NIS2 : où en est la transposition française et qui est concerné dans votre chaîne de sous-traitance ?

NIS2 est dans une situation paradoxale en France : la directive européenne est définitive depuis fin 2022, l'échéance de transposition est dépassée depuis octobre 2024, et pourtant la loi française n'est toujours pas promulguée à l'été 2026. Ce flottement nourrit deux erreurs symétriques : ceux qui pensent que rien ne s'applique tant que la loi n'est pas votée, et ceux qui croient déjà tout savoir de leurs obligations. Voici l'état exact de la transposition, ce que le texte va imposer, et le point que presque tout le monde sous-estime : la propagation des obligations dans la chaîne de sous-traitance, qui touche les ESN, agences et prestataires IT bien au-delà des entités formellement régulées.

Où en est la transposition française : l'état des lieux à l'été 2026

La directive (UE) 2022/2555, dite NIS2, devait être transposée par tous les États membres au plus tard le 17 octobre 2024. La France a manqué cette échéance, ce qui lui a valu une procédure d'infraction de la Commission européenne, avec un avis motivé adressé en mai 2025.

La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi Résilience, qui transpose en un texte unique trois volets européens : la directive REC sur la résilience des entités critiques, NIS2, et le volet directive accompagnant le règlement DORA pour le secteur financier. Son parcours : présentation en Conseil des ministres le 15 octobre 2024, adoption en première lecture au Sénat le 12 mars 2025, vote à l'unanimité en commission spéciale de l'Assemblée nationale en septembre 2025 avec plus de 240 amendements adoptés, et au moment où j'écris ces lignes, un examen en séance publique attendu lors de la session extraordinaire de juillet 2026, pour une promulgation dans la foulée.

Le texte législatif ne sera pas la fin de l'histoire : il renvoie l'essentiel des exigences techniques à des décrets d'application et aux référentiels de l'ANSSI. L'agence a d'ailleurs pris les devants en diffusant une version de travail de son référentiel, le ReCyF (Référentiel Cyber France), qui définit une vingtaine d'objectifs de sécurité gradués selon la catégorie d'entité, et en ouvrant son guichet d'auto-évaluation MonEspaceNIS2.

Point de vigilance : « la loi n'est pas votée » ne signifie pas « rien ne presse ». L'ANSSI a annoncé une montée en charge progressive avec un délai global de mise en conformité d'environ trois ans, mais l'enregistrement des entités et les premières obligations suivront rapidement la promulgation. Les chantiers de conformité NIS2 (gouvernance, analyse de risques, gestion d'incidents) prennent des mois : les entités qui attendent le décret pour commencer subiront le calendrier.

Qui sera concerné : le changement d'échelle

NIS2 fait passer la France d'environ 500 entités régulées sous NIS1 à un ordre de grandeur de 15 000 entités, réparties sur dix-huit secteurs, des infrastructures numériques à la santé, de l'énergie à la gestion des déchets, en passant par l'administration publique et la recherche. Le texte distingue deux catégories, avec des seuils de taille :

• Entités essentielles (EE) : les grandes structures des secteurs hautement critiques, typiquement plus de 250 salariés ou plus de 50 millions d'euros de chiffre d'affaires. Elles relèvent d'une supervision proactive et des sanctions les plus élevées, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial ;
• Entités importantes (EI) : les structures moyennes des secteurs critiques, à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires. Supervision a posteriori, sanctions jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial.

Deux nouveautés méritent l'attention des dirigeants : la responsabilité personnelle des organes de direction, qui doivent approuver les mesures de gestion des risques et suivre une formation, avec des sanctions pouvant aller jusqu'à une interdiction temporaire d'exercer des fonctions dirigeantes, et la publicité possible des manquements, qui transforme la non-conformité en risque réputationnel direct. Le socle des obligations reste celui décrit dans mon article sur vos responsabilités cybersécurité sous NIS2 : gouvernance des risques, mesures techniques et organisationnelles, notification des incidents significatifs à l'ANSSI, continuité d'activité.

La sécurité de la chaîne d'approvisionnement : l'obligation qui déborde du périmètre

C'est le mécanisme le plus structurant du texte, et le moins compris. Parmi les mesures de gestion des risques imposées aux entités régulées figure la sécurité de la chaîne d'approvisionnement : chaque entité essentielle ou importante doit maîtriser les risques liés à ses fournisseurs et prestataires directs, en particulier ses prestataires numériques.

