NIS 2 : la loi Résilience à nouveau retirée de l'ordre du jour, faut-il attendre ?

Introduction

La directive (UE) 2022/2555, dite NIS 2, étend considérablement le nombre d’entités tenues à des obligations de cybersécurité. Les États membres devaient la transposer au plus tard le 17 octobre 2024. La France ne l’a toujours pas fait. Le projet de loi destiné à la transposer, dit « loi Résilience », a de nouveau été retiré de l’ordre du jour de l’Assemblée nationale au début du mois d’octobre 2026.

Le parcours du texte

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose à la fois NIS 2, la directive (UE) 2022/2557 sur la résilience des entités critiques, et adapte le droit français au règlement DORA sur la résilience opérationnelle numérique du secteur financier.

Le Gouvernement a engagé la procédure accélérée le 15 octobre 2024. Le Sénat a adopté le texte en première lecture le 12 mars 2025. À l’Assemblée nationale, une commission spéciale a établi son texte le 10 septembre 2025. L’examen en séance publique, inscrit pour les 7 et 9 octobre 2026, a été retiré de l’ordre du jour par la conférence des présidents du 6 octobre 2026, sans nouvelle date à ce stade.

Ce que cela change, et ce que cela ne change pas

Tant que la loi n’est pas adoptée et que ses décrets ne sont pas publiés, les obligations propres à NIS 2 ne s’imposent pas en tant que telles aux entités françaises. Le règlement DORA, lui, n’a pas besoin de transposition : il s’applique directement aux entités financières depuis le 17 janvier 2025.

Le retard ne fait pas disparaître le sujet. Le texte, une fois adopté, s’appliquera à un périmètre beaucoup plus large que l’ancienne directive, et les délais de mise en conformité risquent d’être courts au regard du retard accumulé.

En pratique

Une entreprise susceptible d’entrer dans le champ de NIS 2, par son secteur et sa taille, gagne à engager dès maintenant les chantiers les plus longs : identifier ses actifs critiques, formaliser une analyse des risques, organiser la gouvernance de la cybersécurité au niveau de la direction, et préparer une procédure de notification des incidents.

Ces mesures répondent déjà à des attentes concrètes : clauses de sécurité exigées par les grands donneurs d’ordre, questionnaires des assureurs cyber, obligations de sécurité du RGPD. Elles ne seront pas perdues quel que soit le texte final.

En résumé

• La France n’a pas encore transposé la directive NIS 2, dont l’échéance était fixée au 17 octobre 2024.
• Le projet de loi Résilience, adopté par le Sénat le 12 mars 2025, attend son examen en séance à l’Assemblée nationale.
• Son examen prévu les 7 et 9 octobre 2026 a été retiré de l’ordre du jour.
• DORA s’applique déjà directement au secteur financier.
• Les chantiers de conformité les plus longs peuvent être engagés sans attendre.