On l'attend depuis bientôt deux ans. La loi qui doit transposer la directive européenne NIS2 en droit français a de nouveau été repoussée, à la rentrée parlementaire au plus tôt, pendant que la Commission européenne traîne la France devant la justice de l'UE. Mais pour les entreprises, en tirer un prétexte pour ne rien faire serait une erreur coûteuse. Faisons le point, sans langue de bois, sur ce qui s'applique déjà et sur ce qu'il faut engager dès maintenant.

Deux ans de retard, un énième report

Rappelons les faits, car la confusion règne. NIS2 est une directive européenne (UE 2022/2555) qui, contrairement à un règlement, doit être transposée par une loi nationale pour produire ses effets. En France, ce véhicule est le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », dit loi « Résilience ».

Son parcours est un feuilleton : présenté en Conseil des ministres le 15 octobre 2024 (deux jours avant l'échéance européenne), adopté par le Sénat en mars 2025, puis voté à l'unanimité en commission spéciale à l'Assemblée nationale en septembre 2025. Et depuis… plus rien. Le texte n'a jamais été examiné en séance publique. Faute d'inscription à la session extraordinaire de l'été, la ministre déléguée au Numérique, Anne Le Hénanff, a annoncé début juillet 2026 un nouveau report : l'examen à l'Assemblée est désormais espéré à la rentrée de septembre 2026. Espéré, car la saga a déjà connu plusieurs fausses relances. La loi n'est donc, à ce jour, toujours pas promulguée. Attention à ne pas se laisser abuser par les contenus qui affirment le contraire : l'adoption par le Sénat en 2025 n'est pas la promulgation.

Pourquoi ça coince : la bataille du chiffrement

Le point de blocage n'est pas technique, il est politique. Le Sénat a introduit un article 16 bis qui vise à sanctuariser le chiffrement de bout en bout, en interdisant d'imposer des portes dérobées aux fournisseurs de messagerie chiffrée. Or cette disposition est contestée par les services de renseignement, qui souhaitent conserver des capacités d'accès. C'est ce désaccord (jusqu'où l'État peut-il exiger de lire des messages chiffrés ?) qui a gelé l'inscription du texte à l'ordre du jour. Sans prendre parti sur ce débat de fond, on mesure le paradoxe : une loi censée protéger 15 000 entités contre la cybercriminalité est retardée par une controverse sur le chiffrement.

La France devant la CJUE

La pression, elle, monte d'un cran. Après deux mises en demeure, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026, pour non-transposition de NIS2. La date limite européenne était fixée au 17 octobre 2024 : le retard approche donc les deux ans, et des sanctions financières sont désormais possibles. La situation est cocasse : jamais le texte n'a été autant en retard, et jamais la pression pour l'adopter n'a été aussi forte.

Ce qui s'applique déjà, loi ou pas

Voici le message essentiel, et il change tout : l'absence de loi française ne signifie pas l'absence d'obligations. Le socle des exigences est fixé par la directive européenne depuis 2022, et il est stable. Surtout, l'ANSSI n'a pas attendu la transposition pour agir.

En mars 2026, l'agence a publié le ReCyF (Référentiel Cyber France, version 2.5), qui décline 20 objectifs de sécurité en quatre piliers (gouvernance, protection, défense, résilience), en distinguant clairement le « quoi » obligatoire du « comment » recommandé. Le directeur général de l'ANSSI l'a résumé sans ambiguïté : ce document restera un document de travail jusqu'à la transposition, mais il ne faut surtout pas attendre pour le mettre en œuvre.

Il y a plus concret encore. La contrainte NIS2 ruisselle déjà par le marché, sans attendre le législateur : dans l'industrie, l'automobile ou la logistique, les grands donneurs d'ordre envoient d'ores et déjà à leurs fournisseurs des clauses cyber et des questionnaires de sécurité. C'est le fameux effet de cascade que nous décrivons dans notre article sur le risque fournisseur : une PME sous-traitante peut être tenue de se mettre à niveau bien avant que la loi ne soit votée, sous peine de perdre des contrats.

Ne pas attendre : les chantiers certains

Bonne nouvelle : les fondamentaux ne bougeront pas significativement lors de la transposition. On peut donc engager sans risque les chantiers les plus longs :

• La gouvernance : responsabiliser la direction, qui sera juridiquement engagée.
• La gestion des risques : cartographier son système d'information et ses actifs critiques.
• La gestion des incidents : bâtir un plan de réponse et savoir notifier rapidement à l'ANSSI.
• La sécurité de la chaîne d'approvisionnement : auditer et encadrer ses prestataires.
• La cryptographie et la protection des données.
• La formation des équipes, obligation transversale et souvent sous-estimée.

Ces chantiers prennent des mois. Les engager maintenant, c'est éviter de découvrir 18 mois de retard le jour du premier contrôle.

Une compétence, pas seulement une contrainte

Pour qui se forme ou se reconvertit, cette instabilité réglementaire cache une opportunité. La mise en conformité NIS2 crée une demande soutenue de profils capables de la piloter : gouvernance de la sécurité, gestion des risques, conformité, sans oublier l'essor des RSSI externalisés pour les structures qui n'ont pas les moyens d'un poste dédié. Maîtriser ce cadre, c'est offrir une compétence rare et immédiatement utile.

Chez KLE Formations, notre parcours en cybersécurité couvre précisément ces fondations : gouvernance, gestion des risques, réponse à incident et sécurité de la chaîne d'approvisionnement. Accessible et finançable (CPF, France Travail, OPCO, Transitions Pro), il vise un titre RNCP de niveau 7. Pour aller plus loin, lisez notre guide pour préparer NIS2 dans une PME, notre article sur le risque fournisseur, et notre analyse des cyberattaques qui ont frappé l'État à la rentrée, illustration de ce qui arrive quand la sécurité prend du retard.

Le calendrier politique peut bien tergiverser : la menace, elle, n'attend pas. Les organisations qui auront pris de l'avance sur la conformité ne le regretteront jamais. Les autres découvriront, souvent trop tard, que le vrai retard n'était pas celui du législateur, mais le leur.

---

Sources : IT Social, Incyber, Leto, ThreatClaw et Deefense (report de l'examen de la loi Résilience à septembre 2026, saisine de la CJUE le 8 juillet 2026, chronologie parlementaire, point de blocage sur l'article 16 bis) ; ANSSI / cyber.gouv.fr (référentiel ReCyF v2.5 publié le 17 mars 2026, déclaration de Vincent Strubel) ; directive (UE) 2022/2555. Faits à jour à la rentrée 2026 ; le calendrier parlementaire reste incertain, vérifier l'état d'avancement de la loi avant toute décision.