NIS 2 status in France
What the directive requires, how France transposes it, and where ANSSI sits inside the picture.
Overview
The NIS 2 directive is the EU layer. It binds every member state, including France, with one cybersecurity floor for essential and important entities. France must put that floor into French law and run a supervision regime under it.
Frankrijk heeft NIS 2 nog niet omgezet. De omzetting is een wetsontwerp van de regering, het projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dat NIS 2, de richtlijn kritieke entiteiten en DORA omvat. De Senaat heeft het op 12 maart 2025 aangenomen en een bijzondere commissie van de Assemblée nationale op 10 september 2025. De plenaire behandeling in de Assemblée staat gepland voor 7 oktober 2026. De Commissie heeft Frankrijk op 8 juli 2026 bij het Hof van Justitie van de EU gedaagd wegens het niet omzetten van NIS 2 en financiële sancties gevraagd. Het wetsontwerp komt bovenop het bestaande OIV-regime (Opérateurs d'Importance Vitale) en het NIS 1 OSE-regime (Opérateurs de Services Essentiels). Het vervangt ze niet volledig.
ANSSI (Agence nationale de la sécurité des systèmes d'information) beheert het nationale CSIRT en is volgens het wetsontwerp de nationale autoriteit. ANSSI biedt vrijwillige voorregistratie aan op messervices.cyber.gouv.fr/nis2 (voorheen MonEspaceNIS2). Registratie wordt pas een verplichting zodra de wet is aangenomen. Sectorale toezichthouders blijven betrokken voor sectoren die er al een hadden, met name de financiële sector, waar DORA als lex specialis geldt.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. Sets the obligations every member state must transpose, including the size and sector tests for essential and important entities.
EU implementation
Commission Implementing Regulation (EU) 2024/2690
Technical and methodological measures for digital infrastructure providers. Directly applicable in France without national transposition.
Franse omzetting (wetsontwerp)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Het wetsontwerp van de regering dat NIS 2 moet omzetten, samen met de richtlijn kritieke entiteiten en DORA. De Senaat heeft het op 12 maart 2025 aangenomen; de plenaire behandeling in de Assemblée nationale staat gepland voor 7 oktober 2026. Titel I van het wetsontwerp herschrijft de regels voor kritieke operators in de Code de la défense; titel II neemt NIS 2 op als artikelen van de nieuwe wet, met ANSSI als nationale autoriteit. Uitvoeringsbesluiten en richtsnoeren van ANSSI vullen de operationele details in.
Het wetsontwerp over veerkracht en cyberbeveiliging
Brengt de NIS 2-verplichtingen in het Franse recht zodra het is aangenomen; het is nog geen wet. Het wetsontwerp definieert twee categorieën, entités essentielles (EE) en entités importantes (EI), de toezichtbevoegdheden van ANSSI, meldplichten voor incidenten en sancties. De meeste operationele details worden gedelegeerd aan décrets d'application.
ANSSI as supervisor and CSIRT
Volgens het wetsontwerp voert ANSSI toezicht en audits uit en verwijst het overtredingen door naar een sanctiecommissie (commission des sanctions), die de boetes oplegt. ANSSI beheert ook het nationale CSIRT en de vrijwillige voorregistratie op messervices.cyber.gouv.fr/nis2 (voorheen MonEspaceNIS2). Sectorale toezichthouders zoals ACPR voor de financiële sector behouden hun eigen bevoegdheid waar lex specialis geldt.
Registration and reporting
De richtlijn eist dat entiteiten vanaf 17 april 2025 voor de lidstaten identificeerbaar zijn. Frankrijk kent daarvoor nog geen registratieplicht: ANSSI biedt vrijwillige voorregistratie aan op messervices.cyber.gouv.fr/nis2 (voorheen MonEspaceNIS2), en registratie wordt pas een verplichting zodra de wet is aangenomen. Zodra die geldt, volgen significante incidenten het ritme van de richtlijn: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en eindverslag binnen een maand.
