NIS2 : la date n’est pas le sujet

« On verra quand ce sera voté. »

Une PME de cent quarante personnes, transformation agroalimentaire, un système d’information tenu par deux internes et un prestataire historique. Le sujet NIS2 était arrivé chez elle par un courrier de son plus gros client, qui lui demandait de justifier de sa conformité sous quatre-vingt-dix jours. Le dirigeant avait rangé le courrier dans la pile « un jour peut-être ».

C’était en juin. La date n’existe toujours pas, et ce n’est pas ce qui devrait l’occuper. Cinq mois plus tôt, la CNIL avait infligé cinq millions d’euros à France Travail pour trois manquements de sécurité, sans attendre NIS2, sur le fondement d’un texte en vigueur depuis 2018.

Une loi arrêtée à un vote de l’hémicycle

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé le 15 octobre 2024, avec engagement de la procédure accélérée. Un seul véhicule pour trois textes européens : la directive REC sur la résilience des entités critiques, la directive NIS2, et le règlement DORA pour le secteur financier.

Le Sénat l’a adopté en première lecture le 12 mars 2025. Le texte a été transmis à l’Assemblée nationale le lendemain. La commission spéciale a déposé son rapport et adopté son texte le 10 septembre 2025.

Depuis, plus rien. Un an. Le dossier législatif ne comporte aucun événement postérieur à cette date : la séance publique n’a jamais eu lieu. Elle n’était pas inscrite à l’ordre du jour de la session extraordinaire ouverte le 1er juillet dernier, et elle est désormais espérée à la rentrée parlementaire de septembre. Au plus tôt.

Pendant ce temps, l’échéance européenne, elle, est passée depuis longtemps. La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. La Commission a envoyé sa mise en demeure le 28 novembre 2024, son avis motivé le 7 mai 2025, puis a saisi la Cour de justice de l’Union européenne le 8 juillet 2026, en demandant des sanctions financières contre la France : une somme forfaitaire et une astreinte journalière jusqu’à notification de la transposition complète. La France n’est pas seule dans cette affaire, l’Irlande, l’Espagne et les Pays-Bas y sont aussi. Mais ce n’est pas une consolation utile.

Il faut nommer l’ironie sans en faire un procès. Les administrations publiques comptent parmi les secteurs que NIS2 régulera, et l’année leur a été rude : DGFiP, France Travail, Éducation nationale, France Titres, service-public.fr. On peut lire ce retard comme la preuve que le sujet n’est pas si pressant. On peut aussi le lire dans l’autre sens, que je préfère : la lenteur de la transposition n’est pas un argument pour attendre, c’est le meilleur argument pour ne pas attendre.

Le référentiel, lui, est sorti

Voilà le fait que presque aucun dirigeant que je rencontre n’a en tête : l’administration a publié les exigences avant que le législateur ne publie la loi.

Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France, le ReCyF. Version 2.5, quarante-sept pages, chaque page tamponnée « document de travail » parce que la transposition n’est pas achevée. Il contient vingt objectifs de sécurité.

Les objectifs 1 à 15 s’appliquent aux entités importantes comme aux entités essentielles. Les objectifs 16 à 20 sont réservés aux entités essentielles, « en application du principe de proportionnalité ». Le document distingue ensuite deux niveaux avec une clarté qu’on aimerait voir plus souvent dans un texte réglementaire. L’objectif de sécurité répond à la question « Quoi ? » et son atteinte est obligatoire. Les moyens acceptables de conformité répondent à la question « Comment ? », ne sont pas d’application obligatoire, et servent à démontrer l’atteinte de l’objectif en cas de contrôle.

Lisez la liste et vous verrez qu’il n’y a aucune surprise. Recensement des systèmes d’information. Cadre de gouvernance de la sécurité numérique. Maîtrise de l’écosystème. Sécurisation des accès distants. Identification et réaction aux incidents. Continuité et reprise d’activité. Exercices, tests et entraînements. Ce n’est pas un programme de recherche, c’est une liste de courses.

