NIS 2, vous en avez peut-être entendu parler comme d'un texte pour les opérateurs d'énergie ou les grands groupes industriels. C'est en partie vrai : le texte cible en priorité les moyennes et grandes entreprises de secteurs jugés critiques. Mais une partie du sujet concerne aussi les plus petites structures, pas parce que la loi les vise directement, mais parce que leurs clients, eux, seront tenus de sécuriser toute leur chaîne de fournisseurs.
Voici ce que dit le texte, où en est réellement sa transposition en France, et ce qu'il faut en retenir quand on dirige une TPE ou une PME.
Ce que change NIS 2, en une minute
NIS 2 est une directive de l'Union européenne (directive (UE) 2022/2555) qui remplace et élargit fortement la première directive NIS. Elle impose aux entités concernées :
- Une gestion des risques cyber formalisée (mesures techniques et organisationnelles proportionnées).
- La notification des incidents importants à l'autorité nationale : alerte précoce sous 24h, notification sous 72h, rapport final au plus tard un mois après la notification.
- Une gouvernance engagée : les organes de direction doivent approuver les mesures de sécurité, suivre une formation, et peuvent voir leur responsabilité engagée en cas de manquement grave.
- La sécurité de la chaîne d'approvisionnement : l'entité régulée doit sécuriser ses relations avec ses fournisseurs et prestataires directs, en tenant compte de leurs vulnérabilités et de la qualité de leurs pratiques de cybersécurité.
Qui est directement concerné
Le texte classe les organisations en "entités essentielles" et "entités importantes", réparties sur 18 secteurs (énergie, transport, santé, eau potable, banque, infrastructures numériques, administrations publiques, espace, gestion des déchets, industrie chimique, fabrication de dispositifs médicaux et d'autres produits critiques, fournisseurs numériques, services postaux, recherche, entre autres).
En pratique, NIS 2 vise les entreprises moyennes et grandes : au moins 50 personnes, ou un chiffre d'affaires et un bilan supérieurs chacun à 10 millions d'euros. En dessous de ces seuils, une micro ou petite entreprise est en principe hors champ direct, sauf cas particuliers (seul prestataire, dans l'État membre, d'un service essentiel au maintien d'activités sociétales ou économiques critiques, rôle critique pour la santé ou la sécurité publique, opérateur télécom, fournisseur de noms de domaine, administration publique).
Si vous êtes artisan, indépendant ou petite structure de moins de 50 personnes, sous les seuils de chiffre d'affaires et de bilan, hors secteur critique et sans régime particulier, vous êtes en principe hors champ direct de NIS 2. Le sujet qui vous concerne réellement est ailleurs, et il est décrit ci-dessous.
Le vrai sujet pour une TPE/PME : la chaîne d'approvisionnement
Une entité soumise à NIS 2 a l'obligation de sécuriser sa chaîne de fournisseurs. Concrètement, cela peut se traduire par des clauses contractuelles, des questionnaires de sécurité, voire des exigences techniques (authentification multifacteur, plan de réponse à incident, sauvegardes) imposées à ses sous-traitants et prestataires, même quand ceux-ci sont de petites structures hors champ direct de la loi.
Beaucoup d'entreprises ont déjà vécu un effet comparable avec le RGPD depuis 2018 : leurs clients leur ont fait signer des clauses de sous-traitance. La différence : le RGPD s'applique aussi directement aux sous-traitants, alors que NIS 2 laisse la plupart des petites structures hors champ direct. Pour une TPE industrielle qui travaille avec un grand groupe, un hôpital, une collectivité ou un opérateur d'énergie, la question n'est pas "suis-je soumis à NIS 2", elle est "mon client va-t-il me demander de le prouver".
Où en est la France, mi-2026
L'échéance européenne de transposition était fixée au 17 octobre 2024. La France ne l'a pas tenue.
| Date | Étape | Statut |
|---|---|---|
| 17 octobre 2024 | Échéance européenne de transposition | Dépassée |
| Octobre 2024 | Projet de loi présenté en Conseil des ministres | Fait |
| 12 mars 2025 | Adoption du texte par le Sénat | Fait |
| 2025 | Examen en commissions à l'Assemblée nationale | Fait |
| 1er juillet 2026 | Session parlementaire extraordinaire : texte absent de l'ordre du jour | Bloqué |
| 17 mars 2026 | ANSSI publie le Référentiel Cyber France (ReCyF) | Fait |
| 6 octobre 2026 | Texte retiré de l'ordre du jour des séances des 7 et 9 octobre par la Conférence des présidents | Reporté |
← Faites glisser le tableau pour voir toutes les colonnes →
Mise à jour du 27 octobre 2026. Le texte avait été inscrit à l'ordre du jour de l'Assemblée nationale pour les séances des 7 et 9 octobre 2026. Le 6 octobre, la Conférence des présidents l'en a retiré. Au 27 octobre 2026, aucune nouvelle date n'est inscrite. La transposition française n'est donc toujours pas achevée.
Un article du texte fait débat : l'article 16 bis, ajouté par le Sénat, qui porte sur le chiffrement. Le 1er octobre 2026, devant la commission spéciale, la ministre chargée du Numérique l'a qualifié de cavalier législatif (sans lien avec l'objet du projet de loi) et a annoncé que le Gouvernement soutiendrait sa suppression en séance. Elle a expliqué le délai d'examen par l'encombrement de l'ordre du jour et par les craintes soulevées par cet article.
En attendant le texte définitif, l'ANSSI a publié depuis le 17 mars 2026 un référentiel (ReCyF) qui liste les mesures de sécurité recommandées pour se préparer à NIS 2. C'est un document de travail, que l'ANSSI présente comme non obligatoire par défaut : les entités qui l'appliqueront pourront s'en prévaloir en cas de contrôle. Il donne une feuille de route pour anticiper.
Ce qu'il faut déjà préparer, même hors champ direct
- Identifier vos clients potentiellement soumis à NIS 2 : grands groupes industriels, énergie, santé, collectivités, infrastructures numériques. Ce sont eux qui sont les plus susceptibles de vous transmettre des exigences de cybersécurité.
- Poser l'hygiène cyber de base : authentification multifacteur sur les comptes sensibles, sauvegardes testées régulièrement, mises à jour de sécurité appliquées, sensibilisation minimale des équipes.
- Avoir un plan simple de réponse à incident : qui prévenir, dans quel délai, comment isoler un poste ou un système compromis.
- Anticiper les questionnaires de sécurité qui peuvent arriver de vos clients régulés, plutôt que de les découvrir au moment où un contrat est en jeu.
Le bon réflexe n'est pas d'attendre le vote de la loi française pour agir. C'est de traiter ces quatre points comme une hygiène de base utile en soi, indépendamment du calendrier parlementaire : ils réduisent un risque réel (incident, panne, perte de données) et répondent par avance aux exigences qui, tôt ou tard, viendront de vos donneurs d'ordre.
