La directive NIS 2 devait être transposée dans les droits nationaux au plus tard le 17 octobre 2024. Près de deux ans plus tard, la France n’a toujours pas achevé sa transposition. Le retard n’est désormais plus seulement constaté : le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, ainsi que contre l’Irlande, l’Espagne et les Pays-Bas.
Dans le même temps, l’ANSSI demande depuis plusieurs mois aux futures entités concernées de ne pas attendre et de commencer leur préparation. Elle a publié un référentiel, développé des outils et organise progressivement le futur dispositif.
La situation française est donc devenue singulière : les exigences sont largement connues, la préparation opérationnelle est engagée, mais le cadre juridique permettant leur pleine application n’est toujours pas achevé.
Alors, où en est réellement NIS 2 en France ?
Une échéance dépassée depuis octobre 2024
Adoptée en décembre 2022, la directive NIS 2 devait être transposée par les États membres au plus tard le 17 octobre 2024. Son ambition est considérable. Elle élargit fortement le périmètre de la première directive NIS et impose aux organisations concernées des mesures de gestion des risques de cybersécurité, des obligations de notification des incidents ainsi qu’une implication renforcée de leurs organes de direction.
En France, sa transposition est intégrée au projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi « Résilience ». Ce texte transpose également la directive européenne relative à la résilience des entités critiques et comporte certaines adaptations relatives à DORA.
Le projet de loi a été présenté en Conseil des ministres le 15 octobre 2024, soit deux jours avant la date limite européenne. Le Sénat l’a adopté en première lecture le 12 mars 2025. Il a ensuite été transmis à l’Assemblée nationale, où une commission spéciale l’a examiné et adopté en septembre 2025. Depuis, son parcours parlementaire n’a pas abouti à une promulgation. Le dossier de l’Assemblée nationale demeure au stade de la première lecture.
Le retard français ne se compte donc désormais plus en semaines ou en mois. Il approche de deux années.
La Commission européenne a changé de ton
La France n’est pas le seul État membre dans cette situation. Le 8 juillet 2026, la Commission européenne a annoncé saisir la Cour de justice de l’Union européenne contre quatre pays : la France, l’Irlande, l’Espagne et les Pays-Bas, considérant qu’ils n’avaient toujours pas notifié une transposition complète de NIS 2.
Cette décision constitue l’aboutissement d’une procédure progressive. La Commission avait adressé une lettre de mise en demeure aux États concernés le 28 novembre 2024, puis un avis motivé le 7 mai 2025. Faute de transposition complète, elle est désormais passée au stade contentieux.
La France n’est donc pas « condamnée » à ce stade : la Cour doit encore se prononcer. Mais la Commission lui demande d’imposer des sanctions financières comprenant une somme forfaitaire ainsi qu’une astreinte journalière jusqu’à la notification d’une transposition complète.
Le changement est important, le retard n’est plus seulement une anomalie de calendrier législatif français. Il devient un contentieux européen.
Un paradoxe : la préparation de NIS 2 avance malgré tout
Pendant que la transposition législative stagne, l’ANSSI prépare son application. L’Agence invite explicitement les futures entités essentielles et importantes à commencer dès maintenant une démarche de sécurisation cohérente avec NIS 2.
Depuis le 17 mars 2026, elle met notamment à leur disposition le Référentiel Cyber France (ReCyF). Celui-ci décrit les mesures recommandées par l’ANSSI pour atteindre les objectifs de sécurité prévus par NIS 2. Un outil permet également de comparer ce référentiel avec d’autres normes et cadres de sécurité déjà utilisés par les organisations.
Mais le détail est révélateur : l’ANSSI qualifie elle-même le ReCyF de « document de travail ». Et pour cause. Le référentiel correspond à celui prévu par l’article 14 du projet de loi Résilience. Son articulation juridique définitive dépend donc encore de l’adoption du texte.
La France se retrouve ainsi dans une situation inhabituelle : l’architecture opérationnelle de la réglementation est progressivement construite alors que son socle législatif définitif manque toujours.
Anticiper NIS 2 n’est pas être conforme à NIS 2
Cette distinction est probablement la plus importante pour les entreprises. Il est parfaitement possible — et souhaitable — d’anticiper NIS 2.
Les principales orientations sont connues : gestion des risques, traitement des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, contrôle des accès, cryptographie, gouvernance ou encore sensibilisation.
Une organisation peut donc dès maintenant évaluer son niveau de maturité, identifier ses écarts et engager les mesures de sécurité qui seront de toute façon utiles à sa résilience.
Mais il existe une différence entre : se préparer à NIS 2 et être conforme au dispositif français de transposition de NIS 2. Le second suppose que le dispositif existe juridiquement dans sa forme définitive.
L’ANSSI l’indique elle-même dans sa documentation : NIS 2 entrera en vigueur en France lorsque l’ensemble des textes de transposition — loi, décrets et arrêtés — auront été adoptés. Elle rappelle également que le projet de loi reste susceptible d’être modifié au cours des travaux parlementaires.
C’est pourquoi affirmer aujourd’hui qu’une entreprise française serait « certifiée conforme NIS 2 » ou aurait définitivement satisfait à l’ensemble des exigences nationales serait pour le moins prématuré. Elle peut être prête, elle peut avoir aligné ses pratiques sur la directive et les travaux de l’ANSSI, elle ne peut pas faire disparaître par anticipation l’incertitude liée à un dispositif réglementaire qui n’est pas encore achevé.
