Le 6 octobre 2026, la conférence des présidents de l’Assemblée nationale a retiré de l’ordre du jour des 7 et 9 octobre le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, le texte qui doit transposer la directive NIS2 en droit français. Aucune nouvelle date n’est fixée : le rapporteur, Éric Bothorel, espère une réinscription « d’ici quinze jours ou trois semaines ». La date limite de transposition fixée par l’Union européenne était le 17 octobre 2024.
Pour un DSI ou un dirigeant, la question n’est pas de savoir quand le texte sera voté, mais ce qu’il faut faire en attendant. Le report ne change ni le contenu technique des obligations, ni le temps nécessaire pour s’y conformer.
Où en est la loi Résilience ?
Le calendrier, tel que retracé par la presse spécialisée :
- 15 octobre 2024 : dépôt du projet de loi au Sénat, en procédure accélérée. Il transpose trois textes européens : NIS2, la directive REC (résilience des entités critiques) et le volet directive de DORA.
- 12 mars 2025 : adoption en première lecture au Sénat.
- 10 septembre 2025 : dépôt du texte de la commission spéciale à l’Assemblée nationale.
- 17 mars 2026 : l’ANSSI met à disposition le Référentiel Cyber France (ReCyF), en version de travail.
- 6 octobre 2026 : nouveau report de l’examen en séance publique, sans date.
Officiellement, le report s’explique par un calendrier parlementaire chargé. Plusieurs observateurs pointent aussi l’article 16 bis, ajouté au Sénat, qui interdit d’imposer aux fournisseurs de chiffrement un affaiblissement volontaire de la sécurité de leurs solutions : un sujet politiquement sensible. Conséquence pratique : à ce jour, les obligations NIS2 ne s’appliquent pas encore en droit français, et les modalités nationales (seuils précis, calendrier, sanctions effectives) dépendront du texte promulgué et de ses décrets.
Ce qui ne bougera pas : le socle de la directive
Le texte français peut encore évoluer, mais il transpose une directive dont les exigences de fond sont déjà connues. La directive (UE) 2022/2555 :
- couvre 18 secteurs : 11 secteurs « hautement critiques » (énergie, transports, santé, eau, infrastructures numériques, administration publique, etc.) et 7 « autres secteurs critiques » (gestion des déchets, industrie manufacturière, alimentaire, fournisseurs numériques, etc.) ;
- distingue entités essentielles et entités importantes, en fonction du secteur et de la taille (en règle générale à partir des entreprises moyennes) ;
- impose, à l’article 21, un ensemble de mesures de gestion des risques ;
- fixe, à l’article 23, un circuit de notification des incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois ;
- rend les organes de direction responsables de l’approbation et du suivi de ces mesures (article 20), avec une obligation de formation ;
- prévoit des plafonds d’amende d’au moins 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 M€ ou 1,4 % pour les entités importantes (article 34).
L’ANSSI indique que NIS2 concernera des milliers d’entités en France, dont beaucoup n’ont jamais été régulées en matière de cybersécurité. Pour savoir si votre organisation est concernée, le simulateur « Suis-je concerné ? » de la plateforme MonEspaceNIS2 est le point de départ.
Le ReCyF : votre feuille de route en attendant la loi
Le Référentiel Cyber France publié par l’ANSSI liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Il correspond au référentiel prévu par l’article 14 du projet de loi. Il n’est pas obligatoire par défaut, mais une entité qui l’applique pourra s’en prévaloir lors d’un contrôle de l’ANSSI. C’est donc, aujourd’hui, la meilleure base de travail disponible : le report du vote ne le rend pas caduc.
Mon conseil : ne pas attendre la version définitive pour commencer. Les mesures les plus structurantes (segmentation, gestion des accès, sauvegardes, journalisation) sont celles qui demandent le plus de temps, et elles figurent dans tous les référentiels, ReCyF comme ISO 27001.
Six chantiers techniques à lancer dès maintenant
Les dix mesures de l’article 21 se traduisent, côté infrastructure, en chantiers très concrets. Ce sont ceux que je retrouve systématiquement lors d’un audit :
1. Cartographier le système d’information
Impossible de sécuriser ce qu’on ne connaît pas. Inventaire des actifs (serveurs, VM, équipements réseau, applications, comptes à privilèges), des flux entre zones et des dépendances externes. C’est le prérequis de l’analyse de risques exigée par la directive.
2. Segmenter le réseau
Un réseau « à plat » transforme chaque poste compromis en point d’entrée vers tout le SI. Une segmentation par VLAN et par niveau de sensibilité, avec un filtrage explicite des flux entre zones, isole l’administration, la production et les sauvegardes. C’est le fondement d’une architecture Zero Trust.
3. Maîtriser les accès et l’administration
L’article 21 cite expressément l’authentification multifacteur, le contrôle d’accès et la gestion des actifs. En pratique : MFA sur les accès distants et les comptes à privilèges, poste ou bastion d’administration dédié, revue des comptes, suppression des comptes génériques.
4. Rendre les sauvegardes résistantes aux rançongiciels
La continuité d’activité, la gestion des sauvegardes et la reprise après sinistre sont des exigences explicites. Une sauvegarde joignable avec les mêmes identifiants que la production n’en est pas une : isolement réseau, copie hors ligne ou immuable, et surtout tests de restauration réguliers et documentés.
5. Journaliser et préparer la notification d’incident
Notifier une alerte précoce sous 24 heures suppose de détecter l’incident et d’en mesurer l’impact rapidement. Cela passe par une journalisation centralisée (pare-feu, authentification, hyperviseurs, annuaire), une durée de conservation définie et une procédure écrite : qui qualifie l’incident, qui décide, qui notifie. Si vous notifiez déjà des violations de données au titre de l’article 33 du RGPD, partez de ce processus existant.
6. Durcir et maintenir à jour
Gestion des vulnérabilités, application des correctifs, configurations durcies selon les guides de l’ANSSI : ces mesures relèvent de « l’hygiène informatique de base » que la directive exige. Les hyperviseurs et équipements réseau en fin de support sont un point d’attention fréquent, notamment dans les environnements VMware dont le renouvellement est remis en question : une migration de plateforme est aussi l’occasion de repartir sur une architecture durcie.
Gouvernance et formation : l’angle mort fréquent
NIS2 engage aussi la direction, qui doit approuver les mesures, en suivre la mise en œuvre et se former. Côté équipes, la directive mentionne explicitement la formation à la cybersécurité. Désigner dès maintenant un responsable au niveau de la direction et planifier une formation adaptée des équipes IT fait partie des actions qui ne dépendent d’aucun décret.
Par où commencer, concrètement
- Vérifier votre éligibilité avec le simulateur MonEspaceNIS2.
- Télécharger le ReCyF et faire un premier écart entre ses mesures et votre existant.
- Lancer un audit d’infrastructure pour objectiver cet écart sur la partie technique (réseau, accès, sauvegardes, journalisation).
- Prioriser les chantiers longs : segmentation et sauvegardes avant tout.
- Suivre l’ordre du jour de l’Assemblée nationale pour ajuster le calendrier une fois la loi promulguée.
Le report de la loi Résilience laisse du temps. C’est une bonne nouvelle uniquement pour les organisations qui l’utilisent.