Article mis à jour le 14 octobre 2026 : état de la transposition en France, calendrier, seuils et sources officielles.

La directive européenne NIS 2 (Network and Information Security 2) devait être transposée par chaque État membre avant le 17 octobre 2024. En France, ce n'est toujours pas fait : au 14 octobre 2026, le projet de loi dit « Résilience », qui doit la transposer, a été adopté par le Sénat mais attend encore son examen en séance publique à l'Assemblée nationale. Certains guides affirment que la loi est déjà en vigueur : c'est inexact.

Le contenu des obligations, lui, est connu depuis la publication de la directive. Ce guide fait le point sans jargon : qui sera concerné, ce qui sera exigé, où en est réellement le calendrier français, et par où commencer sans attendre le vote.

NIS 2 en une phrase

NIS 2 obligera les entités jugées essentielles ou importantes pour l'économie et la société à gérer sérieusement leurs risques cyber et à signaler leurs incidents significatifs à l'autorité nationale, qui sera l'ANSSI en France.

C'est le successeur de NIS 1, transposée en France en 2018. Selon le Sénat, on passe de la sécurisation d'environ 500 infrastructures critiques à quelque 15 000 entités « essentielles » ou « importantes », auxquelles s'ajoutent près de 1 500 collectivités et organismes publics. Beaucoup de PME et d'ETI qui ne se sentaient pas visées entrent dans le périmètre.

Est-ce que NIS 2 me concerne ?

Trois critères à vérifier dans l'ordre.

1. Le secteur d'activité

La directive couvre 18 secteurs, répartis en deux annexes :

Secteurs hautement critiques (annexe I) :

Énergie, transports, banques, infrastructures des marchés financiers
Santé, eau potable, eaux usées
Infrastructures numériques (centres de données, cloud, DNS, CDN, points d'échange internet)
Gestion des services TIC entre entreprises (infogérance, services de sécurité gérés)
Administrations publiques
Espace

Autres secteurs critiques (annexe II) :

Services postaux et d'expédition
Gestion des déchets
Chimie, production et distribution alimentaire
Industrie manufacturière (dispositifs médicaux, informatique, électronique, machines, véhicules)
Fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux)
Recherche

Le classement en entité essentielle ou importante ne dépend pas seulement du secteur : il dépend aussi de la taille (voir ci-dessous). Une grande entreprise d'un secteur hautement critique sera en principe essentielle ; une entreprise de taille moyenne du même secteur, ou une entreprise d'un « autre secteur critique », sera en principe importante.

Prestataires IT : si vous faites de l'infogérance, des services de sécurité gérés, de l'hébergement ou du cloud, vous relevez d'un secteur hautement critique. Dès que vous atteignez le seuil des entreprises moyennes, vous serez au minimum entité importante, et entité essentielle au-delà du seuil des grandes entreprises.

2. La taille de l'entreprise

Les seuils reprennent la définition européenne des PME :

Entité importante (au minimum) : au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan dépassant chacun 10 M€.
Entité essentielle (secteurs hautement critiques) : au moins 250 salariés, ou plus de 50 M€ de chiffre d'affaires et plus de 43 M€ de bilan.

En dessous, vous n'êtes en principe pas concerné, sauf exceptions où la taille ne compte pas : prestataires de services de confiance, fournisseurs de services DNS, registres de noms de domaine de premier niveau, certains opérateurs de communications électroniques et administrations. Les anciens opérateurs de services essentiels (OSE) de NIS 1 deviennent tous des entités essentielles.

3. Le cas des fournisseurs : l'effet chaîne d'approvisionnement

Une TPE n'est pas soumise directement à NIS 2 du simple fait qu'elle travaille pour une entité régulée. En revanche, ces entités devront maîtriser la sécurité de leur chaîne d'approvisionnement : elles répercuteront des exigences sur leurs prestataires (clauses contractuelles, questionnaires, audits). Un cabinet de 12 personnes qui héberge le système d'information d'une clinique ne sera pas forcément régulé, mais sa cliente lui demandera de prouver son niveau de sécurité.

