Le 17 octobre 2024, la France devait avoir transposé la directive (UE) 2022/2555, plus connue sous le nom de NIS 2. Deux ans plus tard, le texte n’est toujours pas voté. Le projet de loi « Résilience », qui doit la transposer, a encore été retiré de l’ordre du jour de l’Assemblée nationale début octobre 2026, sans nouvelle date.
Pour beaucoup d’organisations, la tentation est forte : tant que la loi n’est pas promulguée, rien ne presse. C’est une erreur. Le contenu des obligations est connu depuis 2022, l’ANSSI a publié en mars 2026 le référentiel qui servira de base aux contrôles, et les chantiers à mener prennent du temps. Surtout, la menace, elle, n’attend pas le calendrier parlementaire.
Cet article fait le point sur l’état de la transposition, présente le Référentiel Cyber France (ReCyF) et détaille les principales mesures techniques et organisationnelles à engager dès maintenant.
Où en est la transposition de NIS 2 en France ?
Un seul texte pour trois directives
En France, NIS 2 est transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Ce texte regroupe trois textes européens : la directive NIS 2, la directive REC sur la résilience des entités critiques et le volet DORA pour le secteur financier. L’ANSSI sera l’autorité de contrôle pour NIS 2.
Un parcours parlementaire à rallonge
| Date | Étape |
| 15 octobre 2024 | Dépôt du projet de loi au Sénat, avec engagement de la procédure accélérée |
| 12 mars 2025 | Adoption du texte par le Sénat en première lecture |
| 10 septembre 2025 | Adoption du texte par la commission spéciale de l’Assemblée nationale |
| 17 mars 2026 | Publication du ReCyF par l’ANSSI, en version document de travail |
| Juillet 2026 | Saisine de la Cour de justice de l’UE par la Commission européenne contre la France (ainsi que l’Espagne, l’Irlande et les Pays-Bas) |
| 6 octobre 2026 | Retrait du texte de l’ordre du jour de l’Assemblée nationale (séances des 7 et 9 octobre), sans nouvelle date |
| 13 et 20 octobre 2026 | Le texte n’est pas réinscrit à l’ordre du jour par la conférence des présidents |
Depuis septembre 2025, le texte attend son examen en séance publique. Le principal point de blocage est l’article 16 bis, ajouté par le Sénat. Il interdit d’imposer aux fournisseurs de solutions de chiffrement des mécanismes qui affaibliraient volontairement la sécurité, comme des portes dérobées. Ce sujet divise et a contribué à retarder l’examen du texte.
La pression européenne, elle, s’intensifie. Après une mise en demeure en novembre 2024 puis un avis motivé en mai 2025, la Commission européenne a saisi la Cour de justice de l’Union européenne en juillet 2026. Elle demande des sanctions financières : une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète.
| Ce qu’il faut retenir Au 20 octobre 2026, aucune date d’adoption n’est fixée. Tant que la loi n’est pas promulguée et que ses décrets d’application ne sont pas publiés, les obligations NIS 2 ne s’appliquent pas en droit français. Mais leur contenu, lui, est connu. |
Ce que NIS 2 va changer
Un périmètre sans commune mesure avec NIS 1
Environ 15 000 entités réparties dans 18 secteurs seront concernées, contre environ 500 opérateurs sous NIS 1. Il s’agit principalement de moyennes et grandes organisations, publiques comme privées : énergie, transport, santé, eau, industrie manufacturière, alimentation, chimie, numérique, administrations, etc.
Les entités concernées seront classées en deux catégories, entités essentielles (EE) et entités importantes (EI). Le classement dépend à la fois du secteur d’activité et de la taille de l’organisation, avec des cas particuliers pour certaines activités. Les entités essentielles feront l’objet d’une supervision plus soutenue et de sanctions plus élevées.
L’ANSSI met à disposition sur MonEspaceNIS2 un simulateur qui permet de vérifier si une organisation est concernée et dans quelle catégorie.
Trois obligations principales
- S’enregistrer auprès de l’ANSSI ;
- Mettre en œuvre des mesures de gestion des risques cyber, techniques, opérationnelles et organisationnelles ;
- Déclarer les incidents importants, selon un processus en trois temps : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.
La direction en première ligne
C’est l’un des changements les plus marquants. L’article 20 de la directive impose aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre et de se former. Les dirigeants peuvent être tenus responsables en cas de manquement. Pour les entités essentielles, la directive prévoit aussi, en dernier recours, la possibilité d’une interdiction temporaire d’exercer des fonctions de direction.
Les sanctions financières peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 M€ ou 1,4 % pour les entités importantes.
ReCyF : le référentiel de l’ANSSI pour se préparer
Sans attendre le vote de la loi, l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), en version 2.5. Il correspond au référentiel de cybersécurité prévu à l’article 14 du projet de loi. Il est diffusé comme document de travail : aucune version définitive ne sera publiée avant la fin de la transposition et une consultation.
