NIS2 : la loi Résilience reportée, l’effet cascade déjà là
EN BREF
- Public visé : dirigeants de TPE et PME, prestataires informatiques, formateurs et médiateurs numériques.
- Enjeu : la loi Résilience, qui doit transposer la directive européenne NIS 2 en droit français, a encore glissé — son examen en séance publique est renvoyé à la rentrée. Pendant ce temps, les exigences de cybersécurité descendent déjà la chaîne de sous-traitance.
- Chiffre clé : 48 % des victimes de rançongiciel traitées par l’ANSSI en 2025 étaient des TPE, PME ou ETI, contre 37 % en 2024.
- Temps de lecture : 8 minutes.
Depuis bientôt deux ans, la même question revient dans les réunions de dirigeants : « NIS 2, ça s’applique quand ? » La réponse, au 27 juillet 2026, tient en un mot : pas encore. Le texte français qui doit rendre la directive applicable n’a toujours pas été voté définitivement, et il ne figurait pas à l’ordre du jour de la session parlementaire extraordinaire de juillet.
C’est là que se niche le piège. Beaucoup de petites entreprises lisent ce report comme un répit et referment le dossier. Or l’essentiel de la pression ne viendra jamais du Journal officiel : elle arrive par les contrats, par les questionnaires des donneurs d’ordre — et par les attaquants, qui n’attendent aucun décret.
1. Où en est vraiment la loi Résilience ?
La directive NIS 2 a été publiée au Journal officiel de l’Union européenne le 27 décembre 2022, avec une échéance de transposition fixée au 17 octobre 2024 — date largement dépassée. Côté français, le véhicule législatif s’appelle le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », plus connu sous le nom de loi Résilience. Son parcours :
- 15 octobre 2024 — présentation en Conseil des ministres ;
- 11 et 12 mars 2025 — examen et adoption en séance publique au Sénat ;
- 10 septembre 2025 — vote en commission spéciale à l’Assemblée nationale ;
- juillet 2026 — le texte n’est pas inscrit à la session extraordinaire ; l’examen en séance publique est repoussé à la rentrée.
Parmi les points de friction régulièrement cités figure l’article consacré au chiffrement, qui interdirait d’imposer des portes dérobées aux fournisseurs de services chiffrés — une disposition qui ne fait pas consensus entre parlementaires et services de renseignement. Résultat : un texte techniquement prêt, politiquement bloqué.
⚠️ Point de vigilance : le report n’est pas un sursis
L’ANSSI le formule sans ambiguïté : NIS 2 entrera en vigueur en France dès lors que l’ensemble des textes de transposition — loi, décrets, arrêtés — auront été promulgués. L’Agence précise aussi que la date d’entrée en vigueur ne coïncidera pas avec la date d’application de toutes les exigences. Autrement dit : la loi passe, puis les décrets suivent, puis les obligations s’échelonnent. Ceux qui attendront le dernier texte pour commencer auront plusieurs années de retard sur ceux qui ont démarré.
2. Trois directives, un seul texte, environ 15 000 entités
La loi Résilience ne transpose pas seulement NIS 2. Elle porte simultanément la directive REC (résilience des entités critiques) et adapte le droit français au règlement DORA, qui encadre la résilience opérationnelle du secteur financier. Trois textes européens dans un seul véhicule : cela explique en partie sa lourdeur.
Le changement d’échelle, lui, est spectaculaire. Là où la première directive NIS ne concernait qu’environ 500 organisations en France, NIS 2 en visera de l’ordre de 15 000, réparties dans dix-huit secteurs — énergie, santé, transports, eau, numérique, administration publique, agroalimentaire, fabrication…
Deux statuts coexisteront, avec des régimes de contrôle et de sanction distincts. Les critères définitifs seront fixés par décret ; le tableau ci-dessous reprend ceux de la directive, à titre indicatif.
| Critère | Entité essentielle | Entité importante | Hors périmètre direct |
|---|---|---|---|
| Taille indicative | ≥ 250 salariés ou CA > 50 M€, dans un secteur hautement critique | ≥ 50 salariés ou CA > 10 M€, dans un secteur couvert | < 50 salariés et CA ≤ 10 M€ (sauf exceptions sectorielles) |
| Supervision | Proactive : contrôles possibles sans incident préalable | Réactive : contrôle après signalement ou incident | Aucun contrôle de l’ANSSI |
| Amende maximale (plafonds de la directive) | 10 M€ ou 2 % du CA mondial | 7 M€ ou 1,4 % du CA mondial | — |
| Ce qui vous attend quand même | Enregistrement auprès de l’ANSSI, mesures de sécurité, notification d’incident | Mêmes obligations, contrôle allégé | Les exigences contractuelles de vos clients régulés |
C’est cette dernière ligne qui concerne le plus grand nombre de lecteurs — et c’est celle dont on parle le moins.