Ce que ça donne quand ces objectifs manquent

Le 22 janvier 2026, la CNIL a sanctionné France Travail de cinq millions d’euros après la compromission de son système d’information, assortie d’une injonction sous astreinte de cinq mille euros par jour de retard. Elle a retenu trois manquements. Des modalités d’authentification insuffisamment robustes pour les conseillers d’un organisme partenaire accédant au système. Une insuffisance de mesures de journalisation permettant de détecter les comportements anormaux. Des habilitations d’accès définies de manière trop large.

Reprenez la liste du ReCyF et vous les retrouvez un par un. Les accès distants et la gestion des identités, objectifs 8 et 10. L’identification et la réaction aux incidents, objectif 12. Les habilitations, objectif 10 de nouveau.

Or cette sanction n’a rien à voir avec NIS2. Elle a été prononcée sur le fondement de l’article 32 du RGPD, applicable depuis 2018, qui impose au responsable de traitement d’assurer la sécurité des données. Le référentiel qui n’est pas encore obligatoire décrit donc les mêmes défaillances qu’un texte déjà en vigueur sanctionne déjà.

C’est ce que je voudrais faire entendre à mon dirigeant de l’agroalimentaire. Attendre NIS2 pour regarder ses habilitations, ce n’est pas gagner du temps. C’est attendre la deuxième convocation en prenant le risque de l’amende.

Ce qui prend du temps n’est pas le vote

Prenez l’objectif 1, le recensement des systèmes d’information. Dans les PME que j’accompagne, personne n’en dispose au niveau attendu. Il existe un tableur à jour à soixante-dix pour cent, un prestataire qui connaît le reste de tête, et trois applications métier que le service qui les utilise a achetées seul. Reconstituer cet inventaire peut prendre des semaines, et il faut ensuite le tenir.

L’objectif 2 demande une gouvernance, donc une personne nommée, un rythme de revue, des décisions tracées. L’objectif 13 demande une continuité d’activité, donc des sauvegardes dont la restauration a été testée pour de bon. L’objectif 15 demande des exercices. Aucun de ces chantiers ne se réalise d’un coup de baguette magique.

Faites l’addition. Si le texte passe cet automne, les décrets d’application suivront, avec leurs propres délais de mise en conformité. Le dirigeant qui commencera le jour de la promulgation commencera en retard, non pas à cause de l’administration, mais à cause de la durée réelle de son propre chantier. Le calendrier qui compte n’est pas celui de l’Assemblée nationale, c’est le sien.

C’est exactement la lecture que je proposais pour le RGPD et l’AI Act : un texte réglementaire n’est pas un mur devant lequel on attend, c’est une liste de questions opérationnelles auxquelles on peut commencer à répondre tout de suite. Et je ne parle même pas des nouveaux projets arrivés entre-temps, sur lesquels cette approche permettrait de faire différemment dès la conception. De faire du secure by design.

Le périmètre est plus large qu’on ne le croit

Sous NIS1 et le dispositif de sécurité des activités d’importance vitale, environ cinq cents entités étaient régulées en France. Avec NIS2, elles seront quelque quinze mille, réparties sur dix-huit secteurs. Le seuil est bas : une entité importante, c’est au moins cinquante salariés, ou un chiffre d’affaires et un bilan annuels supérieurs à dix millions d’euros. Beaucoup de dirigeants de PME se croient hors sujet parce qu’ils ne font ni de l’énergie ni de la santé. Ils devraient vérifier.

Vient ensuite l’autre objection, celle que j’entends le plus souvent : « nous n’avons pas de données sensibles, juste des contacts clients ». C’est une erreur d’appréciation, et elle est compréhensible, parce qu’on juge la donnée isolément alors que personne ne l’attaque isolément. Une donnée devient sensible au croisement. Un fichier de contacts, un organigramme et un calendrier de livraisons suffisent à monter une fraude au président que le comptable ne verra pas venir. Ce qui sort de chez vous n’a pas besoin d’être confidentiel pour être utile à quelqu’un qui sait recouper les datas.

