Guides · Dernière mise à jour : 11 octobre 2026
Où en est la France sur NIS 2 ? Le point, daté
Réponse courte, à la date du 11 octobre 2026 : la directive européenne NIS 2 est en vigueur, mais la loi française qui doit la transposer — le projet de loi « Résilience » — n'est toujours pas promulguée.
La France a dépassé la date limite de transposition d'octobre 2024 ; après une mise en demeure puis un avis motivé, la Commission européenne a décidé le 8 juillet 2026 de saisir la Cour de justice de l'UE. Pendant ce temps, l'ANSSI avance sans attendre la loi : plateforme d'enregistrement ouverte, référentiel d'exigences publié.
La chronologie, sourcée
| Date | Événement |
|---|---|
| 14 déc. 2022 | Adoption de la directive (UE) 2022/2555, dite NIS 2 (publiée au JOUE le 27 déc. 2022). |
| 17 oct. 2024 | Date limite de transposition dans les droits nationaux. La France ne l'a pas tenue — comme une majorité d'États membres. |
| 28 nov. 2024 | La Commission européenne adresse une mise en demeure à la France pour défaut de transposition. |
| 12 mars 2025 | Le Sénat adopte en première lecture le projet de loi « Résilience », qui transpose NIS 2 (avec les textes REC et DORA). |
| 7 mai 2025 | Avis motivé de la Commission — l'étape qui précède la saisine de la Cour de justice. |
| 9-11 sept. 2025 | Examen du texte en commission spéciale à l'Assemblée nationale. |
| 24 nov. 2025 | L'ANSSI ouvre le pré-enregistrement volontaire des entités sur sa plateforme MonEspaceNIS2 — depuis intégrée au portail MesServicesCyber (vérifié août 2026) (mode d'emploi). |
| 17 mars 2026 | L'ANSSI publie le référentiel d'exigences ReCyF au Campus Cyber — 20 objectifs pour les entités essentielles, 15 pour les entités importantes — accompagné d'un comparateur. Notre guide ReCyF. |
| 8 juil. 2026 | La Commission européenne décide de saisir la Cour de justice de l'UE contre quatre États qui n'ont pas notifié la transposition complète de NIS 2 : l'Irlande, l'Espagne, la France et les Pays-Bas. Elle demande à la Cour des sanctions financières — une somme forfaitaire et des astreintes journalières jusqu'à notification de la transposition complète. Ce sont des sanctions demandées, pas prononcées : c'est à la Cour de trancher. Communiqué officiel de la Commission. |
Ce qui n'est pas encore fixé
Trois choses restent ouvertes à la date de publication (13 août 2026). La promulgation de la loi : le texte, voté au Sénat puis examiné en commission à l'Assemblée, n'est pas encore passé en séance publique — aucune date de promulgation n'est officiellement fixée. Les textes d'application (décrets, arrêtés sectoriels) qui suivront la loi.
Et le calendrier de l'enregistrement obligatoire auprès de l'ANSSI : le pré-enregistrement est ouvert et volontaire ; le caractère obligatoire, lui, dépend de l'entrée en vigueur du cadre légal. Méfiez-vous des contenus qui affichent des dates butoirs précises sur ces trois points : elles n'existent pas encore.
« Pas de loi » ne veut pas dire « rien à faire »
Le constat du terrain est ancien et stable. Alain Bouillé, délégué général du CESIN, en avril 2025 : « Les organisations qui sont membres du Cesin sont prêtes. Cependant, la majorité des entreprises n'est pas prête. »
Et l'ambition du texte est assumée par le régulateur lui-même — « une directive aussi ambitieuse que le RGPD », selon Emmanuel Naëgelen (ANSSI).
Le retard législatif est une fenêtre, pas une dispense : les objectifs techniques attendus sont déjà publics (ReCyF), la plateforme d'enregistrement existe, et une démarche entamée aujourd'hui se fait sans la pression d'une échéance imminente.
Côté rythme, le directeur général de l'ANSSI, Vincent Strubel, a évoqué une montée en exigence progressive, sur environ trois ans après la promulgation — l'esprit affiché est l'accompagnement, pas la sanction immédiate.
Les plafonds de sanction prévus par la directive existent (jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles ; 7 M€ ou 1,4 % pour les entités importantes), mais ils sanctionnent l'inaction durable, pas l'imperfection d'une démarche en cours.
Et si la question vous arrive d'abord d'un client plutôt que du régulateur — c'est le cas le plus fréquent — la réponse tient en un document : comment prouver votre conformité NIS 2 à un donneur d'ordre.
Journal des mises à jour de cette page
- 11 octobre 2026 — la saisine de la Cour de justice est datée au 8 juillet 2026 d'après le communiqué officiel de la Commission (quatre États concernés, sanctions financières demandées à la Cour) ; lien vers la source ajouté.
- 13 août 2026 — création de la page : chronologie complète jusqu'à la saisine de la Cour de justice, alors datée « mi-2026 » d'après la presse spécialisée, loi Résilience non promulguée.
Pour aller plus loin
Découvrir NewShield — la preuve NIS 2 prête avant qu'on vous la demande →
Ce guide est informatif et ne constitue ni un conseil juridique ni une certification officielle ; les dates citées proviennent des textes et annonces publics référencés à leur date. Pour votre situation précise, rapprochez-vous d'un conseil spécialisé. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.