Loi Résilience (NIS2) : ce qui devient obligatoire, et les 3 chantiers à lancer sans attendre les décrets

Introduction

Depuis deux ans, la question qui revient dans à peu près toutes les réunions où l'on parle de NIS2 est la même : « c'est pour quand exactement ? ». C'est une question légitime, et c'est aussi le meilleur moyen de perdre encore un semestre.

La réponse honnête, c'est que la date d'entrée en vigueur ne changera rien à la charge de travail. Une entreprise qui découvre au moment de la publication des décrets qu'elle n'a pas d'inventaire de ses actifs exposés aura exactement le même chantier devant elle, avec moins de temps. Cet article fait donc deux choses : un point de situation daté sur la transposition française, puis les trois chantiers qui ne dépendent d'aucun décret et qu'on peut attaquer aujourd'hui.

Où en est-on, concrètement

La directive européenne NIS2 devait être transposée par les États membres pour le 17 octobre 2024. La France a manqué cette échéance, ce qui lui a valu une procédure d'infraction de la Commission européenne. Le véhicule de transposition, le projet de loi dit « Résilience », a été adopté en première lecture au Sénat en mars 2025, puis a mis plus d'un an à revenir devant l'Assemblée nationale, où il a été examiné en séance publique au cours de l'été 2026.

Le texte est structuré en trois titres : la résilience des entités critiques (directive REC), la cybersécurité (NIS2) et le secteur financier (règlement DORA). Trois régimes différents dans une seule loi, ce qui explique une partie de sa lenteur.

Et voici le point que beaucoup manquent : la loi elle-même ne contient presque aucune exigence technique. Elle pose le cadre, désigne l'autorité compétente, prévoit les sanctions, et renvoie l'essentiel à des décrets d'application et à des référentiels publiés par l'ANSSI, secteur par secteur. Attendre « la loi » pour commencer, c'est donc attendre le mauvais document.

Qui est concerné

NIS2 fait passer le périmètre français d'environ 500 entités sous NIS1 à un ordre de grandeur de 15 000. C'est un changement de nature, pas seulement d'échelle : on passe des opérateurs d'importance vitale à une large part du tissu économique.

Le mécanisme croise deux critères, le secteur et la taille.

Les 18 secteurs couvrent l'énergie, les transports, la santé, l'eau, le numérique, l'administration publique, la fabrication, la poste, la gestion des déchets, l'agroalimentaire et quelques autres. Le point qui surprend le plus souvent nos interlocuteurs : le numérique y figure largement, ce qui embarque les fournisseurs de services managés, les hébergeurs, les places de marché et les prestataires informatiques, dont beaucoup ne s'estimaient pas concernés.

La différence entre les deux catégories porte moins sur les obligations, qui sont proches, que sur la supervision : les entités essentielles peuvent être contrôlées de manière proactive, les entités importantes plutôt a posteriori, après un signalement ou un incident.

Le piège de la chaîne de sous-traitance

Il y a une seconde façon d'être concerné par NIS2, et elle attrape beaucoup plus de monde que la première : être fournisseur d'une entité qui l'est.

L'article 21 de la directive impose aux entités régulées de maîtriser la sécurité de leur chaîne d'approvisionnement. Traduction pratique : vos clients réglementés vont vous envoyer des questionnaires, inscrire des clauses de sécurité dans les contrats, et demander des preuves. Une PME de trente personnes hors périmètre peut donc se retrouver à devoir démontrer son niveau de sécurité parce qu'elle vend à un opérateur de santé.

Ce mécanisme est déjà en marche, il n'attend aucun décret, et c'est aujourd'hui la première raison pour laquelle des entreprises non concernées nous appellent.

Les sanctions, et la responsabilité du dirigeant

Les plafonds fixés par la directive sont connus : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, jusqu'à 7 millions ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.

Mais la disposition qui devrait retenir l'attention des comités de direction est ailleurs. NIS2 rend les organes de direction responsables de l'approbation des mesures de gestion des risques et de la supervision de leur mise en œuvre. Ils doivent aussi suivre une formation. Ce n'est plus un sujet qu'on délègue entièrement au RSSI en signant le budget une fois par an.

Les trois chantiers à lancer maintenant

Voilà la partie utile. Ces trois chantiers ont une propriété commune : ils seront exigés quelle que soit la rédaction finale des décrets, ils prennent du temps, et ils gardent une valeur en soi même si vous n'étiez finalement pas concerné.

Chantier 1 : savoir où vous en êtes, et l'écrire

Qualifiez votre statut (entité essentielle, importante, hors périmètre) et documentez le raisonnement, secteur par secteur si vous avez plusieurs activités. Un groupe avec une filiale logistique et une filiale industrielle peut très bien avoir deux réponses.

Puis identifiez qui porte le sujet en interne. Pas « la DSI » : une personne, avec un nom, un mandat et un accès au comité de direction. C'est ce qu'un contrôle vérifiera en premier, et c'est le chantier qui coûte le moins cher.

Chantier 2 : cartographier ce que vous exposez, et vos dépendances

C'est le plus long des trois, et c'est pour ça qu'il faut le lancer en premier. Deux volets.

