La loi française de transposition de NIS2 : où en est-elle ?

Où en est la transposition française

Le 17 janvier 2023, la directive NIS2 (Network and Information Security 2) est entrée en vigueur en remplacement de NIS1. NIS2 élargit considérablement le champ d'application, de quelques milliers à plusieurs dizaines de milliers d'organisations en Europe, et introduit une responsabilité directe des organes de direction en matière de cybersécurité. Les États membres devaient transposer NIS2 en droit national au plus tard le 17 octobre 2024, pour une application à partir du 18 octobre 2024.

La France a largement dépassé cette échéance. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi résilience, doit transposer NIS2 en même temps que la directive REC. Le Sénat l'a adopté le 12 mars 2025 et la commission compétente de l'Assemblée nationale le 10 septembre 2025, mais l'examen en séance publique a été repoussé à plusieurs reprises, notamment sur le volet chiffrement. Aucune date de promulgation n'est acquise et les décrets d'application restent à écrire. L'ANSSI assurera le rôle de point de contact national, d'autorité compétente et de CSIRT national, en complément des régulateurs sectoriels (ACPR pour la finance, ARCEP pour les télécommunications, ASN pour le nucléaire).

Dans les faits, une organisation établie en France ne peut pas encore être contrôlée ni sanctionnée au titre de NIS2, faute de loi nationale sur laquelle fonder un contrôle. Attendre reste pourtant un mauvais calcul, car le périmètre, les mesures et les délais de notification sont déjà connus par la directive. Depuis le 17 mars 2026, l'ANSSI met à disposition le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. L'ANSSI le diffuse comme document de travail, non obligatoire par défaut, et il correspond au référentiel prévu à l'article 14 du projet de loi résilience. Les futures entités peuvent aussi anticiper leur enregistrement via MonEspaceNIS2.

Et en Belgique ? La loi belge NIS2

En Belgique, NIS2 est transposée par la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, communément appelée la loi NIS2. Elle est entrée en vigueur le 18 octobre 2024, conformément à l'échéance européenne.

La loi belge distingue entités essentielles et importantes, avec des seuils alignés sur la directive (50+ employés ou €10M de chiffre d'affaires annuel). Elle impose les mêmes piliers : gestion des risques, notification d'incidents en trois phases (24h, 72h, un mois) et responsabilité des organes de direction, qui doivent approuver les mesures, en superviser la mise en œuvre et suivre eux-mêmes une formation.

L'autorité de référence est le Centre pour la cybersécurité Belgique (CCB), qui combine les rôles de point de contact national, de CSIRT national et d'autorité de surveillance. Des autorités sectorielles peuvent intervenir en complément (FSMA pour la finance, SPF Santé publique pour la santé). Pour les groupes actifs en France et en Belgique, la règle d'établissement principal de l'article 26 de NIS2 désigne en principe le droit national applicable, mais des obligations sectorielles peuvent s'appliquer en parallèle dans chaque pays.

Qui relèvera de la loi ?

Le projet de loi reprend la distinction de la directive entre entités essentielles et importantes. Les entités essentielles seront soumises à une supervision proactive (contrôles possibles sans préavis) ; les entités importantes à une supervision réactive (interventions sur signaux ou incidents). Les listes ci-dessous sont celles de la directive et peuvent encore évoluer dans le texte définitif.

• Secteurs essentiels : énergie, transports, banque, infrastructure des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace.
• Secteurs importants : services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, production et transformation alimentaire, fabrication (machines, véhicules, dispositifs médicaux), fournisseurs de services numériques, organismes de recherche.
• Seuils : en règle générale 50+ employés ou plus de €10M de chiffre d'affaires annuel ou de total de bilan. Des règles spécifiques s'appliquent aux opérateurs d'importance vitale (OIV) et à certaines entités critiques, indépendamment de la taille.

Les obligations principales

Le projet de loi reprend les trois grandes obligations de la directive :

• Gestion des risques. Mesures techniques et organisationnelles proportionnées : analyse des risques, traitement des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, cryptographie, contrôle d'accès, authentification multi-facteurs et formation des collaborateurs.
• Notification d'incidents. Les incidents importants devront être déclarés à l'ANSSI en trois étapes : alerte précoce sous 24 heures, rapport intermédiaire sous 72 heures, rapport final sous un mois. Des informations complémentaires peuvent être demandées entre-temps.
• Responsabilité des organes de direction. Les dirigeants devront approuver les mesures de gestion des risques, en superviser la mise en œuvre, suivre eux-mêmes une formation à la cybersécurité et pourront être personnellement responsables en cas de manquement caractérisé. Cette obligation vient de l'article 20 de la directive, dont le paragraphe 2 porte sur la formation.

