Loi Résilience et NIS2 : où en est le texte fin octobre 2026

Votre entreprise entend parler de NIS2 depuis deux ans, mais personne ne sait vous dire si elle s’applique déjà. Cet article fait le point, à la date du 25 octobre 2026, sur le stade exact du projet de loi français qui transpose la directive, sur les entreprises qui seront concernées et sur ce qu’un dirigeant de PME peut préparer sans attendre le vote.

Où en est le projet de loi au 25 octobre 2026 ?

Le texte s’appelle « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». Il transpose trois directives européennes du 14 décembre 2022 : la directive REC sur la résilience des entités critiques, la directive NIS2 sur la cybersécurité et la directive DORA pour le secteur financier. Le Gouvernement l’a déposé au Sénat le 15 octobre 2024 en engageant la procédure accélérée. Le Sénat l’a adopté en première lecture le 12 mars 2025, après le rapport de sa commission spéciale (rapport n° 393 du 4 mars 2025). Le texte a été transmis à l’Assemblée nationale le 13 mars 2025 sous le numéro 1112.

À l’Assemblée, une commission spéciale a adopté sa version du texte le 10 septembre 2025 (texte n° 1779). Depuis, le projet attend son examen en séance publique. Il avait été inscrit à l’ordre du jour des 7 et 9 octobre 2026, mais la Conférence des présidents du 6 octobre 2026 a acté son retrait de ces deux séances, sans motif indiqué dans le relevé de conclusions. Les relevés des 13 et 20 octobre 2026 ne le mentionnent plus : les semaines du 19 octobre au 2 novembre sont occupées par le projet de loi de finances pour 2027 et par le projet de loi de financement de la sécurité sociale.

Au 25 octobre 2026, le texte n’a donc été voté ni par l’Assemblée nationale ni, a fortiori, par une commission mixte paritaire. Il n’est pas promulgué. Deux ans après la date limite de transposition fixée par la directive au 17 octobre 2024, la France n’a toujours pas sa loi NIS2.

Ce qui s’applique déjà, et ce qui attend la loi

Une directive européenne ne crée pas d’obligation directe pour une entreprise privée tant qu’elle n’est pas transposée en droit national, à la différence d’un règlement comme le RGPD, qui s’applique tel quel. Concrètement, une PME française ne peut pas être sanctionnée aujourd’hui au titre de NIS2 : l’enregistrement, la notification des incidents et les mesures de sécurité ne deviendront exigibles qu’avec la loi et ses textes d’application. Le rapport de la commission spéciale du Sénat recensait d’ailleurs, dans le projet initial, 40 renvois à un décret en Conseil d’État.

Deux nuances s’imposent. D’abord, le retard français n’efface pas le calendrier européen : la Commission attendait les lois nationales pour le 17 octobre 2024, et l’ANSSI indique sur son portail que la transposition est « en cours ». Ensuite, des textes voisins sont déjà en vigueur. Le règlement européen DORA (règlement (UE) 2022/2554) encadre déjà directement la gestion des risques informatiques des entités financières ; nous l’avons détaillé dans notre article sur DORA et la résilience numérique imposée à la finance. Et le RGPD impose depuis 2018 la sécurité des données personnelles. Une PME qui attend la loi NIS2 pour s’occuper de sa sécurité ne gagne pas de temps, elle en perd.

Qui sera concerné : 18 secteurs et des seuils de taille

La directive raisonne par croisement entre un secteur d’activité et une taille d’entreprise. Elle vise 18 secteurs : 11 dits « hautement critiques » (énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services informatiques, administration publique, espace) et 7 « autres secteurs critiques » (services postaux, gestion des déchets, chimie, alimentation, plusieurs industries manufacturières, fournisseurs numériques, recherche). Dans ces secteurs, les entreprises moyennes et grandes sont concernées. Les petites entreprises et les micro-entreprises ne le sont pas, sauf exceptions (opérateurs de communications électroniques, prestataires de services de confiance, fournisseurs DNS, administration publique).

Le rapport de la commission spéciale du Sénat résume les seuils de la façon suivante.

Selon le Sénat, le dispositif passerait d’environ 500 infrastructures critiques sous la première directive NIS à quelque 15 000 entités essentielles ou importantes, dont près de 1 500 collectivités territoriales et groupements. Le même rapport cite une estimation de l’ANSSI : environ 2 000 entreprises privées relèveraient de la catégorie des entités essentielles. Une PME de 60 salariés dans l’agroalimentaire, la chimie, le transport ou la santé a donc toutes les chances d’être une entité importante. Un sous-traitant plus petit n’est pas visé directement, mais ses clients régulés devront sécuriser leur chaîne d’approvisionnement, donc leurs contrats. Voir aussi NIS2 : votre PME est-elle concernée ?

Les obligations qui attendent les entités concernées

L’ANSSI décrit trois obligations de base sur son portail. L’enregistrement : chaque entité devra s’identifier auprès de l’agence une fois certaine d’entrer dans le périmètre. La gestion des risques : des mesures juridiques, techniques et organisationnelles, que l’ANSSI décline dans un référentiel baptisé ReCyF, dont une version de travail (v2.5, 17 mars 2026) est publique et susceptible d’évoluer. La déclaration des incidents : signaler à l’ANSSI les incidents ayant un impact important, puis rendre compte de leur évolution. La directive fixe pour cela une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final dans le mois ; elle liste aussi dix familles de mesures, parmi lesquelles la gestion des incidents, la sécurité de la chaîne d’approvisionnement, le traitement des vulnérabilités et l’usage du chiffrement. Détail dans Directive NIS2 : quelles obligations pour les entreprises françaises.

Côté sanctions, la directive impose aux États membres un plafond d’amende d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes. Le Sénat a tenu à la proportionnalité : en séance, il a fait passer les communautés d’agglomération sans commune d’au moins 30 000 habitants dans la catégorie des entités importantes, créé un label de confiance pour les entités conformes et interdit de contraindre les messageries chiffrées à installer des portes dérobées. Le texte final dépendra des débats à l’Assemblée, puis des décrets.

Ce qu’une PME peut préparer dès maintenant

L’ANSSI recommande de ne pas attendre les textes. Première étape : passer le test en ligne de l’agence pour savoir si votre entreprise entre dans le périmètre et dans quelle catégorie. Deuxième étape : pré-enregistrer l’entité via le service en ligne de l’ANSSI. Troisième étape : commencer à appliquer les exigences du référentiel ReCyF. L’ANSSI propose en outre un programme d’accompagnement gratuit aux entités concernées.

Pour un dirigeant, le bon réflexe consiste à traiter NIS2 comme un projet de gouvernance plutôt que comme un dossier informatique : désigner un responsable, documenter l’existant, faire réaliser un audit externe pour mesurer l’écart, puis prioriser les chantiers. Le texte adopté par le Sénat élève d’ailleurs la supervision de la cybersécurité au niveau des organes de direction. Quand la loi sera votée, les décrets fixeront des délais. L’entreprise qui a déjà cartographié ses risques et ses fournisseurs les absorbera sans difficulté ; l’autre devra tout faire dans l’urgence. Les chiffres de l’ANSSI sur les cyberattaques visant les PME ne plaident pas pour l’attente.

Questions fréquentes

Sources

• Assemblée nationale — Dossier législatif « Résilience des infrastructures critiques et renforcement de la cybersécurité », 17e législature (consulté le 25 octobre 2026)
• Assemblée nationale — Conférence des présidents, relevé de conclusions de la réunion du mardi 6 octobre 2026
• ANSSI — MesServicesCyber, « NIS 2 » : périmètre, obligations et recommandations (documents de mars 2026)