NIS2 en 2026 : le retard de transposition de la France ne change rien à votre exposition

La directive (UE) 2022/2555, dite NIS2, est en vigueur depuis le 16 janvier 2023. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national. À la mi-septembre 2026, la France n'a toujours pas achevé cette transposition.

Le véhicule législatif français, la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, regroupe trois instruments européens dans un seul texte : NIS2, la directive REC sur la résilience des entités critiques, et des dispositions liées à DORA pour le secteur financier. Le Sénat l'a adopté en mars 2025. Le texte est bloqué depuis un vote en commission en septembre 2025, reporté à plusieurs reprises, et son retour devant l'Assemblée nationale est désormais attendu à l'automne.

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'UE contre la France, aux côtés de l'Espagne, de l'Irlande et des Pays-Bas, pour défaut de transposition de la directive. La Commission demande des sanctions financières.

Ce retard ne change presque rien pour les organisations concernées. Voici pourquoi.

Les obligations sont déjà opérationnelles au niveau européen

NIS2 est une directive, ce qui signifie qu'elle nécessite une transposition nationale pour devenir directement opposable aux entreprises devant les juridictions françaises. Mais trois éléments sont déjà vrais, indépendamment du calendrier législatif français.

• Si votre organisation opère dans un autre État membre de l'UE, et vingt des vingt-sept l'ont déjà transposée, vous y êtes déjà tenu.
• L'ANSSI publie le référentiel Cyber France (ReCyF) depuis mars 2026, et toute organisation sérieuse concernée est censée s'y aligner dès maintenant, et non attendre qu'un décret le formalise.
• Les acheteurs, assureurs, investisseurs et grands clients n'attendent pas la loi française. Des clauses de cybersécurité et des questionnaires de sécurité circulent déjà dans les chaînes d'approvisionnement, dans l'automobile, la logistique et l'industrie, bien avant toute échéance légale.

Le périmètre est large, et inclut des entreprises qui ne se pensent pas concernées

Énergie, transport, banque, infrastructures des marchés financiers, santé, infrastructures numériques, gestion de services TIC, administration publique et spatial, plus tout prestataire numérique servant ces secteurs. L'ANSSI estime qu'entre 15 000 et 18 000 entités seront concernées en France, contre environ 500 sous l'ancien régime NIS1. Ce changement d'échelle est le vrai sujet. NIS2 ne vise plus seulement les grands opérateurs critiques. Elle pénètre profondément l'écosystème des PME et des ETI, ne serait-ce que par la seule obligation de sécurité de la chaîne d'approvisionnement.

Ce qui sera exigé une fois la loi pleinement en vigueur

• Gestion des risques documentée : politiques de cybersécurité écrites, procédures de gestion des incidents et plans de continuité d'activité, revus et approuvés par la direction générale. Il s'agit d'une obligation de gouvernance au niveau du conseil, pas d'une tâche déléguée à l'IT.
• Notification des incidents : alerte précoce à l'autorité nationale compétente dans les 24 heures suivant la détection d'un incident important, puis rapport complet sous 72 heures. Presque aucune organisation n'a répété cette séquence en conditions réelles.
• Sécurité de la chaîne d'approvisionnement : obligation d'évaluer et de documenter la posture de cybersécurité des fournisseurs et sous-traitants. La faille de sécurité d'un fournisseur devient votre exposition en matière de conformité, non pas en théorie, mais dans le texte même de la directive.
• Responsabilité des dirigeants : les dirigeants peuvent être tenus personnellement responsables en cas de non-conformité. Les amendes atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Ce n'est pas une hypothèse pour le second semestre 2026. C'est le mécanisme autour duquel la directive a été construite.

Ce que l'incertitude juridique française signifie réellement en pratique

L'absence de loi française promulguée ne signifie pas l'absence d'exposition. Elle signifie trois choses précises, dès aujourd'hui.

• Le calendrier de mise en application en France est incertain. La date exacte à partir de laquelle les amendes seront juridiquement exécutoires devant les tribunaux français n'est pas fixée.
• La substance des obligations, elle, n'est pas incertaine. Le contenu de la directive est stable depuis décembre 2022, et la loi française ne l'affaiblira pas.
• Le marché, lui, n'attend pas la loi. Clauses contractuelles, questionnaires et exigences de due diligence liés à la préparation NIS2 sont déjà une pratique courante chez les acheteurs, les assureurs et les grandes contreparties.

Attendre la promulgation de la loi française avant d'entamer le travail de mise en conformité n'est pas une stratégie. C'est un pari : celui que l'application de la loi arrivera plus lentement que votre prochaine transaction, votre prochain contrat grand compte ou votre prochain audit. Pour la plupart des organisations concernées, ce pari ne tient pas.

Pourquoi cela compte dans un contexte de transaction

Toute organisation entrant dans le périmètre de NIS2 se verra demander, à un moment donné d'une levée de fonds, d'une acquisition ou d'une cession, de démontrer sa conformité. Pas de la décrire. La démontrer, avec des documents, avec des preuves de gouvernance, avec la preuve que le dispositif de gestion des risques est autre chose qu'une politique rangée dans un tiroir.

Un acquéreur qui n'obtient pas de réponse claire sur la préparation NIS2 ne se retirera pas nécessairement. Il intégrera l'incertitude dans son offre, conditionnera l'opération à une remédiation, ou passera simplement à la cible suivante, celle dont la réponse est déjà documentée.

“C'est précisément cet écart que la dimension Sécurité & Souveraineté du protocole de certification CIFSO est conçue pour combler.”

— Aegryn

Elle ne demande pas si votre organisation dispose d'une politique de cybersécurité. Elle vérifie si cette politique reflète la réalité opérationnelle : préparation à la réponse aux incidents, cartographie des risques de la chaîne d'approvisionnement, gestion des identités et des accès, gouvernance traçable jusqu'à la validation de la direction générale.

Le retard de transposition en France est un fait législatif. Ce n'est pas un délai de grâce en matière de conformité. Les organisations qui le traitent comme tel s'en rendront compte au pire moment possible, en pleine due diligence, quand la réponse est attendue en jours, pas en mois.

Aegryn Advisory accompagne les organisations relevant du périmètre NIS2 sur la documentation de la gestion des risques, la préparation à la réponse aux incidents et l'évaluation de la sécurité de la chaîne d'approvisionnement, et certifie le résultat sous la dimension Sécurité & Souveraineté du CIFSO, avant même le moment où un acheteur, un assureur ou un régulateur en demande la preuve.