Statut de NIS 2 en France
Ce que la directive exige, comment la France la transpose, et où se situe l'ANSSI dans le tableau.
Vue d'ensemble
La directive NIS 2 est la strate européenne. Elle lie chaque État membre, dont la France, avec un socle de cybersécurité unique pour les entités essentielles et importantes. La France doit inscrire ce socle dans le droit français et mettre en œuvre un régime de supervision en application de celui-ci.
La France n'a pas encore transposé NIS 2. La transposition est un projet de loi du gouvernement, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui couvre NIS 2, la directive sur les entités critiques et DORA. Le Sénat l'a adopté le 12 mars 2025 et une commission spéciale de l'Assemblée nationale le 10 septembre 2025. Le débat en séance publique à l'Assemblée est prévu pour le 7 octobre 2026. La Commission a saisi la Cour de justice de l'UE le 8 juillet 2026 contre la France pour défaut de transposition de NIS 2 et a demandé des sanctions financières. Le projet se superpose au régime OIV existant (Opérateurs d'Importance Vitale) et au régime OSE issu de NIS 1 (Opérateurs de Services Essentiels) plutôt que de les remplacer purement et simplement.
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) exploite le CSIRT national et est l'autorité nationale au titre du projet de loi. Elle propose un préenregistrement volontaire sur messervices.cyber.gouv.fr/nis2 (anciennement MonEspaceNIS2) ; l'enregistrement ne devient une obligation qu'une fois la loi adoptée. Les régulateurs sectoriels restent dans la boucle pour les secteurs qui en disposaient déjà, la finance en particulier, où DORA agit comme lex specialis.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité à l'échelle de l'UE. Elle fixe les obligations que chaque État membre doit transposer, y compris les tests de taille et de secteur pour les entités essentielles et importantes.
Mise en œuvre par l'UE
Règlement d'exécution (UE) 2024/2690 de la Commission
Mesures techniques et méthodologiques pour les fournisseurs d'infrastructure numérique. Directement applicable en France sans transposition nationale.
Transposition française (projet de loi)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Le projet de loi du gouvernement qui transposera NIS 2, avec la directive sur les entités critiques et DORA. Le Sénat l'a adopté le 12 mars 2025 ; le débat en séance publique de l'Assemblée nationale est prévu pour le 7 octobre 2026. Le titre I du projet réécrit les règles sur les opérateurs critiques dans le Code de la défense ; le titre II porte NIS 2 sous forme d'articles de la nouvelle loi, avec l'ANSSI comme autorité nationale. Les décrets d'application et les orientations de l'ANSSI préciseront le détail opérationnel.
Le projet de loi résilience et cybersécurité
Portera les obligations de NIS 2 en droit français une fois adopté ; ce n'est pas encore une loi. Le projet définit deux catégories, entités essentielles (EE) et entités importantes (EI), les pouvoirs de supervision de l'ANSSI, les obligations de déclaration d'incidents et les sanctions. La plupart du détail opérationnel est délégué aux décrets d'application.
L'ANSSI comme superviseur et CSIRT
Au titre du projet de loi, l'ANSSI assure la supervision et les audits et défère les manquements à une commission des sanctions, qui prononce les amendes. Elle exploite également le CSIRT national et le préenregistrement volontaire sur messervices.cyber.gouv.fr/nis2 (anciennement MonEspaceNIS2). Les régulateurs sectoriels tels que l'ACPR pour la finance conservent leur propre compétence là où la lex specialis s'applique.
Enregistrement et déclaration
La directive imposait que les entités soient identifiables par les États membres à compter du 17 avril 2025. La France n'a pas encore d'obligation d'enregistrement : l'ANSSI propose un préenregistrement volontaire sur messervices.cyber.gouv.fr/nis2 (anciennement MonEspaceNIS2), et l'enregistrement ne devient une obligation qu'une fois la loi adoptée. Une fois la loi applicable, les incidents importants suivent la cadence de la directive : alerte précoce à 24 h, notification à 72 h et rapport final à un mois.
Le droit local s'applique à l'intérieur de la France
Les entités établies en France suivront la transposition française une fois adoptée. Un Geschäftsführer allemand dirigeant une filiale française lira la loi française pour cette filiale, et non le BSIG allemand. Les obligations de la directive sont les mêmes ; la procédure, le portail et les sanctions relèveront du droit français.