Sanctions

Le projet de loi reprend les plafonds de la directive. Les entités essentielles s'exposeront à des amendes pouvant atteindre €10 millions ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu). Pour les entités importantes, le plafond sera de €7 millions ou 1,4 %. Tant que la loi n'est pas promulguée, aucune de ces sanctions n'est applicable en France.

Au-delà des amendes, l'ANSSI disposera de pouvoirs d'instruction étendus : injonctions de mise en conformité, audits imposés, suspension de certifications et, dans les cas graves, suspension temporaire des fonctions de direction. La responsabilité personnelle des dirigeants pourra être engagée en cas de manquement aux obligations de gouvernance.

Au cours des premiers mois suivant l'entrée en vigueur, une approche graduée est à prévoir, axée sur la démonstration de progrès raisonnables. L'obligation de formation des dirigeants sera toutefois contrôlable dès le premier jour, ce qui en fait le chantier le plus simple à engager dès maintenant.

Articles connexes

• L'obligation de formation des dirigeants sous NIS2 (France et Belgique)
• Qu'est-ce que la sensibilisation NIS2 ?
• Preuves d'audit pour la sensibilisation

Sources

• Cyberbeveiligingswet (texte officiel, NL)
• Digital Trust Center, portail Cbw / NIS2
• Directive NIS2 (EUR-Lex)

FAQ

Quand cette loi s'applique-t-elle ?

Elle ne s'applique pas encore. Le projet de loi résilience a été adopté par le Sénat le 12 mars 2025 et en commission à l'Assemblée nationale le 10 septembre 2025, mais il attend son examen en séance publique et aucune date n'est acquise. La Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 pour ce retard. L'ANSSI suit l'avancement sur cyber.gouv.fr. Méfiez-vous des guides en ligne qui annoncent une loi votée et des décrets publiés.

Mon organisation est-elle concernée ?

Cela dépend du secteur et de la taille. Seuil général : 50+ employés ou plus de €10M de chiffre d'affaires, dans un secteur désigné. Les opérateurs d'importance vitale (OIV) et certaines entités critiques sont concernés indépendamment de la taille. L'ANSSI propose des outils d'auto-évaluation et un point de contact pour les questions de périmètre.

Si je suis actif en France et en Belgique, quelles lois s'appliquent ?

La règle d'établissement principal de l'article 26 de NIS2 désigne en principe le droit national de l'État membre où se trouve votre établissement principal. Si celui-ci est en France, ce sera la loi française dès sa promulgation, avec l'ANSSI comme autorité, mais aucune obligation NIS2 nationale ne s'y applique dans l'intervalle. Si l'établissement principal est en Belgique, c'est la loi belge NIS2 et le CCB. Des obligations sectorielles supplémentaires peuvent toutefois s'appliquer dans le pays où vous opérez.

Quel est le lien avec le RGPD ?

RGPD et loi NIS2 se recouvrent partiellement mais visent des objectifs différents : le RGPD protège les données personnelles, NIS2 protège la sécurité globale des réseaux et systèmes d'information. Un incident peut déclencher les deux obligations de notification, vers la CNIL pour les données personnelles et, dès que la loi française sera en vigueur, vers l'ANSSI pour la cybersécurité. Un programme de conformité intégré traite les deux régimes de manière coordonnée.

Comment commencer la mise en œuvre ?

Trois étapes : (1) déterminer le périmètre (secteur, taille, qualification d'entité essentielle ou importante) et désigner un dirigeant responsable ; (2) mener une analyse d'écart sur la gestion des risques, la notification d'incidents et la gouvernance ; (3) construire un plan de mise en œuvre priorisant la formation des dirigeants (contrôlable immédiatement) et les mesures techniques et organisationnelles.

Quel régulateur, ANSSI ou autorités sectorielles ?

L'ANSSI sera l'autorité nationale de référence : point de contact, autorité compétente et CSIRT national. Elle remplit déjà ce dernier rôle aujourd'hui, via le CERT-FR. Des régulateurs sectoriels conservent leurs prérogatives, notamment l'ACPR pour la finance, l'ARCEP pour les télécommunications, l'ASN pour le nucléaire. Pour des entités multi-secteurs, il est conseillé de clarifier dès le départ la chaîne de responsabilité avec chaque autorité concernée.