Et il y a la porte de service, celle qui a fait entrer NIS2 chez mon dirigeant de l’agroalimentaire : l’objectif 3, maîtrise de l’écosystème. Les entités régulées doivent maîtriser leurs fournisseurs. Une entreprise sous le seuil qui fournit une entité essentielle recevra les exigences par contrat, sans jamais être régulée directement. C’est de cette façon que la plupart des PME découvriront le sujet, et par le canal le moins agréable qui soit, celui d’un client qui pose une condition avec une deadline très courte.

Vu depuis l’autre bout du problème, c’est une occasion. Un fournisseur capable de répondre proprement à cette demande vient de gagner un argument commercial que ses concurrents n’ont pas. J’ai vu cette bascule se produire deux fois cette année, chez des entreprises qui avaient traité la demande comme une opportunité et non comme une corvée.

Ce que le texte met sur le bureau du dirigeant

Le véritable changement apporté par le projet de loi ne réside pas dans les pénalités financières. Il se trouve dans une phrase votée au Sénat : les organes de direction ont l’obligation d’approuver et de superviser le pilotage de la cybersécurité, tout en se formant aux risques numériques. Comme le souligne le rapport sénatorial, le but est clair : ancrer définitivement ces questions dans le champ de compétence et de responsabilité des décideurs.

Autrement dit, la cybersécurité cesse d’être un sujet qu’on délègue au service informatique en espérant ne plus en entendre parler. Elle devient un point d’ordre du jour du comité de direction, avec un dirigeant qui approuve, qui supervise, et qui se forme. J’ai passé assez de temps à expliquer que le rôle d’un DSI n’est pas de décider à la place des autres pour trouver ce déplacement sain. C’est la bonne personne au bon endroit.

Les sanctions existent, bien sûr. Le projet de loi prévoit une commission des sanctions dédiée et des plafonds de dix millions d’euros ou deux pour cent du chiffre d’affaires, plafonds que le rapport sénatorial relève comme plus élevés que dans d’autres États membres. Je les mentionne parce qu’ils sont réels, pas pour faire peur. La peur n’est pas un bon moteur.

Par où je commence

Savoir si on est concerné, en une heure. L’ANSSI met à disposition un service en ligne qui permet de tester son assujettissement. La réponse est souvent « pas directement régulé, mais concerné par contrat ».

Faire l’objectif 1 avant tout le reste. Le recensement des systèmes d’information conditionne les dix-neuf autres objectifs : on ne protège pas, on ne supervise pas et on ne restaure pas ce qu’on n’a pas inventorié. C’est aussi le seul livrable qui garde toute sa valeur si la loi ne passait jamais.

Nommer quelqu’un et inscrire le sujet à l’ordre du jour. L’objectif 2 ne demande pas un RSSI à temps plein, il demande de la gouvernance. Un nom, un rythme, des décisions écrites. Cela ne coûte rien et débloque le reste, y compris la capacité à répondre à un client qui demande des garanties.

Lire ses contrats dans les deux sens. Ce que vos clients vont exiger de vous, et ce que vous devez exiger de vos propres prestataires. L’objectif 3 se joue dans les deux directions, et la seconde est celle qu’on oublie.

Ce qui reste vrai si la loi ne passe jamais

Retirez le tampon réglementaire des vingt objectifs. Il reste un inventaire tenu, une gouvernance nommée, des accès distants sécurisés, des sauvegardes testées, des journaux exploitables, un plan de crise répété. Rien qui ne soit de l’hygiène ordinaire pour une entreprise qui veut continuer à fonctionner la semaine prochaine si l’attaque tombe ce week-end.

C’est ce qui rend l’attente absurde. On n’attend pas un texte pour savoir ce qu’il faut faire, on l’attend pour savoir quand on devra le prouver. Ce sont deux questions différentes, et une seule des deux dépend de l’Assemblée nationale.

Le texte finira par passer, les décrets suivront avec leurs délais, et il y aura une date. Elle ne changera pas la nature du travail.

Ce n’est pas une conformité que je fais obtenir à mes clients. C’est une entreprise qui tient debout le jour où l’attaque arrive.

Les plans ne valent rien, mais la planification est primordiale.

Dwight D. Eisenhower, allocution devant la National Defense Executive Reserve Conference, 14 novembre 1957. Il présentait la formule comme une phrase entendue à l’armée bien des années plus tôt, pas comme la sienne.