La loi résilience NIS2 n’est pas confirmée comme définitivement votée au 21 juillet 2026 dans le dossier officiel de l’Assemblée nationale. Mais son effet est déjà concret : environ 15 000 entités françaises pourraient entrer dans le périmètre NIS2, avec des obligations de cybersécurité, de gouvernance et de notification d’incident. Pour une PME concernée, attendre le vote final serait une mauvaise économie.
Loi résilience NIS2 : où en est vraiment le texte ?
Le projet de loi français s’intitule « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». Il transpose notamment la directive européenne NIS2, adoptée au niveau de l’Union européenne pour relever le niveau de sécurité des réseaux et systèmes d’information.
Le texte a été déposé au Sénat le 15 octobre 2024, avec procédure accélérée engagée par le Gouvernement. Le Sénat l’a adopté en première lecture le 12 mars 2025, puis l’a transmis à l’Assemblée nationale le 13 mars 2025 sous le numéro 1112. La commission spéciale de l’Assemblée a déposé son rapport le 10 septembre 2025.
Point sensible : certaines publications évoquent une « loi Résilience votée en juillet 2026 ». Les sources institutionnelles consultées au 21 juillet 2026 ne le confirment pas. Le dossier officiel affiche encore une étape de première lecture à l’Assemblée nationale, après les travaux de commission de septembre 2025.
Autre élément récent : le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas pour absence de notification complète de transposition de NIS2. Elle demande des sanctions financières, forfaitaires et journalières jusqu’à notification complète. Ce n’est donc pas un sujet théorique : la pression réglementaire est bien là .
Qu’est-ce que la loi Résilience change pour une entreprise ?
L’intention de recherche derrière loi résilience NIS2 est souvent très pragmatique : « suis-je concerné, et qu’est-ce que je dois prévoir ? » La réponse tient en trois axes : plus d’entreprises dans le périmètre, des exigences de sécurité mieux formalisées, et des sanctions administratives plus élevées en cas de manquement.
NIS2 distingue deux grandes catégories : les entités essentielles et les entités importantes. La classification dépend de la criticité de l’activité, du secteur, du service rendu et de la taille de l’organisation. Une entreprise n’a donc pas seulement à regarder son chiffre d’affaires ou son effectif ; elle doit aussi regarder ce qu’elle fournit, à qui, et dans quelle chaîne de dépendance.
Selon l’avis du Conseil d’État et les travaux parlementaires, le périmètre français passerait d’environ 500 à 600 entités sous l’ancien régime à environ 15 000 entités avec NIS2. C’est un changement d’échelle. Des entreprises qui n’étaient pas habituées aux obligations cyber sectorielles peuvent se retrouver concernées parce qu’elles opèrent dans le numérique, la santé, l’énergie, les transports, l’eau, l’industrie, les services financiers ou certaines chaînes de sous-traitance.
Pour un dirigeant, la bonne lecture n’est pas « vais-je être audité demain ? », mais plutôt « puis-je démontrer que mes risques cyber sont identifiés, suivis et traités sérieusement ? » La nuance est importante. NIS2 ne demande pas une cybersécurité parfaite. Elle pousse vers une gouvernance vérifiable.
Mon entreprise est-elle concernée par NIS2 ?
Le premier filtre reste le secteur d’activité. NIS2 vise des domaines considérés comme essentiels ou importants pour l’économie et la société : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace, services postaux, gestion des déchets, chimie, agroalimentaire, fabrication de certains produits critiques et fournisseurs numériques.
Le deuxième filtre est la taille. Les seuils européens de PME, ETI et grandes entreprises servent généralement de point de départ, mais ils ne suffisent pas toujours. Une structure plus petite peut être rattrapée si elle fournit un service critique ou si un texte sectoriel le prévoit.
Le troisième filtre est la dépendance. Une société qui héberge des données clients, maintient une plateforme e-commerce, exploite une application métier ou développe un logiciel utilisé par une entité essentielle peut recevoir des exigences contractuelles inspirées de NIS2, même si elle n’est pas directement classée. C’est un piège fréquent : le risque arrive parfois par les contrats, pas par le courrier d’une autorité.
Sur les projets que nous menons, nous voyons souvent des PME découvrir leur exposition au moment d’un renouvellement de marché, d’un appel d’offres ou d’un audit fournisseur. À ce stade, tout coûte plus cher, parce qu’il faut produire des preuves vite : politique de sauvegarde, journalisation, gestion des accès, plan de reprise, registre des incidents, clauses d’hébergement.