Objectifs et moyens acceptables de conformité
Le ReCyF repose sur une logique simple, en deux niveaux :
- L’objectif de sécurité dit « quoi » atteindre. Son atteinte sera obligatoire ;
- Les moyens acceptables de conformité disent « comment » y parvenir. Ils ne sont pas obligatoires, mais une entité qui les applique pourra s’en prévaloir en cas de contrôle de l’ANSSI. Une entité peut choisir d’autres moyens, à condition de démontrer qu’elle atteint l’objectif.
20 objectifs, avec un principe de proportionnalité
Les objectifs 1 à 15 s’appliquent à toutes les entités régulées. Les objectifs 16 à 20 ne concernent que les entités essentielles.
| N° | Objectif de sécurité | Applicable à |
| 1 | Recensement des systèmes d’information | EE et EI |
| 2 | Mise en œuvre d’un cadre de gouvernance de la sécurité numérique | EE et EI |
| 3 | Maîtrise de l’écosystème | EE et EI |
| 4 | Intégration de la sécurité numérique dans la gestion des ressources humaines | EE et EI |
| 5 | Maîtrise des systèmes d’information | EE et EI |
| 6 | Maîtrise des accès physiques aux locaux | EE et EI |
| 7 | Sécurisation de l’architecture des systèmes d’information | EE et EI |
| 8 | Sécurisation des accès distants aux systèmes d’information | EE et EI |
| 9 | Protection des systèmes d’information contre les codes malveillants | EE et EI |
| 10 | Gestion des identités et des accès des utilisateurs | EE et EI |
| 11 | Maîtrise de l’administration des systèmes d’information | EE et EI |
| 12 | Identification et réaction aux incidents de sécurité | EE et EI |
| 13 | Continuité et reprise d’activité | EE et EI |
| 14 | Réaction aux crises d’origine cyber | EE et EI |
| 15 | Exercices, tests et entraînements | EE et EI |
| 16 | Mise en œuvre d’une approche par les risques | EE uniquement |
| 17 | Audit de la sécurité des systèmes d’information | EE uniquement |
| 18 | Sécurisation de la configuration des ressources | EE uniquement |
| 19 | Administration des SI depuis des ressources dédiées | EE uniquement |
| 20 | Supervision de la sécurité des systèmes d’information | EE uniquement |
Pour les organisations déjà engagées dans une démarche ISO 27001, l’ANSSI propose un outil de comparaison entre le ReCyF, les normes ISO 2700X et l’annexe du règlement d’exécution (UE) 2024/2690. Il permet d’identifier ce qui est déjà couvert et ce qui reste à traiter.
Concrètement, que faut-il mettre en place ?
Le ReCyF n’est pas qu’un document de gouvernance. La plupart de ses objectifs se traduisent par des chantiers techniques concrets. Voici les principaux, tels que nous les rencontrons lors de nos missions d’audit.
1. Connaître son système d’information
On ne protège pas ce qu’on ne connaît pas. La première étape consiste à cartographier le SI : actifs, applications, flux, interconnexions, prestataires. Cette cartographie doit être tenue à jour. C’est aussi elle qui permet de définir le périmètre des SI concernés par NIS 2.
2. Cloisonner l’architecture
Le réseau doit être segmenté par zones de sensibilité (VLAN, filtrage entre zones), les systèmes critiques isolés et les flux filtrés, en particulier ceux vers et depuis Internet. L’objectif est d’empêcher un attaquant qui a pris pied sur un poste de se déplacer librement dans tout le SI.
3. Sécuriser les accès distants
Les accès à distance doivent passer par un VPN avec authentification multifacteur. Les accès des prestataires et des tiers doivent être maîtrisés : comptes nominatifs, accès limités dans le temps et tracés. Les services exposés sur Internet sans nécessité doivent être supprimés.
4. Gérer les identités et les accès
Les comptes doivent être nominatifs, les droits attribués selon le moindre privilège et une revue des habilitations doit avoir lieu régulièrement. Les arrivées, départs et mobilités doivent être gérés dans un processus formalisé. Dans les environnements Active Directory, c’est souvent là que se trouvent les écarts les plus importants : comptes inactifs, groupes à privilèges trop larges, comptes génériques.
5. Maîtriser l’administration
C’est l’un des sujets les plus structurants, et souvent l’un des plus coûteux :
- des comptes d’administration dédiés, distincts des comptes bureautiques ;
- un modèle d’administration en tiers, pour qu’un compte à privilèges ne soit pas utilisable partout ;
- une gestion des mots de passe des administrateurs locaux, par exemple avec LAPS ;
- pour les entités essentielles, une administration depuis des ressources dédiées (objectif 19) : postes d’administration dédiés et bastion.