3. L’effet cascade : NIS 2 arrive par vos clients
La directive impose aux entités régulées de sécuriser leur chaîne d’approvisionnement. Elles doivent évaluer le niveau de sécurité de leurs fournisseurs, prestataires et sous-traitants, et en tirer les conséquences. Une grande entreprise ne peut pas se mettre en conformité seule : elle doit répercuter les exigences sur ceux qui touchent à ses systèmes.
En pratique, cela prend la forme d’un e-mail assez banal, intitulé « questionnaire de sécurité fournisseur » ou « avenant cybersécurité ». On y demande typiquement :
- une politique de sécurité écrite — un document, pas des habitudes implicites ;
- des sauvegardes régulières, externalisées et testées, avec preuve de restauration ;
- l’authentification à double facteur sur les accès sensibles ;
- la capacité à notifier un incident sous 24 heures ;
- des clauses de sécurité acceptées dans le contrat.
Pour des milliers de TPE françaises, NIS 2 n’arrivera pas par le Journal officiel, mais par un e-mail de leur plus gros client.
Qui est concerné par ce ricochet ? Le prestataire informatique qui intervient chez un établissement de santé, une banque ou un énergéticien ; l’éditeur de logiciel en ligne dont une partie du portefeuille est composée d’entités essentielles ; l’agence web d’un grand compte industriel ; le sous-traitant d’une chaîne de fabrication critique. Aucun n’est directement assujetti. Tous seront questionnés.
Et l’enjeu n’est pas une amende : c’est le référencement commercial. Un fournisseur incapable de répondre au questionnaire sort de la liste. Ceux qui répondent proprement transforment la contrainte en argument différenciant, sur des marchés où leurs concurrents sèchent.
4. La menace, elle, ne s’est pas mise en pause
Le Panorama de la cybermenace 2025, publié par l’ANSSI en mars 2026, donne la mesure du décalage entre le calendrier parlementaire et le calendrier des attaquants. En 2025, l’Agence a traité 3 586 événements de sécurité — en baisse de 18 % par rapport à 2024, année marquée par les Jeux olympiques — dont 2 209 signalements et 1 366 incidents.
🔴 Le chiffre qui doit alerter les petites structures
Le nombre de compromissions par rançongiciel a légèrement reculé (128 en 2025 contre 141 en 2024). Mais la répartition des victimes a basculé : les TPE, PME et ETI représentent désormais 48 % des victimes, contre 37 % un an plus tôt. Dans le même temps, les incidents d’exfiltration de données ont bondi de 130 à 196, soit une hausse de plus de 50 %. La menace ne diminue pas : elle se déplace vers le bas du tissu économique.
L’explication est simple et sans malice : l’attaquant cherche le meilleur rapport entre l’effort fourni et le gain espéré. Une entreprise qui concentre un patrimoine numérique de valeur — fichier clients, comptabilité, plans, contrats — avec des défenses limitées offre exactement ce profil. L’ANSSI souligne par ailleurs que les équipements de bordure (box, VPN, pare-feu, NAS, caméras connectées) restent une porte d’entrée privilégiée, en raison du nombre de vulnérabilités qui les affectent et de la lenteur des mises à jour.
5. ReCyF : le référentiel qui donne enfin le cap
Bonne nouvelle : l’attente législative n’a pas empêché l’ANSSI d’avancer sur l’opérationnel. Le 17 mars 2026, au Campus Cyber, l’Agence a dévoilé le Référentiel Cyber France (ReCyF), en version de travail 2.5.
✅ Ce qu’il faut retenir de ReCyF
- Il traduit les objectifs de sécurité de NIS 2 en 20 objectifs concrets, avec pour chacun des moyens de conformité acceptables.
- Il intègre un principe de proportionnalité : le niveau d’effort attendu est adapté à la maturité de l’entité et aux ressources dont elle dispose. Une PME de vingt personnes n’aura pas les attentes d’un groupe.
