Loi NIS2 en France : le retard qui ne change rien à vos obligations cyber

La directive (UE) 2022/2555, dite NIS2, fixe des standards de cybersécurité renforcés pour les entités opérant dans 18 secteurs jugés critiques par l'Union européenne, dont la santé, l'énergie, les transports et le secteur public^[1]. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national^[1].

En France, le véhicule législatif retenu est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit "loi Résilience", qui transpose simultanément trois textes européens : NIS2, la directive REC sur la résilience des entités critiques, et le règlement DORA pour le secteur financier.

La France fait partie des États qui n'ont pas notifié la transposition complète de NIS2 dans les délais. La Commission européenne a adressé une mise en demeure le 28 novembre 2024, puis un avis motivé le 7 mai 2025^[2]. Faute de transposition complète, elle a décidé de saisir la Cour de justice de l'Union européenne le 8 juillet 2026 contre la France, l'Irlande, l'Espagne et les Pays-Bas, avec une demande de sanctions financières : une somme forfaitaire assortie d'une astreinte journalière jusqu'à la notification complète^[2].

Le retard n'est pas un simple aléa de calendrier parlementaire : selon la presse spécialisée, l'examen du texte, initialement espéré en juillet 2026, a été reporté par la ministre déléguée chargée de l'intelligence artificielle et du numérique, qui a exprimé l'espoir qu'il puisse se tenir en septembre 2026, notamment en raison d'un désaccord parlementaire sur un amendement relatif au chiffrement (article 16 bis)^[3] (source spécialisée non officielle, degré de confiance élevé : relaie une déclaration publique de la ministre, recoupée par plusieurs médias professionnels de la cybersécurité).

Le dossier législatif officiel de l'Assemblée nationale permet de reconstituer la chronologie exacte : dépôt au Sénat le 15 octobre 2024, adoption par le Sénat le 12 mars 2025, puis adoption par la commission spéciale de l'Assemblée nationale le 10 septembre 2025^[4]. Depuis cette date, le texte n'a jamais été réinscrit à l'ordre du jour de la séance publique.

Concrètement, la loi qui doit créer les statuts "entité essentielle" et "entité importante" de NIS2, et les obligations qui s'y attachent, reste à ce jour un texte de commission, pas une loi promulguée.

NIS2 distingue deux catégories d'entités selon leur taille : les "entités essentielles" (grandes structures, à partir de 250 salariés ou plus de 50 millions d'euros de chiffre d'affaires) et les "entités importantes" (structures de taille moyenne, à partir de 50 salariés ou plus de 10 millions d'euros). Ces deux statuts, et les obligations qui leur sont propres, n'existent en droit français que si la loi de transposition est votée et ses décrets d'application publiés.

Résultat : au 17 septembre 2026, aucun établissement français ne peut être formellement qualifié d'"entité essentielle" ou d'"entité importante" au sens de cette loi, tout simplement parce qu'elle n'existe pas encore.

C'est le point le plus important, et le plus souvent ignoré : l'obligation de signaler un incident grave ou significatif de sécurité informatique ne dépend d'aucune loi NIS2. Elle existe déjà, sans aucun seuil de taille dans les textes, pour tout établissement de santé depuis le décret n°2016-1214 du 12 septembre 2016, et pour tout établissement médico-social depuis le décret n°2022-715 du 27 avril 2022^[5]. Le fondement légal en est l'article L.1111-8-2 du code de la santé publique.

Concrètement, tout établissement doit déclarer sans délai un tel incident sur le portail de signalement des événements sanitaires indésirables, motif "incident de sécurité des systèmes d'information", et peut être accompagné par le CERT Santé, la cellule d'appui de l'Agence du Numérique en Santé dédiée aux incidents cyber du secteur^[5].

Le risque immédiat pour un établissement n'est donc pas de "ne pas être prêt pour NIS2", puisque cette échéance elle-même reste incertaine. C'est de ne pas déclarer un incident déjà couvert par une obligation en vigueur depuis 2016, ou de ne pas avoir formalisé la procédure de continuité que la certification HAS version 2025 attend des établissements de santé engagés dans cette démarche (critère 3.6-02, maîtrise des risques de sécurité numérique).

Autrement dit : se mettre en conformité avec les obligations déjà applicables ne dépend d'aucun calendrier parlementaire, et ne devrait pas être repoussé au motif que "la vraie loi n'est pas encore là".