NIS2 : la loi Résilience de nouveau repoussée à l’Assemblée nationale

Nouveau report pour la transposition de la directive NIS2 en France. Le 6 octobre, la Conférence des présidents de l’Assemblée nationale a retiré de l’ordre du jour l’examen en séance du projet de loi Résilience, prévu à partir du lendemain. En cause, selon la presse spécialisée, un calendrier parlementaire chargé : l’examen de la proposition de loi sur les violences sexistes et sexuelles a pris plus de temps que prévu. Le rapporteur espère une nouvelle inscription d’ici deux à trois semaines, sans engagement ferme.

Un texte en attente depuis 2024

• 17 octobre 2024 : date limite de transposition de NIS2 fixée par l’Union européenne.
• 12 mars 2025 : adoption du texte par le Sénat en première lecture.
• 10 septembre 2025 : adoption par la commission spéciale de l’Assemblée nationale.
• Juillet 2026 : examen reporté, notamment en raison d’un désaccord sur l’article 16 bis, qui protège le chiffrement des messageries.
• 8 juillet 2026 : la Commission européenne saisit la Cour de justice de l’UE contre la France, avec l’Irlande, l’Espagne et les Pays-Bas, et demande des sanctions financières.

Le projet de loi regroupe la transposition de NIS2, de la directive CER sur la résilience des entités critiques et d’une partie de DORA pour le secteur financier.

Environ 15 000 entités concernées

Selon les éléments présentés lors des débats parlementaires, environ 15 000 entités seraient concernées en France dans 18 secteurs, dont près de 1 500 collectivités territoriales.

Ne pas attendre la loi pour agir

Le retard législatif ne doit pas servir de prétexte à l’attentisme. L’ANSSI a déjà fourni les outils :

• une pré-inscription volontaire sur la plateforme MonEspaceNIS2, ouverte depuis le 24 novembre 2025 (les collectivités, dont le statut dépend encore de la loi, n’y avaient pas accès à l’ouverture) ;
• le référentiel ReCyF, publié en mars 2026, qui traduit les obligations de NIS2 en 20 objectifs de sécurité concrets.

Le 1^er octobre, devant les députés, le directeur général de l’ANSSI a indiqué que l’agence envisageait d’exiger une mise en conformité complète d’ici fin 2028. C’est une intention, pas encore une règle écrite. Compte tenu de l’ampleur des chantiers (gouvernance, gestion des risques, notification des incidents, sécurité de la chaîne d’approvisionnement), mieux vaut commencer dès maintenant.