Guides · Dernière mise à jour : 13 août 2026
Où en est la France sur NIS 2 ? Le point, daté
Réponse courte, à la date du 13 août 2026 : la directive européenne NIS 2 est en vigueur, mais la loi française qui doit la transposer — le projet de loi « Résilience » — n'est toujours pas promulguée. La France a dépassé la date limite de transposition d'octobre 2024, et la Commission européenne a engagé les étapes contentieuses prévues dans ce cas. Pendant ce temps, l'ANSSI avance sans attendre la loi : plateforme d'enregistrement ouverte, référentiel d'exigences publié.
La chronologie, sourcée
| Date | Événement |
|---|---|
| 14 déc. 2022 | Adoption de la directive (UE) 2022/2555, dite NIS 2 (publiée au JOUE le 27 déc. 2022). |
| 17 oct. 2024 | Date limite de transposition dans les droits nationaux. La France ne l'a pas tenue — comme une majorité d'États membres. |
| 28 nov. 2024 | La Commission européenne adresse une mise en demeure à la France pour défaut de transposition. |
| 12 mars 2025 | Le Sénat adopte en première lecture le projet de loi « Résilience », qui transpose NIS 2 (avec les textes REC et DORA). |
| 7 mai 2025 | Avis motivé de la Commission — l'étape qui précède la saisine de la Cour de justice. |
| 9-11 sept. 2025 | Examen du texte en commission spéciale à l'Assemblée nationale. |
| 24 nov. 2025 | L'ANSSI ouvre le pré-enregistrement volontaire des entités sur sa plateforme MonEspaceNIS2 — depuis intégrée au portail MesServicesCyber (vérifié août 2026) (mode d'emploi). |
| 17 mars 2026 | L'ANSSI publie le référentiel d'exigences ReCyF au Campus Cyber — 20 objectifs pour les entités essentielles, 15 pour les entités importantes — accompagné d'un comparateur. Notre guide ReCyF. |
| Mi-2026 | Selon des sources de presse spécialisée concordantes, la Commission décide de saisir la Cour de justice de l'UE d'un recours contre la France et plusieurs autres États membres pour défaut de transposition. Nous n'avons pas encore pu consulter le communiqué officiel : cette ligne sera précisée (date, référence) dès que ce sera fait. |
Ce qui n'est pas encore fixé
Trois choses restent ouvertes à la date de publication. La promulgation de la loi : le texte, voté au Sénat puis examiné en commission à l'Assemblée, n'est pas encore passé en séance publique — aucune date de promulgation n'est officiellement fixée. Les textes d'application (décrets, arrêtés sectoriels) qui suivront la loi. Et le calendrier de l'enregistrement obligatoire auprès de l'ANSSI : le pré-enregistrement est ouvert et volontaire ; le caractère obligatoire, lui, dépend de l'entrée en vigueur du cadre légal. Méfiez-vous des contenus qui affichent des dates butoirs précises sur ces trois points : elles n'existent pas encore.
« Pas de loi » ne veut pas dire « rien à faire »
Le constat du terrain est ancien et stable. Alain Bouillé, délégué général du CESIN, en avril 2025 : « Les organisations qui sont membres du Cesin sont prêtes. Cependant, la majorité des entreprises n'est pas prête. » Et l'ambition du texte est assumée par le régulateur lui-même — « une directive aussi ambitieuse que le RGPD », selon Emmanuel Naëgelen (ANSSI). Le retard législatif est une fenêtre, pas une dispense : les objectifs techniques attendus sont déjà publics (ReCyF), la plateforme d'enregistrement existe, et une démarche entamée aujourd'hui se fait sans la pression d'une échéance imminente.
Côté rythme, le directeur général de l'ANSSI, Vincent Strubel, a évoqué une montée en exigence progressive, sur environ trois ans après la promulgation — l'esprit affiché est l'accompagnement, pas la sanction immédiate. Les plafonds de sanction prévus par la directive existent (jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles ; 7 M€ ou 1,4 % pour les entités importantes), mais ils sanctionnent l'inaction durable, pas l'imperfection d'une démarche en cours.
Et si la question vous arrive d'abord d'un client plutôt que du régulateur — c'est le cas le plus fréquent — la réponse tient en un document : comment prouver votre conformité NIS 2 à un donneur d'ordre.
Journal des mises à jour de cette page
- 13 août 2026 — création de la page : chronologie complète jusqu'à la saisine CJUE (mi-2026, sous réserve du communiqué officiel), loi Résilience non promulguée.
Pour aller plus loin
Découvrir NewShield — la preuve NIS 2 prête avant qu'on vous la demande →
Ce guide est informatif et ne constitue ni un conseil juridique ni une certification officielle ; les dates citées proviennent des textes et annonces publics référencés à leur date. Pour votre situation précise, rapprochez-vous d'un conseil spécialisé. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.