NIS 2 : le projet de loi revient à l’Assemblée nationale le 9 novembre, après plus de deux ans de retard

Le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité revient à l’Assemblée nationale le lundi 9 novembre 2026. Les débats sont prévus jusqu’au vendredi 13 novembre, hors 11 novembre, selon Silicon, relayé par Le Découvert le 5 novembre. Le texte transpose la directive européenne NIS 2, dont l’échéance était fixée au 17 octobre 2024. La France accuse donc plus de deux ans de retard. Pour les entreprises concernées, l’enjeu est concret : le périmètre régulé passerait de 6 à 18 secteurs.

Un retard de plus de deux ans

L’échéance européenne de transposition de NIS 2 était fixée au 17 octobre 2024. Deux ans plus tard, le texte français n’est toujours pas adopté. Le Sénat l’a adopté en mars 2025. Il devait ensuite figurer à l’ordre du jour de la session extraordinaire de juillet 2026. Il a été reporté au 7 octobre, puis retiré en raison de l’encombrement du calendrier parlementaire, toujours selon Silicon.

La nouvelle programmation de novembre constitue une étape parlementaire, pas une adoption définitive. Le texte devra encore passer par les débats, puis par la suite de la procédure législative, avant d’entrer en vigueur. Pour les organisations concernées, la distinction compte : il ne faut pas confondre le calendrier législatif et le calendrier de préparation. Les entreprises doivent déjà préparer programmes et budgets, sans attendre le vote final.

Trois directives dans un seul texte

Le projet de loi transpose trois directives européennes adoptées en 2022, aux objets distincts.

La première, appelée REC, porte sur la résilience des entités critiques. Elle vise les organisations dont le fonctionnement est essentiel pour la société, comme l’énergie, les transports ou l’eau, et leur demande de se préparer à des incidents graves.

La deuxième est NIS 2, la directive qui renforce le cadre de cybersécurité pour un grand nombre d’entreprises et d’administrations. Elle élargit le nombre de secteurs concernés et fixe des exigences communes en matière de gestion des risques et de notification des incidents.

La troisième directive est associée au règlement DORA, qui concerne la résilience opérationnelle numérique du secteur financier. Pour les banques et les assurances, l’articulation entre ce volet et le cadre NIS 2 mérite une attention particulière, car les deux cadres restent distincts.

Des infrastructures vitales au périmètre élargi

Le titre premier modernise le dispositif de sécurité des activités d’importance vitale, créé en 2006 et applicable à plus de 300 opérateurs. Il encadre la protection des sites et des réseaux dont l’interruption aurait des conséquences graves pour le pays. Le texte l’étendrait aux réseaux de chaleur et de froid, à l’hydrogène et à l’assainissement.

Des plans de résilience sont prévus pour les opérateurs concernés et pour les quelque 1 500 points d’importance vitale recensés, toujours selon Silicon. Un plan de résilience décrit comment une organisation maintient ses activités essentielles en cas d’incident. Pour les opérateurs, l’exercice ne se limite pas à un document : il suppose des tests, des exercices et une mise à jour régulière.

De 6 à 18 secteurs régulés

Le titre deux, consacré à NIS 2, change le plus la donne pour les entreprises. Aujourd’hui, le cadre français de cybersécurité renforcée couvre 6 secteurs. Avec NIS 2, le périmètre passerait à 18 secteurs. La santé, les industries manufacturières, la fabrication de produits chimiques, la recherche, les services postaux et les infrastructures numériques font partie des activités qui entreraient dans le champ de la régulation.

Pour une entreprise, entrer dans ce périmètre signifie d’abord cartographier ses risques : identifier les systèmes les plus critiques, les données les plus sensibles et les fournisseurs dont dépend son activité. Il faudra ensuite mettre en place des mesures proportionnées, former les équipes et savoir signaler les incidents aux autorités dans les délais prévus. Les petites structures des secteurs nouvellement couverts devront souvent construire ces capacités avec des budgets limités et des équipes réduites.

Ce que dit l’ANSSI

Interrogé début octobre par les rapporteurs de la commission spéciale, le directeur général de l’ANSSI, Vincent Strubel, a défendu l’équilibre du projet. Il appelle à ne pas surtransposer NIS 2, c’est-à-dire à ne pas ajouter d’exigences françaises au-delà de ce que demande la directive européenne.

Il juge le projet technologiquement neutre : le texte fixerait des objectifs de sécurité sans imposer une technologie ou un fournisseur en particulier, laissant aux organisations le choix des moyens. Il estime aussi que les mesures prévues auraient été efficaces contre la majorité des vols de données récents en France. Il s’agit de l’appréciation de l’ANSSI, rapportée par Silicon, et non d’une efficacité déjà démontrée par l’application de la future loi, puisque celle-ci n’est pas encore entrée en vigueur. Vincent Strubel souligne enfin que les reports freinent la préparation des entités, notamment leurs allocations budgétaires : quand un texte tarde, les entreprises hésitent à investir.

Ce que cela change concrètement pour les entreprises

Pour une entreprise qui entrera dans le périmètre NIS 2, les mois qui viennent seront une période de préparation. Trois chantiers reviennent dans les retours d’expérience des pays qui ont déjà transposé la directive. Le premier est la gouvernance : un responsable désigné, une direction impliquée, des décisions documentées. Le deuxième est la technique : sauvegardes testées, mises à jour suivies, accès contrôlés. Le troisième est l’organisation : un plan de réponse aux incidents et des exercices réguliers.

Les débats de novembre ne trancheront pas tout : des amendements peuvent encore modifier le texte, et la date d’entrée en vigueur restera à préciser. Mais le signal est clair : la transposition avance, après plus de deux ans d’attente, et le périmètre régulé va s’élargir fortement. Les organisations qui préparent dès maintenant auront une longueur d’avance.

Questions fréquentes

Quand l’Assemblée nationale débattra-t-elle du projet de loi NIS 2 ?

Selon Silicon, relayé par Le Découvert, les débats en séance publique sont prévus du lundi 9 au vendredi 13 novembre 2026, hors 11 novembre. Il s’agit d’une étape parlementaire, pas d’une adoption définitive.

Quels secteurs seront concernés par NIS 2 en France ?

Le périmètre passerait de 6 à 18 secteurs : santé, industries manufacturières, fabrication de produits chimiques, recherche, services postaux et infrastructures numériques. Le titre premier élargit aussi le dispositif des activités d’importance vitale aux réseaux de chaleur et de froid, à l’hydrogène et à l’assainissement.

Pourquoi la transposition de NIS 2 a-t-elle pris autant de retard ?

L’échéance européenne était fixée au 17 octobre 2024. Le texte a été adopté au Sénat en mars 2025, puis devait être examiné en juillet 2026. Reporté au 7 octobre, il a été retiré en raison de l’encombrement du calendrier parlementaire, selon Silicon. La programmation de novembre relance un dossier en attente depuis plus de deux ans.