L'autorité peut aussi désigner individuellement une entité, quelle que soit sa taille, par exemple si elle est le seul fournisseur d'un service essentiel ou si sa défaillance aurait un impact important.

Conseil pratique : l'ANSSI propose sur MonEspaceNIS2 un simulateur « Suis-je concerné ? ». Faites-le, il prend quelques minutes.

Les obligations concrètes

Une fois identifiée comme entité concernée, vous devrez mettre en œuvre les 10 familles de mesures minimales prévues par l'article 21 de la directive. Traduites en clair :

Analyse des risques et politiques de sécurité des systèmes d'information
Gestion des incidents : procédure écrite, rôles désignés, exercices
Continuité d'activité : sauvegardes, plan de reprise, gestion de crise
Sécurité de la chaîne d'approvisionnement : relations avec vos fournisseurs IT
Sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités
Politiques d'évaluation de l'efficacité des mesures
Hygiène cyber de base et formation des collaborateurs
Cryptographie et chiffrement
Sécurité des ressources humaines, contrôle des accès et gestion des actifs
Authentification multifacteur et communications sécurisées

Pour la France, l'ANSSI a mis à disposition en mars 2026 le ReCyF (Référentiel Cyber France), encore à l'état de document de travail. Il détaille les mesures recommandées pour atteindre ces objectifs. Il n'est pas obligatoire par défaut, mais une entité qui l'applique pourra s'en prévaloir lors d'un contrôle. C'est une bonne grille pour démarrer.

Et surtout : le signalement d'incident

C'est l'obligation la plus visible. Pour tout incident significatif :

24 h après en avoir pris connaissance : alerte précoce
72 h : notification de l'incident, avec une première évaluation
1 mois au plus tard après la notification : rapport final

Le défaut de signalement fait partie des manquements sanctionnables, au même titre que l'absence de mesures de sécurité.

Les sanctions

Elles reprennent la logique du RGPD : un plafond en euros ou un pourcentage du chiffre d'affaires mondial, le montant le plus élevé étant retenu.

Entités essentielles : jusqu'à 10 M€ ou 2 % du CA mondial
Entités importantes : jusqu'à 7 M€ ou 1,4 % du CA mondial

Ce sont les plafonds fixés par la directive ; le régime applicable en France dépendra du texte finalement adopté.

Plus important encore : la responsabilité des dirigeants. Les organes de direction devront approuver les mesures de cybersécurité, superviser leur mise en œuvre et suivre une formation ; ils pourront être tenus responsables des manquements. Pour les entités essentielles, la directive permet même d'interdire temporairement à un dirigeant d'exercer ses fonctions en cas de manquement persistant.

Calendrier : où en est-on au 14 octobre 2026 ?

27 décembre 2022 : publication de la directive au Journal officiel de l'Union européenne
15 octobre 2024 : présentation en Conseil des ministres du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2, la directive REC et le règlement DORA
17 octobre 2024 : date limite de transposition, dépassée
28 novembre 2024 : mise en demeure de la France par la Commission européenne
12 mars 2025 : adoption du texte en première lecture par le Sénat
10 septembre 2025 : adoption du texte en commission spéciale à l'Assemblée nationale
17 mars 2026 : l'ANSSI publie le ReCyF (document de travail)
8 juillet 2026 : la Commission saisit la Cour de justice de l'UE contre la France (ainsi que l'Irlande, l'Espagne et les Pays-Bas) et demande des sanctions financières
6 octobre 2026 : prévu en séance les 7 et 9 octobre, le texte est retiré de l'ordre du jour de l'Assemblée nationale. Au 14 octobre, aucune nouvelle date n'est fixée

Le point de blocage politique le plus cité est l'article 16 bis, ajouté par le Sénat, qui interdit d'imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité ; le gouvernement a déposé un amendement pour le supprimer.