Le volet technique. Vous ne pouvez pas produire une analyse de risque crédible sur un périmètre que vous ne connaissez pas. Or l'inventaire déclaré est presque toujours en dessous de la réalité : sous-domaines de campagne, préproductions restées en ligne, héritages de rachats. Nous avons détaillé la méthode et les commandes dans notre guide sur l'inventaire de la surface d'attaque externe, et l'exercice plus large dans celui sur la cartographie du système d'information.

Le volet fournisseurs. Listez vos dépendances critiques : hébergeurs, éditeurs SaaS, infogéreurs, prestataires ayant un accès à vos systèmes. Pour chacun, notez ce qui tombe si le fournisseur tombe. Cette liste n'existe presque jamais, et c'est pourtant elle que l'article 21 vise directement.

Chantier 3 : être capable de notifier un incident en 24 heures

C'est l'obligation la plus concrète de NIS2, et celle qu'on sous-estime le plus. Le calendrier de notification est serré :

1. Alerte précoce sous 24 heures après avoir eu connaissance d'un incident significatif.
2. Notification complète sous 72 heures, avec une évaluation initiale.
3. Rapport final sous un mois.

Vingt-quatre heures, ça paraît confortable jusqu'au jour où l'incident tombe un vendredi soir. Ce qu'il faut avoir préparé tient en peu de choses : qui décide qu'un incident est « significatif », qui rédige, qui valide, par quel canal on transmet, et où sont les éléments techniques nécessaires. Faites l'exercice à blanc une fois. Vous découvrirez probablement que votre chaîne de décision met déjà plus de 24 heures rien qu'à joindre les bonnes personnes.

Et le rapport de conformité dans tout ça ?

Une fois les chantiers lancés, la question suivante arrive vite : sous quelle forme présente-t-on tout cela ? Nous avons consacré un guide entier à la structure attendue, aux mesures de l'article 21 et aux preuves techniques à joindre : comment rédiger un rapport de conformité NIS2.

Et si vous êtes déjà engagé dans une démarche ISO 27001, le recouvrement est important. Nos recommandations sur les scans automatisés pour l'ISO 27001 produisent le même type de preuves que celles attendues côté NIS2 sur la gestion des vulnérabilités.

Par où commencer aujourd'hui

Si vous ne deviez faire qu'une seule chose en sortant de cet article, faites le chantier 2, volet technique. C'est le seul dont le résultat vous surprendra, et c'est celui qui conditionne tous les autres.

Pour la suite, Flawfence automatise la partie technique de la mise en conformité : cartographie continue de votre surface externe, détection et validation des vulnérabilités réellement exploitables, et rapports datés qui servent de preuve pour NIS2 comme pour l'ISO 27001. Le reste, l'organisation, la gouvernance et la gestion de crise, reste chez vous. Aucun outil ne le fera à votre place, et méfiez-vous de ceux qui le promettent.

FAQ

La loi Résilience est-elle promulguée ?

À la date de publication de cet article, le texte est en fin de parcours parlementaire, avec une promulgation attendue courant 2026. Les décrets d'application et les référentiels sectoriels de l'ANSSI suivront. Vérifiez l'état en vigueur avant de bâtir un calendrier dessus.

Combien de temps aurons-nous pour nous mettre en conformité ?

Le principe annoncé est une montée en charge progressive, de l'ordre de trois ans après l'entrée en vigueur, avec l'enregistrement auprès de l'ANSSI en premier et des contrôles qui viendront ensuite. Cette progressivité concerne les exigences techniques, pas l'enregistrement.

Une PME de 40 salariés est-elle concernée ?

En principe non, le seuil des entités importantes démarre à 50 salariés dans les secteurs visés. Mais deux exceptions comptent : certaines entités sont désignées quelle que soit leur taille (fournisseurs de services de confiance, registres de noms de domaine, opérateurs de réseaux publics notamment), et surtout, vos clients réglementés peuvent vous imposer contractuellement des exigences équivalentes.

NIS2 impose-t-elle un scan de vulnérabilités ?

Pas sous ce nom. L'article 21 impose la gestion et le traitement des vulnérabilités, sans prescrire d'outil ni de fréquence, exactement comme le contrôle A.8.8 de l'ISO 27001. En pratique, démontrer un traitement des vulnérabilités sans détection récurrente est très difficile.

Que faire si nous ne savons pas dans quel secteur nous tombons ?

Utilisez le simulateur d'éligibilité de MonEspaceNIS2, et si le doute persiste, posez la question par écrit plutôt que de trancher seul. Une qualification erronée dans un sens comme dans l'autre coûte cher : soit vous financez des obligations qui ne s'appliquent pas, soit vous découvrez tardivement que si.

Conclusion

NIS2 n'est pas une échéance, c'est un régime permanent. La date de promulgation décidera de quand les contrôles commencent, pas de la quantité de travail à fournir. Les entreprises qui s'en sortiront le mieux ne seront pas celles qui auront le mieux suivi l'actualité législative, mais celles qui savent déjà ce qu'elles exposent, de qui elles dépendent, et qui appeler un vendredi soir.

Commencez par la cartographie. Le reste s'organise autour.