En bref. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose la directive NIS 2 en droit français, est examiné en séance publique à l'Assemblée nationale du 9 au 13 novembre 2026. Le 10 novembre, les députés ont adopté l'amendement du Gouvernement qui supprime l'article 16 bis sur le chiffrement. Le calendrier final dépend encore d'une éventuelle commission mixte paritaire et des décrets d'application, mais le contenu des obligations est connu : il figure dans la directive elle-même, et c'est sur cette base qu'une organisation concernée peut se préparer dès maintenant.
Ce qui s'est passé
La directive (UE) 2022/2555, dite NIS 2 (pour Network and Information Security), est entrée en vigueur le 16 janvier 2023. Son article 41 fixait aux États membres le 17 octobre 2024 pour adopter les dispositions nationales, applicables à partir du 18 octobre 2024.
En France, le texte de transposition suit le parcours suivant, tel que le retrace Le Monde Informatique le 10 novembre 2026 :
- présentation en Conseil des ministres le 15 octobre 2024 ;
- adoption par le Sénat en mars 2025 ;
- adoption à l'unanimité par la commission spéciale de l'Assemblée nationale en septembre 2025 ;
- examen en séance publique à l'Assemblée nationale du 9 au 13 novembre 2026, après plusieurs reports.
Le même article indique que, même si les députés adoptent le texte cette semaine, une commission mixte paritaire (CMP, réunion de députés et de sénateurs chargée de rapprocher les deux versions) pourrait encore être convoquée, avant la publication des décrets d'application qui préciseront les modalités concrètes.
L'article 16 bis. Introduit au Sénat, cet article prévoyait qu'il ne peut être imposé aux fournisseurs de services de chiffrement « l'intégration de dispositifs techniques visant à affaiblir volontairement la sécurité » des systèmes, comme des clés de déchiffrement maîtresses. Le Gouvernement en a demandé la suppression par l'amendement n° 358, au motif qu'il entraverait l'action des services judiciaires et de renseignement, et qu'il s'agirait d'un cavalier législatif, c'est-à-dire d'une disposition sans lien suffisant avec l'objet du texte. La fiche de l'amendement sur le site de l'Assemblée nationale indique qu'il a été adopté en séance publique le mardi 10 novembre 2026. LeMagIT rapporte que les députés Éric Bothorel et Philippe Latombe avaient eux aussi déposé ou soutenu la suppression.
LeMagIT mentionne aussi un amendement de Philippe Latombe visant à protéger, sous conditions, la collecte et l'analyse de données rendues publiques à la suite d'une infraction, c'est-à-dire l'examen de données volées puis divulguées. Le texte définitif dépendra de la suite de la navette ; ce point intéresse directement les équipes de veille et de renseignement sur la menace.
Ce que le texte change en pratique
Le Monde Informatique résume le changement d'échelle : le nombre de secteurs couverts passe de 6 à 18, et le nombre d'organisations concernées en France de quelques centaines à près de 15 000, réparties entre entités essentielles et entités importantes. Le périmètre englobe notamment l'énergie, les transports, la santé et les télécommunications, ainsi que les régions, les départements et les communes de plus de 30 000 habitants.
Le critère de taille vient de la directive (article 2) : sont visées les entités d'un type listé aux annexes I ou II qui sont au moins des entreprises moyennes au sens de la recommandation européenne 2003/361/CE. Certaines entités sont couvertes quelle que soit leur taille, comme les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS (le système qui traduit les noms de domaine en adresses).
La distinction essentielle / importante est définie à l'article 3 ; elle fixe notamment le plafond des amendes (article 34).
Les obligations, article par article
Les obligations ci-dessous sont celles de la directive. La loi française les reprend en les adaptant ; les décrets préciseront les modalités. Le texte européen donne déjà la structure de la mise en conformité.
Article 20 : gouvernance. Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables en cas de violation de l'article 21. Leurs membres sont tenus de suivre une formation.
Article 21 : mesures de gestion des risques. Les mesures sont « appropriées et proportionnées », fondées sur une approche « tous risques », et comprennent au moins :
- a) les politiques d'analyse des risques et de sécurité des systèmes d'information ;
- b) la gestion des incidents ;
- c) la continuité des activités (sauvegardes, reprise, gestion de crise) ;
- d) la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs ;
- e) la sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités ;
- f) des procédures pour évaluer l'efficacité des mesures ;
- g) l'hygiène informatique de base et la formation ;
- h) des politiques relatives à la cryptographie et, le cas échéant, au chiffrement ;
- i) la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
- j) l'authentification à plusieurs facteurs ou continue, et des communications sécurisées, selon les besoins.
Article 23 : notification des incidents importants. Un incident est important s'il cause ou peut causer une perturbation opérationnelle grave ou des pertes financières, ou des dommages considérables à d'autres personnes. L'entité transmet au CSIRT (l'équipe nationale de réponse aux incidents) ou à l'autorité compétente :
- une alerte précoce dans les 24 heures après avoir eu connaissance de l'incident ;
- une notification d'incident dans les 72 heures, avec une évaluation initiale ;
- un rapport intermédiaire sur demande ;
- un rapport final au plus tard un mois après la notification (la directive prévoit un rapport d'avancement si l'incident est encore en cours à cette date).
