NIS2 : l’Assemblée examine la loi Résilience le 7 octobre

Mise à jour du 8 octobre 2026 : l’examen prévu le 7 octobre a été retiré de l’ordre du jour de l’Assemblée nationale lors de la conférence des présidents du 6 octobre. Aucune nouvelle date n’est fixée à ce jour. Voir notre article du 8 octobre, « Loi Résilience : l’examen reporté, NIS2 attend toujours ».

L’Assemblée nationale examine à partir du mercredi 7 octobre 2026 le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Ce texte transpose en droit français la directive européenne NIS2, la directive REC et articule le règlement DORA. Le Sénat l’avait adopté en première lecture le 12 mars 2025, puis la commission spéciale de l’Assemblée en septembre 2025 ; la discussion en séance se poursuivra le vendredi 9 octobre. La France est largement hors délai : la date limite de transposition était fixée au 17 octobre 2024, et la Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026, en demandant une somme forfaitaire et des astreintes journalières.

Votre entreprise est-elle concernée ?

NIS2 ne s’applique pas à toutes les entreprises. L’ANSSI estime à environ 15 000 le nombre d’entités concernées en France, réparties dans dix-huit secteurs d’activité, contre environ 500 opérateurs sous le régime précédent. Deux catégories sont prévues : les entités essentielles, à partir de 250 salariés ou 50 millions d’euros de chiffre d’affaires dans les secteurs les plus critiques, et les entités importantes, à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires. Une entreprise de dix à cinquante postes reste donc le plus souvent sous le seuil, et encore faut-il appartenir à l’un des secteurs listés. Les sanctions prévues par la directive atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes.

Le point qui touche le plus grand nombre de PME est ailleurs. NIS2 impose aux entités assujetties de maîtriser la sécurité de leur chaîne d’approvisionnement. Concrètement, une PME qui n’est pas elle-même dans le périmètre mais qui fournit un client qui l’est verra arriver des clauses contractuelles et des questionnaires de sécurité : gestion des accès, authentification multifacteur, sauvegardes dont la restauration a été testée, délais de signalement en cas d’incident. C’est par ce canal que l’exigence descend, et il ne dépend pas du calendrier parlementaire français.

Ce qu’il est utile de faire dès maintenant

L’essentiel des exigences techniques est renvoyé à des décrets d’application, attendus après la promulgation. Les délais annoncés sont de l’ordre de trois ans pour les mesures demandant un investissement, et nettement plus courts, quelques mois, pour l’enregistrement auprès de l’ANSSI et la notification des incidents. Deux outils publics existent déjà : le simulateur MonEspaceNIS2, qui permet de vérifier en quelques minutes si votre entité est dans le périmètre, et le Référentiel Cyber France (ReCyF), publié par l’ANSSI le 17 mars 2026, qui liste les mesures de sécurité recommandées. Le ReCyF n’a pas encore de valeur obligatoire, mais il indique ce qui sera attendu.

Sur ce sujet, WizCo-IT commence par un inventaire : qui a accès à quoi, ce qui est réellement sauvegardé et si une restauration a été testée, quels équipements réseau ne reçoivent plus de mises à jour, et ce que vos contrats clients exigent déjà en matière de sécurité. Ce travail n’attend pas la parution des décrets. Il recoupe le socle du ReCyF et garde son intérêt même si votre entreprise reste hors du périmètre NIS2.