La France ne peut pas descendre sous le socle de l'UE
La directive est un instrument d'harmonisation minimale. La France peut aller plus strict, et l'a historiquement fait via le régime OIV. Elle ne peut pas descendre sous la directive concernant les obligations des entités essentielles et importantes, les délais de déclaration d'incidents ou la responsabilité de l'organe de direction.
ANSSI
CSIRT national et autorité nationale au titre du projet de loi. Exploite le préenregistrement volontaire NIS 2 sur messervices.cyber.gouv.fr/nis2 (anciennement MonEspaceNIS2), publie des orientations et mène des audits. Au titre du projet de loi, l'ANSSI assure la supervision et défère les manquements à une commission des sanctions, qui prononce des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles et 7 millions d'euros ou 1,4 % pour les entités importantes. Détient la doctrine OIV historique qui alimentera la supervision NIS 2.
CNIL
L'autorité française de protection des données. Pas le régulateur NIS 2. Reste compétente pour la déclaration des violations de données à caractère personnel au titre du GDPR. Un incident NIS 2 touchant des données à caractère personnel est souvent une double notification : ANSSI et CNIL.
ENISA
L'agence de l'UE pour la cybersécurité. Publie des orientations, gère la base de données européenne des vulnérabilités et soutient la coordination transfrontalière. N'est pas un superviseur pour les entités françaises ; c'est l'ANSSI.
Nous sommes déjà OIV, donc NIS 2 est géré.
Les classifications OIV et OSE au titre du Code de la défense existant et du cadre NIS 1 ne se reportent pas automatiquement en tant qu'entités essentielles ou importantes (EE ou EI) au titre de NIS 2. Le périmètre est différent, les seuils sectoriels sont différents, et les entités doivent vérifier leur statut au regard des nouveaux critères. De nombreux OIV sont aussi des entités essentielles au titre de NIS 2, mais l'ensemble des obligations et le canal de déclaration changent.
NIS 2 en France ne s'applique qu'aux grands opérateurs.
Le test de taille plafonne par défaut aux moyennes et grandes entreprises, mais la directive capte les petites entités lorsqu'elles sont le seul fournisseur, lorsqu'une perturbation a un impact transfrontalier, ou lorsque le droit français les ajoute. Les administrations publiques et certains fournisseurs numériques sont concernés indépendamment de leur taille. Le test d'applicabilité doit être effectué au cas par cas, et non sur la seule taille de l'entreprise.
MonEspaceNIS2 et l'ANSSI n'acceptent que le français.
Le portail et les orientations officielles sont en français d'abord. Les sociétés mères étrangères ne devraient pas présumer qu'elles ont besoin d'une traduction française complète de chaque politique interne pour s'enregistrer ou pour déposer une déclaration d'incident.
La plupart des opérateurs français équivalents au Mittelstand que nous voyons traitent encore NIS 2 comme une extension de l'ancien régime OIV / OSE. C'est à moitié exact. Au titre du projet de loi, la supervision et le canal d'incident résident au sein de l'ANSSI comme auparavant, mais le champ d'application est plus large et la validation par l'organe de direction est plus lourde. Une fois la loi applicable, l'équivalent du Geschäftsführer (président, directeur général, gérant) est personnellement engagé pour l'approbation de la gestion des risques et la formation.
La démarche pratique est la même que partout ailleurs dans l'UE : confirmer le champ d'application au titre de la directive, se préenregistrer volontairement auprès de l'ANSSI (messervices.cyber.gouv.fr/nis2, anciennement MonEspaceNIS2) et s'enregistrer une fois la loi adoptée, mettre en place les quatre obligations continues (tenue à jour de l'enregistrement, déclaration d'incidents, risque lié à la chaîne d'approvisionnement, supervision par l'organe de direction), et documenter le minimum. L'appareil OIV aide, mais il ne se substitue pas aux obligations NIS 2.
- Directive (UE) 2022/2555 (NIS 2): EUR-Lex
- Règlement d'exécution (UE) 2024/2690 de la Commission
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, dossier législatif
- Code de la défense, articles L.1332-1 et suivants (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, site officiel
- Préenregistrement NIS 2 de l'ANSSI: messervices.cyber.gouv.fr/nis2 (anciennement MonEspaceNIS2)
- ACPR / Banque de France: autorité compétente pour DORA dans le secteur financier
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
