NIS2 en France, en bref.

• L’Assemblée nationale a examiné le projet de loi en séance jusqu’au 10 novembre 2026. Le vote sur l’ensemble du texte est prévu le 17 novembre 2026. Le texte publié est provisoire et peut encore changer.
• L’ANSSI est l’autorité nationale. Elle écrit : "La transposition de la directive NIS 2 en France est en cours." Un service de pré-enregistrement est déjà ouvert.
• La Commission européenne a adressé un avis motivé à la France le 7 mai 2025. Le 8 juillet 2026, elle l’a renvoyée devant la Cour de justice de l’Union européenne pour défaut de transposition.

Assemblée nationale, texte du 10 novembre 2026 · Assemblée nationale, dossier législatif · ANSSI, MesServicesCyber NIS2 · Commission européenne, 8 juillet 2026

• Selon le projet, une entreprise d’un secteur hautement critique serait une entité essentielle si elle emploie au moins 250 personnes, ou si son chiffre d’affaires annuel excède 50 millions d’euros et son bilan 43 millions d’euros (article 8).
• Les régions, les départements et les communes de plus de 30 000 habitants seraient des entités essentielles (article 8).
• Une entreprise d’un secteur hautement critique ou critique serait une entité importante si elle emploie au moins 50 personnes, ou si son chiffre d’affaires et son bilan excèdent chacun 10 millions d’euros (article 9).
• Les entités disposeraient de deux ans à compter de la promulgation de la loi pour mettre en œuvre les exigences de l’article 14. Tant que la loi n’est pas promulguée, aucune obligation française issue de NIS2 n’est en vigueur.
• Selon l’ANSSI, une entité concernée "doit s’enregistrer en France auprès de l’Agence nationale de la sécurité des systèmes d’information (ANSSI)". Pour l’instant, il s’agit d’un pré-enregistrement.

Projet de loi, articles 8, 9 et 14 · ANSSI, MesServicesCyber NIS2

Selon le projet, les mesures doivent "Prévoir que les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité des réseaux et des systèmes d’information" (article 14). La directive le demande à son article 20.

• Le même article prévoit une formation : "Les membres de ces organes ainsi que les personnes exposées aux risques doivent être formés à la cybersécurité en fonction de leur degré d’exposition au risque".
• Ni la directive ni le projet ne fixent un nombre d’heures ou une fréquence.
• Pour une entité essentielle, la commission des sanctions pourrait interdire à un dirigeant d’exercer des responsabilités dirigeantes dans l’entité, jusqu’à ce que celle-ci ait remédié au manquement (article 37). Le projet n’est pas encore une loi.

Projet de loi, articles 14 et 37 · Directive (UE) 2022/2555, article 20

La directive range la cyberhygiène de base et la formation à la cybersécurité parmi les mesures que chaque entité doit prendre (article 21, paragraphe 2, point g).

Le projet vise "les personnes exposées aux risques", formées "en fonction de leur degré d’exposition au risque". Il ne dit pas que tout le personnel doit suivre la même formation, et ce n’est pas encore une obligation. Selon nous, une autorité de contrôle demandera quand même un plan de formation et des traces.

Directive (UE) 2022/2555, article 21 · Projet de loi, article 14

Ce sont les délais de l’article 17 du projet, comptés à partir du moment où l’entité a eu connaissance de l’incident important. La notification irait à l’ANSSI. Ces délais ne s’appliquent pas encore en France. Une violation de données personnelles se notifie déjà à la CNIL selon l’article 33 du RGPD.

Projet de loi, article 17 · Directive (UE) 2022/2555, article 23

Ce sont les plafonds de l’article 37 du projet. Aucune amende n’est possible avant la promulgation de la loi.

Projet de loi, article 37 · Directive (UE) 2022/2555, article 34

• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, texte de l’Assemblée nationale après la séance du 10 novembre 2026, vérifiée le 11 novembre 2026
  Passages sur lesquels s’appuie cette page (18)

  • Texte résultant des délibérations de l'Assemblée nationale à l'issue de la séance du 10 novembre 2026
  • Le vote sur l'ensemble du projet de loi aura lieu le mardi 17 novembre 2026
  • Seule la « petite loi », publiée ultérieurement, a valeur de texte authentique
  • qui emploient au moins 250 personnes ou dont le chiffre d'affaires annuel excède 50 millions d'euros et dont le total du bilan annuel excède 43 millions d'euros
  • qui emploient au moins 50 personnes ou dont le chiffre d'affaires et le total du bilan annuel excèdent chacun 10 millions d'euros
  • Les régions, les départements et les communes d'une population supérieure à 30 000 habitants
  • Prévoir que les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité des réseaux et des systèmes d'information
  • Les membres de ces organes ainsi que les personnes exposées aux risques doivent être formés à la cybersécurité en fonction de leur degré d'exposition au risque
  • d'exercer des responsabilités dirigeantes dans cette entité, jusqu'à ce que l'entité essentielle ait remédié au manquement
  • au plus tard vingt-quatre heures après avoir eu connaissance de l'incident important, une notification initiale
  • au plus tard soixante-douze heures après avoir eu connaissance de l'incident important, une notification intermédiaire
  • Au plus tard un mois après la notification intermédiaire
  • ne peut excéder dix millions d'euros ou 2 % du chiffre d'affaires annuel mondial
  • ne peut excéder sept millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total
  • un plan de remédiation dans un délai de trois mois
  • des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs
  • tout incident ayant un impact important sur la fourniture de leurs services
  • disposent d'un délai de deux ans à compter de la promulgation de la présente loi pour mettre en œuvre les exigences prévues au présent article
• Assemblée nationale, dossier législatif du projet de loi, vérifiée le 11 novembre 2026
  Passages sur lesquels s’appuie cette page (1)

  • résilience des infrastructures critiques et au renforcement de la cybersécurité
• ANSSI, MesServicesCyber : la directive NIS 2, vérifiée le 11 novembre 2026
  Passages sur lesquels s’appuie cette page (2)

  • La transposition de la directive NIS 2 en France est en cours
  • celle-ci doit s'enregistrer en France auprès de l'Agence nationale de la sécurité des systèmes d'information (ANSSI)
• Commission européenne, renvoi devant la Cour de justice, 8 juillet 2026 (en anglais), vérifiée le 11 novembre 2026
  Passages sur lesquels s’appuie cette page (3)

  • Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity
  • Publication 08 July 2026
  • reasoned opinions on 7 May 2025
• Directive (UE) 2022/2555 (NIS2), EUR-Lex