Article 34 : sanctions. En cas de violation des articles 21 ou 23, le plafond des amendes est d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et d'au moins 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. La directive laisse chaque État décider si des amendes peuvent viser l'administration publique ; selon Le Monde Informatique, le projet français n'applique pas ces sanctions financières à l'État ni aux collectivités territoriales.
Qui est concerné
- Les entreprises moyennes et grandes d'un secteur listé aux annexes de la directive, y compris celles qui n'étaient pas opérateurs de services essentiels sous la précédente directive (UE) 2016/1148, dite NIS 1.
- Les collectivités visées par le texte français : régions, départements, communes de plus de 30 000 habitants.
- Les fournisseurs de ces entités, indirectement : l'article 21, point d), conduit leurs clients à leur demander des garanties de sécurité, et l'article 21, paragraphe 3, demande de tenir compte des pratiques de développement sécurisé des fournisseurs.
- Les éditeurs de chiffrement et les messageries, pour qui le sort de l'article 16 bis reste à suivre jusqu'au texte définitif.
Se préparer sans attendre les décrets
Les décrets préciseront les modalités, pas le principe des obligations. Une méthode en cinq étapes permet d'avancer dès maintenant.
1. Qualifier votre statut. Croisez votre activité avec les annexes I et II de la directive, puis votre taille avec les seuils de la recommandation 2003/361/CE. Documentez la conclusion et ses hypothèses : c'est la base de toute la suite de la démarche. Si vous êtes à la limite, traitez-vous comme concerné.
2. Faire valider par la direction. L'article 20 met l'organe de direction en première ligne. Inscrivez à l'ordre du jour d'un comité de direction l'approbation d'une feuille de route et programmez la formation des dirigeants. Gardez une trace écrite : procès-verbal, plan de formation, émargement.
3. Mesurer l'écart sur les dix points de l'article 21. Pour chaque point, notez la mesure existante, sa preuve et son niveau d'application. Trois points demandent souvent le plus de travail : la chaîne d'approvisionnement (point d), l'évaluation de l'efficacité des mesures (point f) et l'authentification à plusieurs facteurs sur les accès d'administration (point j).
4. Tester la chaîne de notification. Les délais de 24 heures et 72 heures courent à partir de la prise de connaissance de l'incident. Rédigez une procédure qui dit qui qualifie l'incident comme important, qui signe l'alerte précoce et par quel canal elle part. Faites un exercice sur table avec un scénario réaliste et chronométrez la production de l'alerte.
5. Revoir les contrats fournisseurs. Ajoutez une obligation de notification d'incident au client dans un délai compatible avec vos propres 24 heures, et un droit d'obtenir les informations nécessaires à votre rapport final.
Un point hors texte : la cryptographie post-quantique. Le Monde Informatique note que le projet ne prévoit pas de disposition spécifique, alors que la feuille de route européenne recommande de commencer la migration d'ici fin 2026 et de protéger les usages les plus sensibles au plus tard en 2030. L'inventaire des usages cryptographiques sert à la fois cette transition et le point h) de l'article 21.
Comment vérifier que vous êtes prêt
- Le statut essentiel ou important est documenté et validé par la direction.
- Un procès-verbal de direction approuve les mesures de l'article 21.
- Chaque point a) à j) a une mesure, un responsable et une preuve.
- Un exercice de notification a produit une alerte précoce en moins de 24 heures.
- Les contrats des fournisseurs critiques contiennent une clause de notification d'incident.
FAQ
La loi Résilience est-elle adoptée ?
Au 12 novembre 2026, le texte est en cours d'examen en séance publique à l'Assemblée nationale, prévu jusqu'au 13 novembre. Une commission mixte paritaire peut ensuite être convoquée, puis viendront les décrets d'application.
Mon entreprise est-elle concernée par NIS 2 ?
Si elle exerce une activité listée aux annexes I ou II de la directive et qu'elle est au moins une entreprise moyenne au sens de la recommandation 2003/361/CE, très probablement. Certaines activités, comme les services DNS ou les services de confiance, sont couvertes quelle que soit la taille.
Quels sont les délais de notification d'un incident sous NIS 2 ?
Alerte précoce sous 24 heures, notification d'incident sous 72 heures, rapport final au plus tard un mois après la notification (article 23, paragraphe 4).
Que prévoyait l'article 16 bis sur le chiffrement ?
Il interdisait d'imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité, comme des clés maîtresses. L'Assemblée a adopté le 10 novembre l'amendement du Gouvernement qui le supprime ; la version finale dépendra de la suite de la navette.
Sources
- Le Monde Informatique, NIS 2 : la loi Résilience arrive enfin à l'Assemblée, 10 novembre 2026 : https://www.lemondeinformatique.fr/cybersecurite-conformite/nis-2-la-loi-resilience-arrive-enfin-a-l-assemblee
- LeMagIT, NIS 2 est enfin arrivé à l'Assemblée nationale, 10 novembre 2026 : https://www.lemagit.fr/actualites/366654660/NIS-2-est-enfin-arrive-a-lAssemblee
- Assemblée nationale, amendement n° 358 du Gouvernement (article 16 bis), adopté le 10 novembre 2026 : https://www.assemblee-nationale.fr/dyn/17/amendements/1779/AN/358
- Directive (UE) 2022/2555 (NIS 2), texte officiel en français : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32022L2555
Pour qualifier votre statut et bâtir la feuille de route de l'article 21, WeeSec accompagne les organisations concernées sur NIS 2.