La conséquence pratique est une propagation contractuelle : les 15 000 entités régulées vont répercuter leurs obligations sur leurs prestataires par la voie du contrat. Une ESN, une agence web, un infogérant, un éditeur qui sert ne serait-ce qu'un client régulé verra arriver des exigences de sécurité, des questionnaires d'évaluation, des clauses d'audit, des obligations de notification d'incident au client dans des délais serrés, et des plans d'assurance sécurité. En clair : on peut être hors du champ formel de NIS2 et devoir s'y conformer en pratique, parce que ses clients y sont.

Pour les ESN, agences web et prestataires IT, cette mécanique est double : beaucoup seront elles-mêmes régulées (les services TIC interentreprises figurent parmi les secteurs visés, selon les seuils de taille), et toutes subiront la pression contractuelle de leurs clients régulés. Le sujet n'est donc pas « sommes-nous dans l'annexe ? » mais « que devons-nous être capables de signer, et à quel coût ? ».

Prestataires : négocier les clauses NIS2 sans se mettre en danger

Les clauses cyber qui arrivent dans les contrats appellent une vraie négociation, pas une signature réflexe. Quatre points concentrent les enjeux :

1. Les délais de notification au client : les entités régulées doivent notifier leurs incidents significatifs à l'ANSSI dans des délais courts (alerte précoce sous 24 heures dans le schéma de la directive), et voudront donc être informées par leurs prestataires quasi immédiatement. Un engagement de notification « sans délai » ou « sous 6 heures » doit être confronté à vos capacités réelles de détection et d'astreinte avant d'être signé ;
2. Le périmètre des audits : droit d'audit du client encadré (fréquence, préavis, confidentialité, coûts), possibilité de répondre par des certifications ou rapports de tiers plutôt que par des audits sur site illimités ;
3. La répartition des responsabilités et les plafonds : les clauses qui font porter au prestataire la responsabilité de la conformité NIS2 du client, ou des plafonds de responsabilité déplafonnés en cas d'incident, transforment le contrat en police d'assurance gratuite. La clause limitative de responsabilité doit être redéfinie pour ce contexte, pas abandonnée ;
4. La conformité monnayable : les exigences de sécurité supplémentaires ont un coût (outillage, astreintes, certifications). Elles se chiffrent et se facturent, soit dans le prix, soit en option de niveau de service. Les prestataires qui structurent une offre « NIS2 ready » transforment la contrainte en argument commercial.

Comment se préparer maintenant, sans attendre les décrets

Le calendrier français laisse une fenêtre utile. Voici les cinq chantiers à mener dès maintenant, qu'on soit entité régulée ou prestataire de la chaîne :

1. Qualifier sa situation : secteur, taille, activités, pour déterminer si l'on sera entité essentielle, importante, ou hors champ formel mais exposé par ses clients. L'auto-évaluation proposée par l'ANSSI via MonEspaceNIS2 est le point de départ naturel ;
2. Cartographier ses clients et fournisseurs régulés : identifier les contrats qui véhiculeront des exigences NIS2, dans les deux sens ;
3. Bâtir le socle de sécurité gouverné : analyse de risques, politique de sécurité, gestion des incidents avec procédure de notification, plan de continuité. Ces fondamentaux seront exigés quelle que soit la rédaction finale des décrets ;
4. Préparer la gouvernance dirigeante : implication documentée de la direction, formation des organes de direction, la responsabilité personnelle des dirigeants étant l'une des nouveautés marquantes du dispositif ;
5. Mettre à niveau les contrats : modèles de clauses cyber équilibrées côté prestataire, exigences fournisseurs côté entité régulée, en articulation avec les autres textes qui imposent leurs propres notifications (RGPD, DORA pour le secteur financier, et le Cyber Resilience Act pour les fabricants de produits, dont les obligations de notification s'appliquent dès le 11 septembre 2026).

NIS2, DORA, CRA : cartographier les obligations qui se cumulent

Le paysage réglementaire cyber européen s'est empilé en trois couches qu'il faut articuler plutôt que subir : NIS2 régule les entités selon leur secteur et leur taille, DORA régule la résilience numérique du secteur financier avec son propre régime de notification, et le CRA régule les produits comportant des éléments numériques. Une même entreprise peut relever de deux, voire trois régimes selon ses activités, avec des notifications d'incidents à des autorités différentes dans des délais différents. La cartographie de ces obligations croisées, et leur traduction en un processus interne unique de gestion d'incident, est devenue un exercice juridique à part entière : c'est précisément l'objet de l'accompagnement NIS2 que je propose.

La promulgation de la loi Résilience déclenchera une séquence rapide : enregistrement des entités, publication des décrets et du référentiel ANSSI, premiers contrôles. Si vous voulez qualifier votre situation, préparer vos contrats ou construire votre feuille de route de conformité avant cette séquence, vous pouvez échanger sur votre situation directement avec moi.