Après le vote à l'Assemblée, il restera la fin de la navette parlementaire, la promulgation, puis les décrets et arrêtés d'application. L'ANSSI précise que l'entrée en vigueur ne coïncidera pas avec l'application des exigences, qui viendra plus tard.

Il n'y a donc pas encore de contrôle ni de sanction au titre de NIS 2 en France. Mais attendre la promulgation pour démarrer, c'est perdre des mois de préparation : les mesures demandées prennent du temps à mettre en place, et la plupart sont utiles dès aujourd'hui face aux attaques réelles.

Par où commencer ?

Si vous découvrez le sujet, voici la séquence pragmatique que nous recommandons à nos clients PME.

Étape 1 — Cadrage

Faire le test « Suis-je concerné ? » de MonEspaceNIS2
Identifier si vous serez concerné, et dans quelle catégorie
Désigner un référent NIS 2 interne (souvent le DSI ou un membre de la direction)

Étape 2 — Diagnostic

Audit de l'existant sur les 10 familles de mesures (le ReCyF peut servir de grille)
Cartographie des risques et des écarts
Plan d'action priorisé et budgété

Étape 3 — Quick wins

Activer l'authentification multifacteur partout où c'est possible
Vérifier et tester les sauvegardes
Former les équipes (hameçonnage notamment)
Documenter une procédure d'incident minimale
Mettre à jour vos contrats fournisseurs

Étape 4 — Conformité durable

Système de management de la sécurité formalisé
Exercices de crise réguliers
Audits internes annuels
Reporting à la direction

Combien ça coûte ?

Il n'existe pas de prix standard. Le budget dépend surtout du point de départ : sauvegardes testées ou non, authentification multifacteur déjà déployée ou non, documentation existante, taille du système d'information, part de l'exploitation gérée en interne. C'est pour cela que nous commençons toujours par un diagnostic : il permet de chiffrer un plan d'action priorisé plutôt qu'une enveloppe théorique.

Une bonne partie des mesures relève de l'hygiène de base (MFA, sauvegardes, mises à jour, sensibilisation). Leur coût reste sans commune mesure avec celui d'une cyberattaque réussie, qui peut paralyser une PME pendant des semaines.

Les pièges à éviter

« On attendra la loi » — Le jour où elle sera promulguée, les mesures demanderont toujours des mois de travail. Et vos clients régulés vous interrogeront sans attendre les décrets.
Se fier à des informations périmées — Plusieurs guides présentent la transposition française comme acquise. Au 14 octobre 2026, elle ne l'est pas : vérifiez toujours la date et la source.
Acheter de la techno sans cadrage — EDR, SOC, XDR : aucun outil ne remplace une gouvernance claire. La conformité n'est pas un produit qu'on achète.
Sous-traiter à 100 % — Vous pouvez déléguer l'opérationnel à un prestataire, pas la responsabilité. La direction reste comptable.
Oublier la chaîne d'approvisionnement — Vos sous-traitants IT doivent eux-mêmes tenir un niveau de sécurité suffisant. Vérifiez-le.
Confondre RGPD et NIS 2 — Ce sont deux régimes distincts qui se cumulent.

Comment AELVON vous accompagne

Nous accompagnons les PME et ETI sur l'ensemble du parcours NIS 2 :

Audit de conformité initial
Plan de mise en conformité priorisé
Implémentation des mesures techniques (EDR, MFA, sauvegardes, supervision)
Formation des équipes et exercices de crise
Suivi récurrent et reporting

Si vous voulez clarifier votre position, écrivez-nous ou appelez le 04 82 53 18 48. Premier échange offert, sans engagement.

Pour aller plus loin :

MonEspaceNIS2 — simulateur « Suis-je concerné ? » de l'ANSSI
Nos services Cybersécurité et Cloud sécurisé

Sources (consultées le 14 octobre 2026) :

NIS 2 pour PME : ce qui change vraiment (et ce qu'il faut faire maintenant)