Suivi NIS2 : où en est chaque pays de l'UE dans la transposition
Au 16 octobre 2026 : une loi nationale NIS2 est en vigueur dans 24 des 27 pays de l'UE. Toujours sans loi en vigueur : Espagne, France et Irlande. Le délai de l'UE pour la transposition était le 17 octobre 2024. Le tableau indique pour chaque pays la loi, l'autorité, le CSIRT et l'état.
L'état dans chaque pays de l'UE
Pour chaque pays, la loi nationale, l'autorité principale, le CSIRT national et l'état. Lorsqu'un pays a sa propre page, son nom y mène.
| Pays | Loi nationale | Autorité compétente | CSIRT national | État |
|---|---|---|---|---|
DEAllemagne | NIS2UmsuCG / BSIG L'Allemagne a manqué la date limite de l'UE du 17 octobre 2024. La Commission a ouvert une procédure d'infraction en mai 2025. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | En vigueur |
ATAutriche | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) Le NISG initial (BGBl. I Nr. 111/2018) transposait NIS 1 ; remplacé par le NISG 2026 (BGBl. I Nr. 94/2025), en vigueur le 1er octobre 2026. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | En vigueur |
BEBelgique | NIS2 Law (Loi NIS2) L'un des premiers États membres à transposer. Entrée en vigueur le 18 octobre 2024. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | En vigueur |
BGBulgarie | Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | En vigueur |
CYChypre | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | En vigueur |
HRCroatie | Zakon o kibernetičkoj sigurnosti Adopté en 2024. Modèle de supervision sectorielle. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | En vigueur |
DKDanemark | LOV nr 434 af 06/05/2025 (NIS 2-loven) Le Danemark utilise un modèle de supervision sectorielle. Le CFCS, qui exploite le CSIRT national, fait partie de SAMSIK depuis le 29 janvier 2025. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | En vigueur |
ESEspagne | - L'Espagne applique un modèle à deux CSIRT. Supervision sectorielle via le Real Decreto 43/2021 existant (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | En préparation |
EEEstonie | Küberturvalisuse seadus L'Estonie a transposé rapidement via une modification de sa loi sur la cybersécurité de 2018. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | En vigueur |
FIFinlande | Kyberturvallisuuslaki (124/2025) Loi de transposition Kyberturvallisuuslaki (124/2025) en vigueur depuis le 8 avril 2025. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | En vigueur |
FRFrance | Loi Résilience (bundles NIS2 + DORA + CER) Superposé au régime OIV / OSE existant prévu par le Code de la défense. Enregistrement via MonEspaceNIS2. L'Assemblée nationale a retiré le projet de loi de transposition des séances publiques des 7 et 9 octobre 2026 ; aucune nouvelle date n'est fixée (prochaine Conférence des présidents le 20 octobre 2026). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Adoptée ou en procédure législative |
GRGrèce | Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | En vigueur |
HUHongrie | Act LXIX of 2024 (Hungarian Cybersecurity Act) La Hongrie a transposé tôt via la loi XXIII de 2023. Superposé avec la SZTFH comme autorité de supervision de la cybersécurité. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | En vigueur |
IEIrlande | National Cyber Security Bill (draft) Projet de loi en cours de procédure législative aux Houses of the Oireachtas ; renvoi devant la CJUE le 8 juillet 2026. | NCSC (National Cyber Security Centre) | NCSC-IE | En préparation |
ITItalie | D.Lgs. 138/2024 Entrée en vigueur le 16 octobre 2024. L'un des rares États membres à avoir respecté la date limite de l'UE. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | En vigueur |
LVLettonie | Nacionālās kiberdrošības likums La Lettonie a adopté en 2024 la loi nationale sur la cybersécurité, transposant NIS 2. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | En vigueur |
LTLituanie | Kibernetinio saugumo įstatymas La Lituanie a adopté l'acte de transposition fin 2024. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | En vigueur |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | En vigueur | |
MTMalte | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | En vigueur |
NLPays-Bas | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw publiée le 10 juillet 2026 (Stb. 2026, 187), en vigueur le 15 août 2026. Remplace la Wbni (transposition NIS 1). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | En vigueur |
PLPologne | Amended KSC Act (ustawa o KSC) Modification de la loi sur le système national de cybersécurité (Ustawa o KSC) en vigueur depuis le 3 avril 2026. L'auto-enregistrement dans le registre a pris fin le 3 octobre 2026. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | En vigueur |
PTPortugal | Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | En vigueur |
RORoumanie | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 La Roumanie a transposé via l'OUG 155/2024 en décembre 2024. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | En vigueur |
Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | En vigueur | |
SISlovénie | ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | En vigueur |
SESuède | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | En vigueur |
CZTchéquie | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti L'ancienne loi sur la cybersécurité (Zákon č. 181/2014 Sb.) transposait NIS 1. Elle a été remplacée par la loi 264/2025 Sb., en vigueur depuis le 1er novembre 2025. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | En vigueur |
Entrées en vigueur les plus récentes
Les pays dont la loi est entrée en vigueur le plus récemment, la plus récente en premier.
