Loi Résilience NIS 2 : l’Assemblée lance l’examen, des milliers d’entreprises visées

Les députés ont ouvert, ce lundi 9 novembre 2026, l’examen du projet de loi Résilience NIS 2, qui transpose en droit français la directive européenne sur la cybersécurité. Le périmètre passe de 6 à 18 secteurs et touche des milliers d’entreprises et de collectivités, avec des incidents à déclarer en 24 heures.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est discuté en première lecture jusqu’au vendredi 13 novembre, selon Silicon et IT Social. Rapporteur général : le député Éric Bothorel, précise Incyber. InformatiqueNews compte 398 amendements déposés. Adopté par le Sénat en mars 2025, le texte transpose trois directives de 2022 : NIS 2 (cybersécurité), REC (entités critiques) et celle liée au règlement DORA (finance). L’échéance européenne était fixée au 17 octobre 2024 ; d’après InformatiqueNews, la Commission européenne a saisi la Cour de justice de l’UE le 8 juillet 2026 contre la France et trois autres États.

Qui est concerné par la loi Résilience NIS 2 ?

De 6 à 18 secteurs régulés

NIS 1 visait environ 500 entités en France. Pour NIS 2, les estimations présentées au Sénat en 2025, reprises par InformatiqueNews, évoquent près de 15 000 entités, plus environ 1 500 collectivités territoriales. L’ANSSI parle plus prudemment de plusieurs milliers d’organisations. Industrie manufacturière, chimie, agroalimentaire, déchets, recherche ou services postaux rejoignent santé, énergie et transports.

Entités essentielles ou importantes

Deux catégories coexistent, avec des contrôles différents. Selon IT Social, sont essentielles les structures d’au moins 250 personnes, ou dépassant 50 M€ de chiffre d’affaires et 43 M€ de bilan. Sont importantes celles d’au moins 50 personnes, ou au-delà de 10 M€ de chiffre d’affaires et de bilan. Le secteur compte autant que la taille, et certaines activités critiques sont visées quel que soit l’effectif. Toutes devront s’enregistrer auprès de l’ANSSI, qui propose déjà un parcours d’auto-évaluation.

Ce que le texte impose aux directions

Une sécurité pilotée au plus haut niveau

L’article 14 du projet fixe quatre responsabilités : organiser la sécurité sous le contrôle des dirigeants, protéger les systèmes et leurs accès, détecter et traiter les incidents, préparer la continuité d’activité. Les dirigeants doivent approuver et superviser les mesures : avoir délégué au RSSI ne suffit plus. Le Référentiel Cyber France (ReCyF), publié par l’ANSSI le 17 mars 2026, reste facultatif mais pourra être invoqué lors d’un contrôle.

Incidents : 24 heures, 72 heures, un mois

En cas d’incident important, une alerte précoce doit partir vers l’ANSSI sous 24 heures, suivie d’une notification complète sous 72 heures et d’un rapport final dans le mois. Si des données personnelles sont touchées, la notification à la CNIL au titre du RGPD reste une démarche distincte.

Les prestataires dans le périmètre

La chaîne d’approvisionnement entre dans le champ : le risque ne peut plus être considéré comme transféré au sous-traitant. Le 2 novembre, la supervision des chambres froides de trois sites de l’EFS a été compromise via un prestataire (lire notre article sur la cyberattaque de l’EFS). En octobre, selon Unit 42 (Palo Alto Networks), environ 700 supermarchés avaient vu leurs systèmes de froid déréglés à distance (voir la cyberattaque des frigos de supermarchés).

Des amendes jusqu’à 2 % du chiffre d’affaires

Les plafonds atteignent 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Dans la version actuelle, l’État et les collectivités échappent aux amendes, mais pas aux obligations de sécurité.

Chiffrement et échéance 2028 : les points encore ouverts

Le débat le plus vif est franco-français. L’article 16 bis, ajouté au Sénat, interdirait d’imposer des portes dérobées aux fournisseurs de chiffrement. Le gouvernement veut le supprimer (amendement n° 358), jugeant qu’une interdiction trop large gênerait des techniques d’enquête autorisées, rapporte InformatiqueNews.

Côté calendrier, aucune obligation ne s’applique avant la promulgation et les décrets d’application. Auditionné le 1er octobre, le directeur général de l’ANSSI, Vincent Strubel, a indiqué viser une conformité complète des entités d’ici fin 2028, après une phase d’accompagnement. Selon Silicon, il a aussi mis en garde contre toute surtransposition.

Les réflexes à adopter dès maintenant

Sans attendre le vote final, prenez de l’avance si votre organisation peut entrer dans le périmètre.

• Vérifiez votre statut : secteur, effectif et chiffre d’affaires, via l’auto-évaluation proposée par l’ANSSI.
• Recensez vos prestataires et leurs accès : télémaintenance, VPN, comptes partagés. Des accès distants sécurisés et nominatifs réduisent la surface d’attaque.
• Segmentez vos réseaux : isoler GTB, caméras, téléphonie et postes limite la propagation, rôle d’une architecture réseau d’entreprise bien conçue.
• Écrivez votre procédure d’incident : qui alerte, qui décide, comment tenir le délai de 24 heures.
• Testez sauvegardes et plan de continuité : un plan jamais éprouvé tient rarement le jour J.
• Appliquez les correctifs, standards téléphoniques compris, comme l’a rappelé la récente faille Mitel signalée par le CERT-FR.

Côté communes, un accompagnement cybersécurité des collectivités aide à prioriser ; côté PME, un audit de sécurité informatique mesure les écarts.

Conclusion

La loi Résilience NIS 2 fait passer la cybersécurité réglementaire d’environ 500 entités à plusieurs milliers d’entreprises et de collectivités. Le texte peut encore bouger, mais ses grandes lignes sont connues. L’ANSSI vise fin 2028 : mieux vaut lancer vos chantiers maintenant que les découvrir lors d’un premier contrôle.

Source : InformatiqueNews – NIS 2 : ce que le projet de loi Résilience va vraiment changer pour les entreprises (9 novembre 2026)
Voir aussi : IT Social – NIS 2 en séance au Parlement, la loi Résilience oblige à repenser la continuité avec les tiers (9 novembre 2026)
Voir aussi : Silicon – NIS 2, le projet de loi de retour le 9 novembre (5 novembre 2026)
Voir aussi : Incyber News – Cybersécurité : le projet de loi Résilience arrive à l’Assemblée nationale (9 novembre 2026)