Aller au contenu
Comprendre · situation au 2 novembre 2026

Calendrier NIS 2 en France : où en est la loi

La directive devait être transposée avant le 17 octobre 2024. Deux ans plus tard, et après la saisine de la Cour de justice par la Commission européenne, la loi française devait arriver en séance à l’Assemblée nationale les 7 et 9 octobre 2026 ; elle a été retirée de l’ordre du jour le 6 octobre, sans nouvelle date ; le 13 octobre, le gouvernement disait encore espérer la réinscrire, et l’ordre du jour prévisionnel arrêté le 20 octobre, qui court jusqu’au 17 novembre, ne la prévoit pas. Voici ce qui est acquis, ce qui ne l’est pas, et ce qu’une entreprise engage sans attendre.

Les étapes

  1. 16 janvier 2023Entrée en vigueur de la directive NIS 2 (2022/2555) au niveau européen.
  2. 15 octobre 2024Présentation en Conseil des ministres du projet de loi « Résilience », qui transpose NIS 2, la directive REC et le volet DORA.
  3. 17 octobre 2024Date limite de transposition pour les États membres. La France ne l'a pas tenue.
  4. 12 mars 2025Adoption du projet de loi en première lecture au Sénat.
  5. 7 mai 2025Avis motivé de la Commission européenne à la France pour non-transposition.
  6. 10 septembre 2025Adoption d'un texte amendé par la commission spéciale de l'Assemblée nationale. Pas d'examen en séance publique depuis.
  7. 17 mars 2026Publication par l'ANSSI du Référentiel Cyber France (ReCyF), qui précise les mesures attendues. C'est le référentiel sur lequel Mon Registre est construit.
  8. 8 juillet 2026La Commission européenne saisit la Cour de justice de l'Union européenne contre la France pour non-transposition.
  9. 22 septembre 2026La Conférence des présidents de l'Assemblée nationale inscrit le texte à l'ordre du jour.
  10. 6 octobre 2026La Conférence des présidents retire le texte de l'ordre du jour des 7 et 9 octobre, sans indiquer de motif. Aucune nouvelle date n'est fixée.
  11. 13 octobre 2026Interrogé en séance sur le calendrier, le ministre Roland Lescure répond : « Nous espérons l'inscrire de nouveau à l'ordre du jour », sans donner de date. La séance publique est consacrée au projet de loi de finances pour 2027.
  12. 20 octobre 2026La Conférence des présidents arrête l'ordre du jour prévisionnel de l'Assemblée jusqu'au 17 novembre : projet de loi de financement de la sécurité sociale, puis projet de loi de finances pour 2027. Le projet de loi Résilience n'y figure pas.
  13. 27 octobre 2026La Conférence des présidents arrête l'ordre du jour de l'Assemblée jusqu'au 20 novembre, consacré pour l'essentiel au projet de loi de finances pour 2027. Le projet de loi Résilience n'y figure pas.
  14. Réinscription à l'ordre du jourà venirLe rapporteur a dit à la presse, le 6 octobre, espérer une réinscription d'ici deux à trois semaines ; ce délai est passé sans décision. Au 2 novembre, le texte n'a pas été réinscrit et aucune date n'est annoncée. Ensuite, procédure accélérée : une lecture par chambre, puis commission mixte paritaire pour accorder Sénat et Assemblée. Une promulgation avant la fin de l'année est devenue improbable.
  15. Après promulgationà venirDécrets d'application, puis enregistrement des entités auprès de l'ANSSI. Le directeur général de l'ANSSI a indiqué au Sénat, le 17 décembre 2024, que trois ans au moins seraient nécessaires avant d'exiger une conformité complète, avec des délais plus courts pour l'enregistrement et la notification des incidents.

Ce qui est stable, ce qui ne l’est pas

Stable : le périmètre — les secteurs et les seuils de taille viennent de la directive et ne changeront pas ; les mesures attendues — le ReCyF de l’ANSSI les décrit en objectifs concrets depuis mars 2026 ; la notification d’incident en 24 h, 72 h et un mois ; la responsabilité de la direction ; la sécurité de la chaîne d’approvisionnement.

Pas encore stable : la date à partir de laquelle le délai court, les modalités d’enregistrement, le détail des sanctions applicables en France, et les décrets qui fixeront les référentiels opposables. Tout article qui vous donne une date de conformité précise pour 2026 ou 2027 l’invente.

Ce qu’on engage sans attendre

Savoir si l’on est concerné, directement ou comme fournisseur : le simulateur répond en trois questions. Mesurer où l’on en est sur les objectifs du référentiel : le diagnostic en huit questions donne le point de départ. Préparer la notification d’incident, la seule obligation qui ne s’improvise pas le jour venu : les délais et la marche à suivre. Et constituer le dossier de preuves au fil de l’eau, plutôt qu’en urgence quand la date tombera.

Pour situer NIS 2 par rapport aux autres cadres : NIS 2 ou ISO 27001, et DORA et NIS 2 pour les prestataires du secteur financier.

Questions fréquentes

Y a-t-il une date limite de conformité NIS 2 en France ?

Non, pas encore. Le texte n'a toujours pas été examiné en séance à l'Assemblée nationale : son inscription des 7 et 9 octobre 2026 a été retirée le 6 octobre. Il reste la séance, la commission mixte paritaire, la promulgation, puis les décrets. Tant qu'ils ne sont pas publiés, aucune échéance n'existe en droit français. Ce qui existe : la directive, le référentiel de l'ANSSI, et l'annonce par l'ANSSI d'un délai d'au moins trois ans avant d'exiger une conformité complète.

Faut-il attendre le vote pour commencer ?

C'est le calcul le plus risqué : le texte peut revenir en séance dès qu'une fenêtre s'ouvre entre les textes budgétaires, et le gouvernement dit espérer le réinscrire. Le contenu des obligations est connu depuis mars 2026 avec le ReCyF, et une mise en conformité prend des mois. Ce qu'on engage maintenant, c'est ce qui sera prêt le jour où la date tombe. Le périmètre, lui, ne bougera pas : il vient de la directive — dix-huit secteurs, de l'ordre de quinze mille entités en France contre cinq cents sous NIS 1.

Peut-on déjà s'enregistrer auprès de l'ANSSI ?

L'ANSSI a ouvert un espace de pré-enregistrement, MonEspaceNIS2, qui permet de vérifier si l'on est concerné et de se faire connaître. L'enregistrement formel deviendra obligatoire avec la loi ; devant le Sénat, le 17 décembre 2024, le directeur général de l'ANSSI tablait sur environ six mois après l'entrée en application pour l'enregistrement et la notification des incidents, les exigences sans investissement venant avant les autres.

Et pour un fournisseur d'une entité concernée ?

Il n'attend rien de la loi : ses clients concernés préparent déjà leur chaîne d'approvisionnement et envoient leurs questionnaires. Pour lui, l'échéance est commerciale, pas légale, et elle est déjà là.