes.
- Les obligations : gestion des risques, notification des incidents importants (24 h, 72 h, un mois), responsabilité des dirigeants.
- Les sanctions prévues par le texte de la commission : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une EE, 7 M€ ou 1,4 % pour une EI.
- Le référentiel de l'ANSSI : le ReCyF, dont la version de travail 2.5 a été publiée le 17 mars 2026, avec 20 objectifs de sécurité.
Ce qui attend les décrets
- La liste précise des entités visées, notamment pour les collectivités territoriales.
- Les modalités et délais d'enregistrement auprès de l'ANSSI.
- La version définitive des objectifs de sécurité et les délais de mise en conformité.
Faut-il attendre la loi pour agir ?
Non. Le contenu des obligations est connu et stable : le ReCyF est déjà présenté par l'ANSSI comme la base des futurs contrôles. Une mise en conformité prend en général plusieurs mois, voire plusieurs années pour les entités essentielles. Les entreprises qui auront fait leur état des lieux et lancé leur plan d'action seront prêtes le jour de la promulgation.
L'ANSSI propose déjà un test d'éligibilité et une pré-inscription sur la plateforme MonEspaceNIS2.
Questions fréquentes
La loi NIS 2 est-elle en vigueur en France ?
Non. Au 5 novembre 2026, le projet de loi Résilience qui transpose NIS 2 a été adopté par le Sénat mais n'a pas encore été voté par l'Assemblée nationale, qui doit l'examiner en séance à partir du 9 novembre. Il n'y a ni loi promulguée ni décret d'application.
Quand faudra-t-il être conforme ?
Les délais seront fixés par la loi et ses décrets. L'ANSSI a annoncé une mise en œuvre progressive. Comme une mise en conformité prend plusieurs mois, il est recommandé de commencer dès maintenant.