NIS2 en France : où en est la loi Résilience ?
Au 19 octobre 2026, la loi Résilience attend toujours son vote à l'Assemblée nationale. Son examen en séance, prévu le 7 octobre, a été retiré de l'ordre du jour la veille, sans nouvelle date. Le Sénat l'a adoptée en mars 2025.
C'est elle qui fait entrer NIS2 dans le droit français, deux ans après la date limite. Le test dit déjà si votre entreprise sera concernée, et qui est concerné en donne le détail.
Test d'éligibilité NIS2
Question 1 sur 5
Dans quel secteur travaille votre entreprise ?
Si elle en exerce plusieurs, choisissez celle qui figure dans la liste, même si ce n'est pas la principale.
Le parcours du texte
Du vote de la directive à Bruxelles au report d'octobre 2026.
Mis à jour le 19 octobre 2026.
14 décembre 2022
L'Union européenne adopte la directive NIS2.
17 octobre 2024
Date limite pour la transposer. La France la manque.
12 mars 2025
Le Sénat adopte le projet de loi Résilience en première lecture.
Septembre 2025
La commission spéciale de l'Assemblée nationale l'adopte à l'unanimité, et y ajoute les éditeurs de logiciels.
8 juillet 2026
La Commission européenne saisit la Cour de justice de l'Union européenne contre la France, et demande des sanctions financières.
6 octobre 2026Dernière étape
L'examen en séance, prévu le lendemain, est retiré de l'ordre du jour de l'Assemblée. Aucune nouvelle date n'est fixée.
Ensuite
Vote, accord avec le Sénat, promulgation, puis décrets d'application. L'ANSSI annonce environ trois ans pour atteindre une conformité complète.
Ce que contient la loi
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose trois directives européennes du 14 décembre 2022.
NIS2, la cybersécurité
La directive (UE) 2022/2555. La première directive NIS visait environ 500 opérateurs en France, selon le Sénat. NIS2 vise environ 15 000 entités essentielles ou importantes, dans 18 secteurs, avec dix mesures de sécurité et la déclaration des incidents.
REC, les entités critiques
La directive (UE) 2022/2557 sur la résilience des entités critiques. Elle actualise le dispositif français des activités d'importance vitale, qui date de 2006, et porte sur la protection physique autant que numérique.
DORA, la finance
La directive (UE) 2022/2556, qui accompagne le règlement DORA. Les banques, les assurances et les infrastructures de marché relèvent de DORA plutôt que de NIS2.
Ce que les députés ont changé
En septembre 2025, la commission spéciale de l'Assemblée nationale a adopté le texte à l'unanimité. Elle y a ajouté les éditeurs de logiciels, que la directive ne vise pas. Le texte du Sénat incluait près de 1 500 collectivités, groupements et organismes publics, une liste que les députés ont aussi revue. Le vote en séance peut encore modifier ces deux points.
Après le vote
Le vote ne rend pas les obligations applicables du jour au lendemain. Plusieurs étapes suivent.
Le vote à l'Assemblée nationale
En séance publique, sur le texte de la commission spéciale.
L'accord avec le Sénat
Si les deux assemblées n'ont pas voté le même texte, une commission mixte paritaire cherche une version commune.
La promulgation
Le texte devient loi à sa publication au Journal officiel.
Les décrets et l'ANSSI
Des décrets fixent le détail, et l'ANSSI précise les mesures attendues. Son référentiel, le ReCyF, est publié depuis mars 2026.
La mise en conformité
Le directeur général de l'ANSSI a annoncé un délai d'environ trois ans avant d'exiger une conformité complète.
À ne pas confondre avec le Cyber Resilience Act
Le Cyber Resilience Act est un règlement européen, le 2024/2847, qui s'applique sans loi française. Il vise les fabricants et les distributeurs de produits qui comportent du numérique, logiciels compris. Le signalement des failles exploitées s'applique depuis le 11 septembre 2026, l'essentiel de ses obligations à partir du 11 décembre 2027.
Ce que vous pouvez faire avant le vote
Les mesures que la loi exigera protègent déjà contre les attaques d'aujourd'hui, et elles demandent du temps. Le guide de sécurité des PME les met dans l'ordre où les appliquer, en douze fiches. La mise à jour qui suivra le vote est incluse.
190 € HTPrix de lancement jusqu'au vote de la loi, puis 290 € HT
PDF et version web, à télécharger dès le paiement
Commander
Choisissez ce qu'il vous faut, le guide, les clés, ou les deux.
- Vous choisissez le guide, les clés, ou les deux.
- Vous payez par carte sur la page sécurisée de Stripe. La facture arrive par e-mail.
- Le guide se télécharge aussitôt. Les clés sont expédiées sous dix jours ouvrés.
Une question avant de commander ?
Écrivez à clement@cthiriet.com.
Questions fréquentes
Quand la loi Résilience sera-t-elle votée ?
Aucune date n'est fixée au 19 octobre 2026. L'examen en séance à l'Assemblée nationale, prévu le 7 octobre 2026, a été retiré de l'ordre du jour la veille. Le texte peut être réinscrit par une prochaine conférence des présidents, qui fixe chaque semaine l'ordre du jour de l'Assemblée.
Que transpose la loi Résilience ?
Trois directives européennes de décembre 2022. NIS2 pour la cybersécurité, REC pour la résilience des entités critiques, et la directive qui accompagne le règlement DORA dans le secteur financier.
Qu'a changé l'Assemblée nationale au texte du Sénat ?
En commission spéciale, en septembre 2025, les députés ont adopté le texte à l'unanimité. Ils y ont ajouté les éditeurs de logiciels, que la directive ne vise pas, et ont revu la liste des administrations et des collectivités visées. Le vote en séance peut encore changer ces points.
La France est-elle sanctionnée pour son retard ?
La Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026, et demande des sanctions financières. Elles viseraient l'État, pas les entreprises.
La loi Résilience et le Cyber Resilience Act, est-ce la même chose ?
Non. Le Cyber Resilience Act est un règlement européen, le 2024/2847, qui s'applique sans loi française. Il vise les fabricants et les distributeurs de produits qui comportent du numérique, logiciels compris. Le signalement des failles exploitées s'applique depuis le 11 septembre 2026, l'essentiel de ses obligations à partir du 11 décembre 2027.