- Autriche : en vigueur depuis le 1 octobre 2026
- Pays-Bas : en vigueur depuis le 15 août 2026
- Luxembourg : en vigueur depuis le 10 mai 2026
- Pologne : en vigueur depuis le 3 avril 2026
- Portugal : en vigueur depuis le 3 avril 2026
Pourquoi les pays en sont à des stades différents
NIS2 est une directive. Elle s'adresse aux États membres. Chaque pays de l'UE doit la transposer dans sa propre loi.
Le délai pour cela était le 17 octobre 2024. Beaucoup de pays l'ont fait plus tard. La Commission européenne a donc ouvert des procédures contre plusieurs pays et en a saisi certains devant la Cour de justice de l'UE.
Les obligations des entreprises ne naissent qu'avec la loi nationale. D'ici là, des règles plus anciennes issues de la première directive NIS peuvent encore s'appliquer dans un pays.
Art. 41(1) NIS 2
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Ce qui compte le plus pour votre entreprise, c'est le pays où elle est établie. Si elle est établie uniquement en Allemagne, c'est la loi BSI qui s'applique à vous, depuis le 6 décembre 2025.
Le suivi est utile si vous avez des filiales ou des usines dans d'autres pays de l'UE. Là-bas, c'est la loi de ce pays qui décide si et à partir de quand des obligations s'appliquent.
Une loi en vigueur ne signifie pas que tous les délais sont déjà passés. Chaque pays fixe son propre délai d'enregistrement.
Quel pays est compétent pour votre entrepriseUn exemple
Une entreprise fictive : un fabricant de machines d'emballage de 110 salariés en Allemagne, avec sa propre usine en Pologne et une filiale commerciale en Irlande.
La GmbH allemande : la construction de machines figure à l'annexe 2 du BSIG, et avec 110 salariés elle est une entité importante. Elle s'enregistre auprès du BSI.
L'usine en Pologne est une société à part entière. Si le suivi indique une loi en vigueur pour la Pologne, l'entreprise vérifie si l'usine est concernée selon la loi polonaise et jusqu'à quand elle doit s'y enregistrer.
La filiale commerciale en Irlande ne fabrique rien elle-même. Qu'elle relève de NIS2 dépend de ce qu'elle fait. Si le suivi n'indique pas encore de loi en vigueur pour l'Irlande, aucune obligation n'y naît encore d'une loi NIS2 irlandaise.
L'entreprise consulte le suivi une fois par trimestre. Elle a choisi elle-même cet intervalle.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu utilise les mêmes données que ce tableau.
L'étape de l'enregistrement indique l'autorité compétente pour votre pays et son portail, à partir de la même liste que cette page.
Elle explique dans quel pays de l'UE vous vous enregistrez, avec les exceptions pour les télécommunications et les fournisseurs numériques.
Les mesures de sécurité suivent la liste minimale de la directive, qui s'applique dans chaque pays de l'UE.
Les explications du parcours guidé sont disponibles en allemand et en anglais.
Pages sur des pays individuels
Bundesamt für Cybersicherheit
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
DSA (Digital Security Authority)
NHCSC-HR (National Cybersecurity Center)
SAMSIK (Styrelsen for Samfundssikkerhed)
CCN-CERT / INCIBE
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
NCSC (National Cyber Security Centre)
ACN (Agenzia per la Cybersicurezza Nazionale)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
CIPD (Critical Infrastructure Protection Department)
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
NBÚ (Národný bezpečnostný úrad)
URSIV (Information Security Agency)
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
Questions fréquentes
Quels pays ont transposé NIS2 ?
Au 16 octobre 2026, une loi nationale NIS2 est en vigueur dans 24 des 27 pays de l'UE. Le tableau ci-dessus indique pour chaque pays la loi, l'autorité et l'état.
Quels pays n'ont pas encore transposé NIS2 ?
Au 16 octobre 2026, aucune loi nationale n'est encore en vigueur dans : Espagne, France et Irlande.
Qu'est-ce qu'un CSIRT ?
Un CSIRT (centre de réponse aux incidents de sécurité informatique) est une équipe qui reçoit les signalements d'incidents de sécurité dans un pays et aide à les traiter. Chaque pays de l'UE en désigne au moins un (art. 10 NIS 2). En Allemagne, c'est le CERT-Bund au sein du BSI.
Le suivi est-il à jour ?
Le tableau est arrêté au 16 octobre 2026. Les sources qui font foi sont le journal officiel de chaque pays et la vue d'ensemble de la Commission européenne, indiqués ci-dessous.
Sources
- Directive (UE) 2022/2555 (NIS 2), art. 10 et 41, EUR-Lex
- Commission européenne, état de la transposition de NIS 2 : digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Commission européenne, procédures d'infraction pour non-communication de la transposition (lettres de mise en demeure du 28 novembre 2024, avis motivés du 7 mai 2025, saisines de la Cour de justice de l'UE du 8 juillet 2026, IP/26/1499)
- Journaux officiels nationaux, comme le BGBl (DE), le Moniteur belge / Belgisch Staatsblad (BE), la Gazzetta Ufficiale (IT), le BOE (ES), le JORF (FR), la Sbírka zákonů (CZ)
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
