Loi Résilience : l’examen reporté, NIS2 attend toujours

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité devait être examiné en séance publique à partir du mercredi 7 octobre. La conférence des présidents de l’Assemblée nationale l’a retiré le 6 octobre de l’ordre du jour des 7 et 9 octobre. La raison avancée est l’encombrement du calendrier parlementaire, l’examen de la proposition de loi sur les violences sexistes et sexuelles ayant pris plus de temps que prévu. Aucune nouvelle date n’est arrêtée à ce jour ; le rapporteur du texte dit espérer une réinscription « d’ici quinze jours ou trois semaines ».

Un texte qui attend depuis deux ans

Ce n’est pas le premier report. Le projet de loi, qui transpose les directives européennes NIS2, DORA et REC, a été adopté par le Sénat en mars 2025, puis retravaillé par une commission spéciale qui a adopté son rapport en septembre 2025. Il attend depuis son passage en séance publique. Le délai de transposition fixé par l’Union européenne a expiré le 17 octobre 2024, et la Commission européenne a engagé une procédure contre la France pour ce retard. La pression ne retombera donc pas : le texte passera, la seule question est quand.

Ce que le report change, et ce qu’il ne change pas

Sur le fond, rien ne bouge. Le périmètre reste le même, celui des entités de taille moyenne exerçant dans l’un des dix-huit secteurs visés, et les trois obligations annoncées par l’ANSSI aussi : s’enregistrer auprès de l’agence, appliquer des mesures de sécurité, déclarer les incidents significatifs. Ce que le report donne, c’est du temps de préparation, pas une dispense. Les délais de mise en conformité commenceront à courir à la promulgation de la loi, pas aujourd’hui : plus vous attendez, plus la fenêtre sera courte. Et une partie des exigences arrive de toute façon sans attendre le Parlement, puisque les entités assujetties doivent sécuriser leur chaîne de sous-traitance, ce qui se traduit par des questionnaires de sécurité et des clauses contractuelles envoyés à leurs prestataires, y compris à des PME qui ne seront jamais assujetties elles-mêmes.

Sur ce sujet, WizCo-IT fournit à ses clients un état écrit de ce qui est en place : les comptes disposant d’un accès administrateur, les sauvegardes et la date de la dernière restauration testée, les équipements encore suivis par leur éditeur, la durée de conservation des journaux. Ce document n’a rien d’administratif. C’est ce qui permet de répondre à un questionnaire client ou à un assureur en une relecture, et de voir ce qui manque avant que quelqu’un d’autre ne le demande.