Calendrier NIS 2 en France : où en est la loi

Les étapes

1. 16 janvier 2023Entrée en vigueur de la directive NIS 2 (2022/2555) au niveau européen.
2. 17 octobre 2024Date limite de transposition pour les États membres. La France ne l'a pas tenue.
3. 15 octobre 2024Présentation en Conseil des ministres du projet de loi « Résilience », qui transpose NIS 2, la directive REC et le volet DORA.
4. 12 mars 2025Adoption du projet de loi en première lecture au Sénat.
5. 7 mai 2025Avis motivé de la Commission européenne à la France pour non-transposition.
6. 10 septembre 2025Adoption d'un texte amendé par la commission spéciale de l'Assemblée nationale. Pas d'examen en séance publique depuis.
7. 17 mars 2026Publication par l'ANSSI du Référentiel Cyber France (ReCyF), qui précise les mesures attendues. C'est le référentiel sur lequel Mon Registre est construit.
8. 8 juillet 2026La Commission européenne saisit la Cour de justice de l'Union européenne et demande des sanctions financières contre la France.
9. Automne 2026à venirRetour annoncé du projet de loi devant l'Assemblée nationale. Aucune date de séance publique connue à ce jour.
10. Après promulgationà venirDécrets d'application, puis enregistrement des entités auprès de l'ANSSI. L'ANSSI a indiqué un délai d'environ trois ans pour atteindre la conformité complète, avec un accompagnement avant les premières sanctions.

Ce qui est stable, ce qui ne l’est pas

Stable : le périmètre — les secteurs et les seuils de taille viennent de la directive et ne changeront pas ; les mesures attendues — le ReCyF de l’ANSSI les décrit en objectifs concrets depuis mars 2026 ; la notification d’incident en 24 h, 72 h et un mois ; la responsabilité de la direction ; la sécurité de la chaîne d’approvisionnement.

Pas encore stable : la date à partir de laquelle le délai court, les modalités d’enregistrement, le détail des sanctions applicables en France, et les décrets qui fixeront les référentiels opposables. Tout article qui vous donne une date de conformité précise pour 2026 ou 2027 l’invente.

Ce qu’on engage sans attendre

Savoir si l’on est concerné, directement ou comme fournisseur : le simulateur répond en trois questions. Mesurer où l’on en est sur les objectifs du référentiel : le diagnostic en huit questions donne le point de départ. Préparer la notification d’incident, la seule obligation qui ne s’improvise pas le jour venu : les délais et la marche à suivre. Et constituer le dossier de preuves au fil de l’eau, plutôt qu’en urgence quand la date tombera.

Pour situer NIS 2 par rapport aux autres cadres : NIS 2 ou ISO 27001, et DORA et NIS 2 pour les prestataires du secteur financier.