Pour les sites WordPress, les extranets ou les plateformes commerciales, la question se pose aussi côté applicatif. Un dirigeant qui veut approfondir ce point peut lire notre analyse dédiée à l’impact de NIS2 sur un site WordPress, car beaucoup de risques viennent de composants simples : extensions non maintenues, comptes administrateurs partagés, sauvegardes non testées.
Sanctions, dirigeants, budget : les points à regarder de près
Les plafonds de sanction prévus dans les travaux parlementaires sont élevés. Pour les entités essentielles, le plafond d’amende administrative est de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial hors taxes de l’exercice précédent, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond prévu est de 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial hors taxes.
Ces montants ne signifient pas que chaque incident entraînera une sanction maximale. Ils fixent un plafond. Le vrai sujet, pour une PME, est la capacité à montrer qu’elle a pris des mesures proportionnées : analyse de risque, priorisation, budget, pilotage, documentation et correction des écarts connus.
Le projet de loi prévoit aussi une commission des sanctions pour les manquements aux obligations du titre II « Cybersécurité », qui transpose NIS2. Un amendement gouvernemental lié à l’interdiction temporaire d’exercer de dirigeants personnes physiques d’entités essentielles a été examiné au Sénat, puis rejeté. Il ne faut donc pas présenter cette interdiction comme acquise dans l’état du texte, mais le débat montre une tendance claire : la cybersécurité remonte au niveau de la gouvernance.
Côté budget, les ordres de grandeur varient fortement selon la maturité. Une première cartographie des risques et des actifs numériques peut coûter autour de 5 000 à 15 000 € pour une PME avec un système d’information simple, selon les prestataires et le périmètre. Une mise à niveau plus complète, avec durcissement des accès, sauvegardes, supervision, procédures d’incident et tests, peut atteindre plusieurs dizaines de milliers d’euros sur 6 à 12 mois.
| Chantier | Objectif concret | Ordre de coût France | Délai réaliste |
|---|---|---|---|
| Diagnostic NIS2 initial | Identifier périmètre, écarts et priorités | 5 000 à 15 000 € | 2 à 5 semaines |
| Durcissement des accès | MFA, comptes nominatifs, droits limités | 3 000 à 20 000 € | 1 à 3 mois |
| Sauvegardes et reprise | Restaurer après ransomware ou erreur humaine | 5 000 à 30 000 € | 1 à 4 mois |
| Supervision et journalisation | Détecter les incidents et garder des preuves | 10 000 à 60 000 € par an | 2 à 6 mois |
| Plan de réponse à incident | Savoir qui décide, quoi couper, qui notifier | 4 000 à 18 000 € | 3 à 8 semaines |
À ce budget, mieux vaut financer d’abord les mesures qui réduisent vraiment le risque : authentification multifacteur (validation en deux étapes), sauvegardes restaurables, mises à jour, cloisonnement des accès et surveillance des journaux. Acheter un outil sophistiqué sans procédure interne claire rassure rarement longtemps.
Le Référentiel Cyber France de l’ANSSI : utile, mais pas magique
Le 17 mars 2026, l’ANSSI a publié le Référentiel Cyber France, aussi appelé ReCyF. C’est un document de travail listant des mesures recommandées pour atteindre les objectifs de sécurité NIS2. L’ANSSI précise qu’il n’est pas obligatoire par défaut à ce stade.
Ce référentiel a pourtant une grande valeur pratique. Il donne une base de discussion entre direction générale, DSI, RSSI (responsable sécurité des systèmes d’information), prestataires et juristes. Au lieu de parler vaguement de « sécurité », vous pouvez rattacher chaque action à un objectif : gérer les risques, protéger les accès, détecter, répondre, restaurer.
Honnêtement, chercher une conformité documentaire parfaite dès le premier trimestre ne se justifie que pour les organisations déjà très matures ou très exposées. Pour beaucoup de PME, l’arbitrage gagnant consiste à obtenir d’abord une trajectoire crédible : risques classés, responsables nommés, actions datées, preuves conservées.
Ce travail recoupe d’autres textes. Les entreprises qui produisent ou distribuent des logiciels devront aussi surveiller le Cyber Resilience Act et ses obligations pour les logiciels. Les acteurs financiers, eux, doivent déjà composer avec DORA, applicable depuis janvier 2025 aux services financiers. Les textes ne sont pas identiques, mais ils convergent vers une même attente : prouver la maîtrise du risque numérique.
Par quoi commencer sans bloquer vos projets digitaux ?