Local law applies inside France
Entiteiten die in Frankrijk zijn gevestigd, volgen de Franse omzetting zodra die is aangenomen. Een Duitse Geschäftsführer met een Franse dochter leest voor die dochter de Franse wet, niet de Duitse BSIG. De verplichtingen uit de richtlijn zijn dezelfde; de procedure, het portaal en de sancties staan in het Franse recht.
France cannot go below the EU floor
The directive is a minimum harmonisation instrument. France can go stricter, and historically has via the OIV regime. It cannot drop below the directive on essential and important entity duties, incident reporting deadlines or management body accountability.
ANSSI
Nationaal CSIRT en volgens het wetsontwerp de nationale autoriteit. Beheert de vrijwillige NIS 2-voorregistratie op messervices.cyber.gouv.fr/nis2 (voorheen MonEspaceNIS2), geeft richtsnoeren uit en voert audits uit. Volgens het wetsontwerp houdt ANSSI toezicht en verwijst het overtredingen door naar een sanctiecommissie (commission des sanctions), die boetes oplegt tot 10 miljoen euro of 2 % van de wereldwijde omzet voor essentiële entiteiten en tot 7 miljoen euro of 1,4 % voor belangrijke entiteiten. ANSSI beschikt over de historische OIV-doctrine die in het NIS 2-toezicht zal doorwerken.
CNIL
The French data protection authority. Not the NIS 2 regulator. Stays competent for personal data breach reporting under GDPR. A NIS 2 incident touching personal data is often a dual notification: ANSSI and CNIL.
ENISA
The EU cybersecurity agency. Publishes guidance, manages the European vulnerability database, and supports cross-border coordination. Not a supervisor for French entities; ANSSI is.
We are already OIV, so NIS 2 is handled.
OIV- en OSE-classificaties onder de bestaande Code de la défense en het NIS 1-kader worden onder NIS 2 niet automatisch essentiële of belangrijke entiteiten (EE of EI). De perimeter is anders, de sectorale drempels zijn anders en entiteiten moeten hun status toetsen aan de nieuwe criteria. Veel OIV zijn ook essentiële entiteiten onder NIS 2, maar het pakket aan verplichtingen en het meldkanaal veranderen.
NIS 2 in France only applies to large operators.
The size test caps at medium and large enterprises by default, but the directive captures small entities where they are the sole provider, where disruption has cross-border impact, or where French law adds them. Public administrations and certain digital providers are in regardless of size. The applicability check has to be done case by case, not by company size alone.
MonEspaceNIS2 and ANSSI only accept French.
Het portaal en de officiële richtsnoeren zijn in de eerste plaats Franstalig. Buitenlandse moederbedrijven hoeven er niet van uit te gaan dat zij elk intern beleid volledig in het Frans moeten vertalen om zich te registreren of een incident te melden.
De meeste Franse operators uit het Mittelstand-equivalent die wij zien, behandelen NIS 2 nog als een uitbreiding van het oude OIV- en OSE-regime. Dat klopt maar half. Volgens het wetsontwerp liggen toezicht en meldkanaal net als voorheen bij ANSSI, maar de reikwijdte is breder en de verantwoordelijkheid van het leidinggevend orgaan zwaarder. Zodra de wet geldt, is de Geschäftsführer-equivalent (président, directeur général, gérant) persoonlijk aansprakelijk voor de goedkeuring van het risicobeheer en voor de eigen opleiding.
De praktische stap is dezelfde als overal in de EU: stel vast of u onder de richtlijn valt, registreer u vrijwillig vooraf bij ANSSI (messervices.cyber.gouv.fr/nis2, voorheen MonEspaceNIS2) en registreer u zodra de wet is aangenomen, zet de vier doorlopende verplichtingen op (registratiegegevens bijhouden, incidenten melden, risico's in de toeleveringsketen, toezicht door het leidinggevend orgaan) en documenteer het minimum. Het OIV-apparaat helpt, maar vervangt de NIS 2-verplichtingen niet.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, wetgevingsdossier
- Code de la défense, Articles L.1332-1 et suivants (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, official site
- ANSSI NIS 2-voorregistratie: messervices.cyber.gouv.fr/nis2 (voorheen MonEspaceNIS2)
- ACPR / Banque de France: competent authority for DORA in the financial sector
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