6. Durcir et maintenir à jour
Il s’agit des fondamentaux : gestion des correctifs, suivi des vulnérabilités, protection contre les codes malveillants sur les postes et les serveurs (antivirus, EDR) et, pour les entités essentielles, durcissement des configurations (objectif 18).
7. Détecter et réagir
Les journaux doivent être collectés et centralisés (systèmes, annuaire, équipements réseau et de sécurité), conservés puis exploités. Pour les entités essentielles, une supervision de sécurité est attendue (objectif 20). Elle peut être assurée par un SIEM, un SOC interne ou un service externalisé. Une procédure de gestion des incidents doit être en place, avec un circuit de déclaration compatible avec les délais NIS 2 : 24 heures, 72 heures, un mois.
8. Préparer la continuité et la crise
Les sauvegardes doivent être régulières, avec au moins une copie déconnectée ou isolée du SI. Les restaurations doivent être testées : une sauvegarde jamais restaurée n’a aucune valeur. Il faut également des plans de continuité et de reprise, un dispositif de gestion de crise cyber et des exercices réguliers (objectifs 13 à 15).
9. Maîtriser l’écosystème
Les fournisseurs et prestataires font partie de la surface d’attaque. Il faut intégrer des clauses de sécurité dans les contrats, évaluer les tiers critiques et maîtriser leurs accès au SI.
Un exemple concret
Prenons une organisation qui dispose d’une procédure d’administration bien rédigée : comptes d’administration dédiés, interdiction d’administrer depuis un poste bureautique, revue annuelle des comptes à privilèges. Sur le papier, tout est en ordre.
Lors de l’audit, on constate pourtant que plusieurs administrateurs utilisent encore leur compte personnel, membre du groupe « Admins du domaine », pour lire leurs mails et naviguer sur Internet. La dernière revue des comptes à privilèges date de deux ans, et un ancien prestataire possède toujours un compte actif.
La procédure existe, mais elle n’est pas appliquée. Lors d’un contrôle, c’est ce que verra l’ANSSI. Ce qui compte, ce n’est pas ce qui est écrit, c’est ce qui est réellement mis en œuvre et vérifiable : comptes séparés, MFA actif, sauvegardes restaurées, journaux exploités.
Par où commencer ?
Le retard de la transposition est une occasion à saisir : il laisse du temps pour se préparer sereinement plutôt que dans l’urgence. Plusieurs chantiers, comme le cloisonnement, l’administration sécurisée ou la supervision, demandent des mois de travail et du budget. Il vaut mieux les anticiper. Voici une démarche en cinq étapes :
- Vérifier son éligibilité avec le simulateur de l’ANSSI et déterminer si l’on serait entité essentielle ou importante ;
- Définir son périmètre : identifier les systèmes d’information concernés grâce à une analyse d’impact ;
- Réaliser un état des lieux par rapport au ReCyF, en distinguant ce qui est documenté de ce qui est réellement appliqué ;
- Construire un plan d’action priorisé selon les risques, l’effort et le budget ;
- Impliquer la direction dès le départ : elle devra approuver les mesures et en répondre.
Conclusion
NIS 2 n’est pas encore applicable en France, mais elle n’est plus une inconnue. Les obligations sont fixées par la directive, le référentiel de l’ANSSI est disponible et le niveau d’exigence attendu est clair. Les organisations qui avancent dès aujourd’hui seront prêtes le jour où le texte sera voté. Les autres devront rattraper leur retard dans l’urgence, avec des chantiers lourds et des délais contraints.
Au-delà de la conformité, les mesures du ReCyF correspondent avant tout à des bonnes pratiques de sécurité qui protègent contre la menace cybercriminelle. Elles ont un intérêt immédiat, quelle que soit la date d’entrée en vigueur de la loi.
| ORNISEC vous accompagne Nos consultants accompagnent les organisations publiques et privées dans leur préparation à NIS 2 : analyse d’éligibilité et de périmètre, audit de conformité au ReCyF, construction et suivi du plan d’action, articulation avec une démarche ISO 27001. |
Sources
- ANSSI – La directive NIS 2 (cyber.gouv.fr)
- ANSSI – NIS 2 : l’ANSSI poursuit et renforce sa dynamique d’accompagnement, 18 mars 2026
- ANSSI – Référentiel Cyber France (ReCyF), version 2.5 du 17 mars 2026 (MesServicesCyber)
- Assemblée nationale – Dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
- Assemblée nationale – Relevé de conclusions de la conférence des présidents du 20 octobre 2026
- IT-Connect – NIS 2 encore repoussé : la France traînée devant la justice européenne, 14 juillet 2026
- Leto – NIS 2 : l’Assemblée nationale reporte de nouveau l’examen du projet de loi Résilience, octobre 2026
- 24h00.info – NIS2 : la loi Résilience toujours bloquée à l’Assemblée, 16 octobre 2026
- Euronext Corporate Solutions – NIS 2 en France : transposition et rôle du conseil, septembre 2026