Le réflexe naturel consiste à demander une checklist. Elle aide, mais elle ne remplace pas le cadrage. Une plateforme web, une application mobile, un hébergement OVH, une protection Cloudflare, un back-office connecté à un ERP et des API (interfaces d’échange entre logiciels) n’exposent pas les mêmes risques.
Une méthode simple fonctionne bien pour démarrer sans paralyser l’activité :
- Listez les services numériques qui interrompraient votre activité s’ils tombaient pendant 48 heures.
- Identifiez les données sensibles : clients, santé, paiement, secrets industriels, identifiants, contrats.
- Vérifiez les accès administrateurs, les comptes partagés et l’authentification multifacteur.
- Testez une restauration de sauvegarde, pas seulement l’existence d’une sauvegarde.
- Documentez qui décide en cas d’incident : direction, technique, juridique, communication, prestataires.
- Classez les actions selon impact, coût et délai, puis arbitrez en comité de direction.
Le cas où la solution évidente est mauvaise : refaire entièrement un site ou une application pour « repartir propre ». Parfois c’est nécessaire, notamment si le socle technique est obsolète. Mais souvent, les gains les plus rapides viennent d’un durcissement ciblé : mises à jour, suppression des comptes dormants, revue des extensions, séparation des environnements, sauvegardes hors ligne.
Les applications mobiles méritent une attention particulière, car elles exposent des API, des jetons d’accès et parfois des données locales. Avant publication ou refonte, une checklist de sécurité pour application mobile évite des corrections tardives. Et si votre application dépend fortement d’API, les failles invisibles côté API mobile sont souvent plus critiques que l’écran visible par l’utilisateur.
Côté agence, le réflexe est de relier la conformité au cycle de vie réel du produit digital : conception, développement, hébergement, maintenance, supervision. Une exigence NIS2 ajoutée après la livraison coûte plus cher qu’une exigence intégrée dès le cahier des charges.
Ce que la loi résilience NIS2 implique dans vos contrats
La loi résilience NIS2 ne concerne pas seulement votre organisation interne. Elle modifie la manière de rédiger et de piloter les contrats avec vos prestataires numériques : hébergeur, agence web, infogérant, éditeur SaaS, mainteneur, fournisseur de paiement, centre de support.
Les clauses à regarder ne sont pas uniquement juridiques. Elles doivent répondre à des questions opérationnelles : où sont hébergées les données, sous quel délai un incident est signalé, qui a accès aux journaux, comment les sauvegardes sont testées, quelle procédure s’applique en cas de compromission, et comment se termine proprement le contrat.
Attention aux offres trop vagues. « Hébergement sécurisé » ne dit rien si vous ne savez pas si les mises à jour sont incluses, si un pare-feu applicatif est activé, si les sauvegardes sont isolées, ou si les logs sont conservés assez longtemps pour enquêter. Sur un projet e-commerce, par exemple, le choix entre PrestaShop, WooCommerce ou Shopware doit aussi intégrer la maintenance et l’exposition des extensions ; ce sujet est détaillé dans notre comparaison des plateformes e-commerce en 2026.
Cadrer ce type de projet en amont évite la plupart des mauvaises surprises : périmètre flou, budget sous-estimé, responsabilités dispersées, preuves introuvables. Un regard extérieur aide surtout à transformer une obligation réglementaire en plan d’action réaliste, compatible avec vos délais et vos moyens.
FAQ sur la loi résilience NIS2
La loi Résilience NIS2 est-elle votée en France ?
Au 21 juillet 2026, le dossier officiel de l’Assemblée nationale consulté ne confirme pas de vote final ni de promulgation. Le texte est passé par le Sénat en mars 2025 et restait affiché en première lecture à l’Assemblée après les travaux de commission.
Combien d’entreprises françaises seront concernées par NIS2 ?
Les sources institutionnelles évoquent environ 15 000 entités françaises, contre environ 500 à 600 auparavant. Le chiffre exact dépendra du périmètre final et des textes d’application.
Quelles sont les sanctions prévues par NIS2 ?
Les plafonds prévus sont de 10 millions d’euros ou 2 % du chiffre d’affaires mondial HT pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes. Le montant le plus élevé serait retenu.
Faut-il attendre la promulgation pour se préparer ?
Non, surtout si votre activité dépend fortement du numérique ou de contrats avec des acteurs régulés. L’ANSSI invite déjà les futures entités essentielles et importantes à engager une démarche de sécurisation cohérente avec NIS2.
Le ReCyF de l’ANSSI est-il obligatoire ?
L’ANSSI indique que le Référentiel Cyber France publié en mars 2026 n’est pas obligatoire par défaut à ce stade. Il reste utile comme base de travail pour structurer une trajectoire de conformité.