Deux ans après la date butoir européenne, la France n’a toujours pas transposé la directive NIS 2 dans son droit national. Résultat : des dizaines de milliers d’entreprises se préparent à une réglementation dont les contours définitifs ne sont pas encore fixés. Faisons le point sur ce qui est acté, ce qui reste incertain, et surtout sur ce qu’il faut anticiper dès maintenant.
Un retard français qui inquiète Bruxelles
La directive (UE) 2022/2555, dite NIS 2, devait être transposée par chaque État membre au plus tard le 17 octobre 2024. En France, ce chantier passe par le projet de loi « Résilience », qui regroupe en un seul texte trois réglementations européennes : NIS 2, la directive REC sur la résilience des entités critiques, et DORA pour le secteur financier.
Le texte a été adopté en première lecture par le Sénat en mars 2025, puis examiné à l’Assemblée nationale à partir du 13 mars 2025. Mais au 2 juin 2026, il n’était toujours ni voté définitivement ni promulgué — alors que 20 des 27 États membres de l’UE avaient déjà achevé leur propre transposition (Veille de Presse, Shattered.io).
Ce retard a des conséquences concrètes : la Commission européenne a saisi la Cour de justice de l’Union européenne (CJUE) contre la France pour non-transposition (Veille de Presse). Selon les rapporteurs parlementaires, l’examen en séance plénière à l’Assemblée nationale pourrait être repoussé à juillet 2026 au plus tôt, sous réserve de l’agenda parlementaire (Abilene Academy).
Qui sera concerné ?
Les estimations varient selon les sources, mais toutes convergent vers un ordre de grandeur massif : entre 15 000 et 20 000 entités seraient concernées en France, contre environ 500 sous l’ancienne directive NIS de 2016 (Swim.legal, ACLG). NIS 2 fonctionne par croisement secteur × taille : 18 secteurs sont listés dans les annexes de la directive (énergie, santé, numérique, administration publique, gestion des déchets, espace, et bien d’autres), avec deux niveaux d’assujettissement — entités essentielles (EE) et entités importantes (EI) (Legiscope).
Point important souvent négligé : l’effet cascade. De nombreuses PME sous-traitantes de grands groupes ou de collectivités se retrouveront concernées indirectement, leurs donneurs d’ordre leur imposant contractuellement les mêmes exigences de sécurité (ACLG).
Le calendrier à connaître
Une fois la loi promulguée, les entités concernées disposeront de trois ans pour atteindre la pleine conformité (ACLG). En attendant, l’ANSSI ne reste pas inactive : l’agence a lancé le 17 mars 2026 le Référentiel Cyber France (ReCyF) et met à disposition l’outil MonEspaceNIS2, actuellement en version bêta, pour permettre aux entreprises d’anticiper leur diagnostic (Abilene Academy, Orange Cyberdefense).
Le calendrier de mise en œuvre généralement anticipé se structure ainsi (Legiscope) :
- T4 2026 : analyse de risques (méthode EBIOS Risk Manager), rédaction de la politique de sécurité des systèmes d’information (PSSI), plan de traitement priorisé
- 2027 : déploiement des mesures concrètes (MFA, sauvegardes, détection d’incidents, plans de continuité et de reprise d’activité), formation des dirigeants, exercices de crise
- En continu : procédure de notification des incidents testée et opérationnelle, avec des délais stricts de 24h puis 72h auprès de l’ANSSI
Ce que coûte l’attentisme
Deux chiffres à mettre en regard. Côté investissement, l’ANSSI projette un montant cumulé de 1 à 2 milliards d’euros sur les trois premières années, pour l’ensemble des entités françaises soumises à NIS 2 (Shattered.io). Côté risque, les assureurs spécialisés estiment le coût moyen d’un incident cyber majeur pour une PME française entre 200 000 et 500 000 euros, sans compter les dommages réputationnels (Shattered.io).
Autrement dit : se mettre en conformité coûte cher, mais subir une cyberattaque sans y être préparé coûte souvent plus cher encore — et plus vite.
Des sanctions qui engagent aussi les dirigeants
Une fois la loi définitive en vigueur, les sanctions prévues sont substantielles : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes — avec, fait notable, une responsabilité personnelle des dirigeants (Legiscope).
Ce qu’il faut retenir
La loi n’est pas encore votée, mais son application n’est plus une hypothèse : c’est une trajectoire actée au niveau européen, avec une pression judiciaire désormais réelle sur la France. Attendre la promulgation définitive pour commencer à s’organiser, c’est prendre le risque de devoir tout faire dans l’urgence une fois le texte publié.
Chez MB2i, nous accompagnons déjà des PME et des collectivités de Haute-Savoie dans leur diagnostic de conformité NIS2 : cartographie des actifs, analyse de risques, mise en place des mesures techniques prioritaires. Autant d’étapes qui peuvent commencer dès aujourd’hui, indépendamment du calendrier parlementaire.
Sources :
- Abilene Academy — Directive NIS 2 : guide complet pour les entreprises concernées en France (2026)
- Shattered.io — NIS2 en France 2026 : 10 000 Entités, CJUE, Sanctions
- ACLG — Directive NIS2 PME 2026 : obligations, calendrier, conformité
- Legiscope — Transposition NIS2 en France : loi, calendrier 2026 et obligations ANSSI
- Orange Cyberdefense — NIS 2 : obligations, échéances, sanctions et mise en conformité
- Swim.legal — Transposition NIS 2 en France : calendrier, loi et obligations
- Veille de Presse — NIS2 : la transposition française s’enlise, près de 20 000 entités dans l’attente
Note méthodologique : les estimations du nombre d’entités concernées varient selon les sources (10 000 à 20 000) car elles reposent sur des périmètres et des dates de calcul différents. Les chiffres et le calendrier présentés ici reflètent l’état des lieux au 2 juin 2026 et sont susceptibles d’évoluer au gré du calendrier parlementaire.