NIS2 : pourquoi ne pas attendre la loi pour s’y préparer

Deux ans après l’échéance européenne, la France n’a toujours pas transposé la directive NIS2. Le texte a encore été repoussé à l’Assemblée nationale début octobre. Faut-il pour autant attendre ? Non : les cyberattaques, elles, n’attendent pas, et les entreprises qui se préparent dès aujourd’hui seront prêtes le jour où la loi s’appliquera.

Où en est la loi Résilience ?

Au 2 novembre 2026, la loi qui transpose NIS2 n’est pas adoptée. Ce projet de loi « Résilience » transpose en même temps trois textes européens : NIS2 (cybersécurité), REC (résilience des entités critiques) et DORA (secteur financier).

1. 2024

   17 octobre 2024

   Date limite de transposition fixée par l’Union européenne.

2. 2025

   12 mars 2025

   Le Sénat adopte le projet de loi en première lecture.

3. 2026

   17 mars 2026

   L’ANSSI publie le Référentiel Cyber France (ReCyF).

4. 2026

   8 juillet 2026

   La Commission européenne saisit la Cour de justice de l’UE contre la France pour retard.

5. 2026

   6 octobre 2026 Dernière étape

   L’examen prévu le 7 octobre à l’Assemblée est de nouveau repoussé.

Le rapporteur du texte espère une réinscription à l’ordre du jour dans les prochaines semaines, sans date arrêtée à ce jour.

Qui sera concerné, et pour quoi faire ?

NIS2 élargit fortement le périmètre de l’ancienne directive : plus de 15 000 entités devraient être concernées en France, dont de nombreuses PME et ETI, réparties en « entités essentielles » et « entités importantes ».

Pourquoi agir dès maintenant : octobre 2026 l’a prouvé

Le mois de la cybersécurité 2026 a donné trois exemples concrets de ce que NIS2 cherche à prévenir :

• Les frigos des supermarchés piratés (12 octobre). Des centaines de magasins touchés après la modification à distance de leurs installations frigorifiques. Selon l’ANSSI, les équipements étaient accessibles depuis Internet, sans pare-feu ni segmentation.
• Une faille VPN exploitée. Un correctif d’urgence a été demandé dès le 13 octobre pour une faille activement exploitée sur des passerelles Ivanti Connect Secure.
• Une vague de fuites de données (17 octobre). Une vingtaine d’organisations françaises revendiquées en quelques heures, plus de 9 millions de personnes potentiellement concernées.

Dans chaque cas, les mesures de base prévues par NIS2 (inventaire, mises à jour, segmentation, contrôle des accès) auraient limité les dégâts. Par ailleurs, l’ANSSI a construit le ReCyF pour servir de base aux futurs contrôles : s’y conformer dès aujourd’hui, c’est prendre de l’avance.

Les premières mesures à prendre

1. 1

   Vérifiez si vous êtes concerné

   Secteur d’activité, taille, rôle de sous-traitant d’une entité essentielle.

2. 2

   Inventoriez vos actifs exposés

   VPN, accès distants, équipements connectés, NAS, interfaces d’administration.

3. 3

   Corrigez et mettez à jour

   Appliquez sans délai les correctifs de sécurité, en priorité sur les VPN et pare-feu.

4. 4

   Segmentez votre réseau

   Isolez les équipements sensibles et les objets connectés du reste du système d’information.

5. 5

   Renforcez les accès

   Double authentification, comptes à privilèges limités, mots de passe robustes.

6. 6

   Préparez la crise

   Sauvegardes isolées et testées, procédure de signalement des incidents.