L’État demande pourtant aux entreprises de ne pas attendre
Cette situation a produit, au printemps 2026, un échange parlementaire assez révélateur. À la suite d’une cyberattaque affectant Cegedim Santé, le Gouvernement avait demandé à l’entreprise d’accélérer sa mise en conformité avec NIS 2.
Le député Philippe Latombe a alors relevé devant l’Assemblée nationale le paradoxe consistant, pour l’État, à demander à une entreprise de se conformer à une directive qu’il n’avait lui-même toujours pas transposée.
La réponse gouvernementale mérite néanmoins attention. Le Gouvernement a distingué la transposition juridique de la préparation opérationnelle : certaines obligations restant à introduire en droit français, mais une mise en conformité pouvant et devant être anticipée.
Cette position est cohérente du point de vue de la gestion du risque. Une entreprise qui sait qu’elle entrera probablement dans le périmètre de NIS 2 aurait peu d’intérêt à attendre la publication du dernier arrêté pour commencer à travailler sur ses accès privilégiés, sa gestion des vulnérabilités ou son plan de continuité. Mais cette situation ne peut devenir permanente car l’incertitude réglementaire finit elle-même par produire des effets opérationnels.
Le retard commence à freiner les investissements cyber
C’est probablement la conséquence la moins visible du retard français. Lors d’une audition au Sénat en juillet 2026, le directeur général de l’ANSSI, Vincent Strubel, a évoqué un futur périmètre d’environ 20 000 entités en France. Il a surtout expliqué que la non-transposition de NIS 2 commençait à produire un effet économique concret.
Selon lui, malgré les efforts de l’ANSSI pour convaincre les organisations de ne pas attendre, certaines futures entités assujetties retardent leurs investissements tant que la loi n’est pas adoptée. Cette attente affecte également les acteurs français de la cybersécurité qui auraient vocation à accompagner cette montée en conformité.
Le problème dépasse donc désormais la seule technique législative, l’absence de cadre définitif peut conduire une direction à raisonner très simplement : Pourquoi engager maintenant un programme important si le périmètre précis et les exigences nationales peuvent encore évoluer ?
Cette prudence budgétaire est compréhensible, elle est pourtant précisément contraire à l’objectif poursuivi par NIS 2 : accélérer l’élévation du niveau de cybersécurité des organisations européennes.
Le retard de transposition risque ainsi de produire le phénomène inverse de celui recherché : l’attente réglementaire devient un motif pour différer certaines décisions de sécurité.
Tout attendre serait néanmoins une erreur
L’incertitude juridique ne signifie pas que les organisations doivent rester immobiles, une grande partie des mesures envisagées par NIS 2 ne constitue d’ailleurs pas une découverte pour les professionnels de la cybersécurité.
Disposer d’une cartographie du système d’information, maîtriser les comptes privilégiés, organiser les sauvegardes, qualifier ses fournisseurs critiques, disposer d’un processus de gestion des vulnérabilités ou préparer la réponse à incident demeure pertinent indépendamment de la date de promulgation d’une loi.
L’ANSSI adopte précisément cette logique avec le ReCyF : fournir un cadre permettant aux organisations de commencer à travailler sans prétendre que le dispositif juridique est déjà définitif.
Une approche raisonnable consiste donc à distinguer deux niveaux.Les mesures de sécurité structurelles peuvent être engagées dès maintenant. Les arbitrages strictement réglementaires — qualification définitive de l’entité, modalités déclaratives, calendrier exact de certaines obligations ou organisation des contrôles — devront être vérifiés lorsque les textes français seront stabilisés.
Ne pas attendre la loi pour améliorer sa cybersécurité ne signifie pas faire comme si la loi était déjà adoptée.
Une situation difficilement tenable
La situation française devient d’autant plus paradoxale que la nécessité de renforcer la cybersécurité ne fait guère débat l »État prépare lui-même ses administrations à NIS 2. La feuille de route de sécurité numérique 2026-2027 fixe notamment des priorités destinées à accompagner leur future mise en conformité.
L’ANSSI prépare ses référentiels, ses outils, l’accompagnement des futures entités et le changement d’échelle que représentera le passage de quelques centaines d’opérateurs fortement régulés à plusieurs milliers d’organisations.
Le travail technique existe donc, ce qui manque toujours est l’achèvement du travail législatif. Et c’est probablement là que se situe le principal enseignement de la situation actuelle : la cybersécurité peut être techniquement prête et réglementairement en retard.
La saisine de la Cour de justice de l’Union européenne par la Commission ne change pas immédiatement les obligations des entreprises françaises. Elle marque toutefois une nouvelle étape. Près de deux ans après l’échéance européenne, il devient difficile de présenter le retard comme une simple question de calendrier.
Pour les futures entités concernées, la ligne de conduite reste donc inconfortable mais assez claire : se préparer sans attendre, tout en surveillant un cadre français qui n’est toujours pas juridiquement stabilisé.
Et pour l’État, la question devient beaucoup plus simple. Quid de la NIS 2 en France ? Il est désormais temps d’y apporter une réponse législative.
