NIS 2 : à quoi une PME française doit se préparer

Commençons par ce que je peux affirmer et ce que je ne peux pas. La directive NIS 2 devait être transposée en droit français avant le 17 octobre 2024. À la dernière date que j'ai pu vérifier, le 6 octobre 2026, elle ne l'était pas. Je n'ai trouvé aucune source établissant ce qui s'est passé depuis. Je ne vous donnerai donc pas de calendrier : si vous lisez ce texte après cette date, vérifiez l'état du texte avant de planifier quoi que ce soit sur la foi d'une échéance.

Ce qui suit porte sur l'autre versant, celui qui ne dépend pas du calendrier : les obligations de fond, qui sont connues, et le travail préparatoire qui sert dans tous les cas.

Où en est la transposition, à la dernière date vérifiée

Le texte est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il transpose NIS 2, la directive sur les entités critiques et le règlement DORA pour le secteur financier. Déposé au Sénat le 15 octobre 2024 avec la procédure accélérée, adopté par le Sénat le 12 mars 2025, il a été transmis à l'Assemblée nationale, dont la commission spéciale a déposé son rapport le 10 septembre 2025 (dossier législatif du Sénat).

Ensuite, des reports. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour transposition incomplète, en demandant des sanctions financières. L'examen en séance à l'Assemblée avait été inscrit au 7 octobre 2026. Le 6 octobre, la conférence des présidents l'a de nouveau reporté, en invoquant un ordre du jour chargé, notamment le texte sur les violences sexistes et sexuelles. Le rapporteur Éric Bothorel espérait une réinscription sous quinze jours ou trois semaines, sans date fixée. L'un des points de friction politique est l'article 16 bis, ajouté par le Sénat, qui concerne les fournisseurs de chiffrement et l'interdiction d'affaiblir la sécurité.

Je n'ai pas pu ouvrir Légifrance, le Journal officiel ni les pages de l'ANSSI consacrées à NIS 2 (l'accès automatisé était bloqué). Mes sources de ce paragraphe sont la page du dossier législatif du Sénat, mise à jour le 17 mars 2026, et la presse spécialisée, y compris un site de conformité commercial. Pour un état officiel et à jour, le dossier de l'Assemblée nationale et Légifrance restent la référence.

Suis-je concerné ?

C'est la première question, et elle se traite sans attendre la loi. Le texte distingue deux catégories : entités essentielles et entités importantes. L'ANSSI serait l'autorité nationale, chargée de la supervision et du CSIRT. Je n'ai pas pu vérifier ici les secteurs et les seuils qui déterminent la catégorie. Lisez la directive et le texte français plutôt que de vous fier à un article de synthèse, y compris celui-ci.

Cas concret à vérifier : une PME qui ne figure pas dans un secteur listé peut être concernée indirectement. Un grand client soumis à NIS 2 peut exiger de ses fournisseurs des garanties contractuelles de sécurité. Questionnaires et clauses peuvent donc arriver avant la loi.

Une pré-inscription volontaire est ouverte sur le site de l'ANSSI selon la synthèse que j'ai consultée, et elle ne deviendrait obligatoire qu'après l'adoption de la loi. Je n'ai pas pu vérifier ce point sur le site officiel.

Les obligations de fond

Ce que la synthèse consultée présente comme le socle :

La gestion des risques. Le texte prévoit des mesures de gestion des risques dont le détail serait fixé par des décrets d'application et des guides de l'ANSSI. Ne cherchez pas encore de liste française définitive.

La notification des incidents. Le rythme prévu : alerte précoce sous 24 heures, notification sous 72 heures, rapport final au bout d'un mois. Cela suppose de savoir qu'on a un incident, de le qualifier vite, et de savoir qui appelle qui. Beaucoup de PME n'ont ni la détection ni la procédure.

Les sanctions. Selon la synthèse consultée, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes. Les sanctions réelles dépendront de l'application nationale.

Le travail utile dès maintenant

Aucune de ces actions n'attend la publication d'un décret.

1. Cartographier. Vos systèmes, vos données, vos prestataires critiques. Vous ne pouvez pas protéger ni notifier ce que vous n'avez pas recensé.
2. Écrire la procédure d'incident. Qui décide, qui prévient, qui parle à l'ANSSI, à la CNIL, à l'assureur, aux clients. Testez-la une fois sur un scénario réaliste.
3. Vérifier la détection. Si vous ne voyez pas un incident, vous ne pouvez pas tenir un délai de 24 heures. C'est aussi là que se pose la question du SOC externalisé.
4. Regarder la chaîne d'approvisionnement. Vos fournisseurs critiques, ce que vos contrats disent de leurs obligations de sécurité et de notification envers vous.
5. Sauvegardes et reprise. Un incident réel mène presque toujours là. La sauvegarde doit être testée en restauration.
6. Impliquer la direction. Faites décider formellement par la direction le niveau de risque accepté. Un sujet de sécurité que le DSI porte seul s'arrête vite au premier arbitrage budgétaire.

Ce que je ne dirais pas

Je ne dirais pas qu'il faut attendre la loi. Je ne dirais pas non plus qu'il faut acheter un produit de conformité. Ces obligations de fond ressemblent à des pratiques de sécurité ordinaires, documentées et pilotées, et chaque euro dépensé sur la détection, la sauvegarde ou la procédure d'incident vaut, loi ou pas. Le calendrier reste incertain. Le travail, lui, ne l'est pas.