- Il est non obligatoire par défaut, mais opposable : les futurs assujettis qui choisissent de l’appliquer pourront s’en prévaloir en cas de contrôle de l’ANSSI.
- Un référentiel de mesures basiques doit être publié dans le cadre du dispositif Cyber Départ : un sous-ensemble de ReCyF pointant les mesures les moins coûteuses avec le plus fort impact, destiné aux entités les moins matures. C’est celui-là qu’une TPE doit surveiller.
Deux autres ressources sont déjà accessibles et gratuites : un outil de comparaison de référentiels, qui rapproche ReCyF d’une norme déjà en place (ISO 27001, RGPD, référentiels sectoriels) pour éviter de refaire deux fois le même travail ; et un simulateur « Suis-je concerné ? » sur MonEspaceNIS2. L’ANSSI a par ailleurs ouvert aux entreprises un service de pré-enregistrement volontaire.
6. Cinq chantiers à ouvrir avant la rentrée
Aucun de ces cinq chantiers ne suppose d’attendre un décret, de recruter, ni d’investir lourdement. Ils constituent le socle que réclameront de toute façon les questionnaires clients.
| Chantier | Pourquoi c’est prioritaire | Effort |
|---|---|---|
| 1. Tester votre périmètre sur le simulateur MonEspaceNIS2 | Savoir si vous êtes assujetti, sous-traitant d’assujetti, ou ni l’un ni l’autre change toute la suite | 15 minutes |
| 2. Sauvegardes 3-2-1, et une restauration testée | C’est la seule mesure qui transforme un rançongiciel en mauvaise semaine plutôt qu’en dépôt de bilan | Une demi-journée |
| 3. Double authentification partout (messagerie, banque, site, outils cloud) | Neutralise la très grande majorité des intrusions par mot de passe volé ou rejoué | 2 heures |
| 4. Inventorier et mettre à jour les équipements de bordure | Box, VPN, pare-feu et NAS sont la cible n° 1 relevée par l’ANSSI | Une journée |
| 5. Rédiger une fiche « incident » d’une page | Qui appelle qui, dans quel ordre, avec quels numéros : c’est la condition d’une notification en 24 heures | 2 heures |
Un sixième chantier, moins tangible mais déterminant : sensibiliser l’équipe. La majorité des compromissions commence par un clic, un mot de passe réutilisé ou un appel téléphonique convaincant.
💡 Pour les formateurs et médiateurs numériques
NIS 2 est un excellent prétexte pédagogique auprès des TPE : la réglementation légitime des messages de bon sens répétés depuis dix ans sans être entendus. Ancrez vos ateliers sur les cinq chantiers ci-dessus plutôt que sur le texte juridique — le vocabulaire réglementaire décourage, la restauration d’une sauvegarde en séance convainc.
À retenir
- La loi Résilience n’est toujours pas votée : son examen en séance publique à l’Assemblée nationale est repoussé à la rentrée 2026. Les décrets suivront ensuite.
- Environ 15 000 entités seront régulées en France, contre 500 sous NIS 1 — mais des dizaines de milliers de TPE-PME seront touchées indirectement, par contrat, en tant que fournisseurs.
- Les TPE, PME et ETI représentent 48 % des victimes de rançongiciel traitées par l’ANSSI en 2025, contre 37 % en 2024 : la menace descend vers les petites structures.
- ReCyF, publié le 17 mars 2026, traduit NIS 2 en 20 objectifs proportionnés à la taille de l’entité ; un référentiel de mesures basiques est annoncé pour les moins matures.
- Sauvegardes testées, double authentification, mises à jour des équipements de bordure et fiche incident : quatre actions à mener sans attendre le moindre décret.
Le calendrier politique se dérobe, la menace avance. Entre les deux, la seule position tenable pour une petite entreprise consiste à traiter la cybersécurité comme une hygiène de fonctionnement plutôt que comme une case à cocher. Ceux qui auront pris cette avance passeront la rentrée sans stress — et répondront au questionnaire de leur donneur d’ordre en une heure au lieu d’un mois.
Num Compagny accompagne les TPE et PME dans la mise en place de ce socle de cybersécurité : diagnostic, sauvegardes, double authentification, procédure d’incident et sensibilisation des équipes. Nos formations professionnelles sont finançables et adaptées aux structures de moins de cinquante salariés. Découvrez notre catalogue sur la page Formation professionnelle.
