NIS 2 en 2026 : comment anticiper le projet de loi Résilience ?

La directive européenne NIS 2 est officiellement entrée en vigueur le 16 janvier 2023. Son calendrier initial prévoyait une entrée en application dans tous les États membres le 18 octobre 2024. Pourtant, en France, le processus législatif a subi d'importants ralentissements politiques et techniques, plaçant le pays en situation de retard de transposition nationale.

‍

Chez Adequacy, en accompagnant quotidiennement les organisations dans le pilotage de leurs flux de gouvernance, nous observons de près les défis opérationnels liés à ce décalage. Pendant que le calendrier français s'ajuste, nos voisins européens avancent. La Belgique a transposé le texte dès mai 2024, rendant ses entreprises immédiatement opérationnelles grâce au framework CyberFundamentals (CyFun) piloté par le centre pour la cybersécurité Belgique (CCB).

‍

Pour les organes de direction français, l'attentisme réglementaire est un contresens stratégique. Les exigences de vos partenaires économiques transfrontaliers sont déjà actives, et la future législation française s'appliquera de manière rétroactive sur de nombreux aspects de la gouvernance d'entreprise. Où en est le cadre légal français et comment utiliser les modèles européens existants pour structurer votre plan d'action ?

‍

‍

‍

‍

Le projet de loi Résilience : ce que va contenir la future loi française

‍

‍

Le retard français s'explique par l'ambition du véhicule législatif choisi : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Ce texte ne se contente pas de traduire la directive NIS 2 (relative à des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union), il fusionne cette obligation avec la directive européenne REC (relative à la résilience des entités critiques).

‍

L'objectif de cette loi unique est de créer un bouclier global pour les entreprises stratégiques. Concrètement, le projet de loi français s'articulera autour de deux piliers :

‍

• Le volet cyber (NIS 2) : placé sous le contrôle de l'ANSSI (l'autorité nationale française en matière de cybersécurité), il impose des exigences strictes concernant la sécurité des réseaux et des systèmes d'information, la gestion des vulnérabilités et la notification des incidents
• Le volet physique (REC) : il impose la protection des infrastructures matérielles contre les risques climatiques, le sabotage ou les pannes d'approvisionnement majeures

‍

Attendre le vote final de ce projet de loi pour lancer vos chantiers de conformité est un calcul risqué. Le texte final s'alignera obligatoirement sur les exigences européennes minimales, qui sont déjà figées.

‍

‍

Entités essentielles et importantes : qui est concerné par NIS 2 ?

‍

‍

La directive européenne introduit une logique d'assujettissement automatique basée sur la taille, le chiffre d'affaires et la criticité du secteur d'activité.

‍

On distingue deux niveaux d'obligations et de supervision :

‍

• Les entités essentielles (EE) : grandes entreprises (plus de 250 salariés ou 50 millions d'euros de chiffre d'affaires ou un total de bilan supérieur à 43 millions d'euros) opérant dans des secteurs à haute criticité (énergie, transports, santé, secteur bancaire)
• Les entités importantes (EI) : moyennes et grandes entreprises (plus de 50 salariés ou 10 millions d'euros de chiffre d'affaires ou de bilan) évoluant dans d'autres secteurs critiques (gestion des déchets, services postaux, fabrication, fournisseurs de services numériques)

‍

‍

‍

‍

L'impact immédiat sur la sécurité de la chaîne d'approvisionnement

‍

‍

L'un des axes majeurs de NIS 2 réside dans l'obligation pour les entités de gérer les risques liés à leur chaîne d'approvisionnement. Les entreprises belges, par exemple, soumises au cadre CyFun depuis 2024, imposent déjà des clauses contractuelles de cybersécurité strictes à leurs partenaires commerciaux. Si vous êtes un sous-traitant ou un fournisseur direct, vos clients européens exigeront des garanties de conformité sans attendre la promulgation de la loi française.

‍

La cartographie et l'évaluation des tiers sont des obligations communes au RGPD et à la sécurité des chaînes d'approvisionnement. Utiliser un logiciel de conformité RGPD structuré permet d'auditer vos sous-traitants et de centraliser la gestion de vos partenaires dès à présent.

‍

‍

Méthode d'anticipation : le référentiel ReCyF de l'ANSSI

‍

‍

Pour pallier le flou législatif et guider les organisations, l'ANSSI a publié le Référentiel Cyber France (ReCyF). Ce document technique sert de guide de préparation officiel pour la France et détaille les mesures concrètes à déployer.

‍

Le cadre ReCyF, tout comme le modèle belge CyberFundamentals, structure la mise en conformité autour de 20 objectifs de sécurité répartis en grands piliers organisationnels :

‍

• La gouvernance et le pilotage : formation obligatoire à la cybersécurité pour les membres des organes de direction, et implication directe de ces derniers dans l'approbation et la supervision des mesures de gestion des risques
• La sécurité des réseaux et des systèmes d'information : mise en œuvre de l'hygiène informatique fondamentale, comprenant la cryptographie et le chiffrement des données sensibles, la gestion des accès physiques et logiques, ainsi que l'architecture réseau sécurisée
• La défense et la détection : surveillance continue des réseaux, traitement des incidents et gestion des journaux d'événements
• La continuité d'activité et la gestion des crises : rédaction, mise à jour et test de plans de continuité d'activité (PCA) et de plans de reprise d'activité (PRA) face au risque de rançongiciel, associés à un calendrier de notification des incidents en plusieurs étapes (dont une alerte précoce sous 24 heures après avoir pris connaissance d'un incident significatif)

‍

‍

‍

‍

Sanctions NIS 2 : le durcissement du cadre juridique et de la responsabilité

‍

‍

Le régime de sanctions de la directive NIS 2 marque une rupture de paradigme en s'alignant sur la sévérité du RGPD.

‍

• Les amendes administratives : les manquements peuvent entraîner des amendes administratives allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total pour les entités essentielles (7 millions d'euros ou 1,4 % pour les entités importantes)
• La responsabilité des membres de la direction : c'est le point de vigilance crucial pour les directeurs juridiques. Les organes de direction peuvent être tenus responsables des manquements à leurs obligations de mise en œuvre et de supervision des mesures de sécurité. Les autorités françaises pourront également suspendre temporairement les fonctions de direction à l'encontre des représentants légaux ou des personnes exerçant des responsabilités de direction au niveau de la direction générale

‍

La responsabilité des comités de direction s'accroît à mesure que les réglementations technologiques se densifient. Découvrez comment piloter son projet AI Act et coordonner vos différentes obligations pour éviter la surcharge de vos équipes juridiques et techniques.

‍

‍

Convergence réglementaire : centraliser pour rationaliser l'effort

‍

‍

La multiplication des réglementations européennes (RGPD pour les données personnelles, AI Act pour l'intelligence artificielle, NIS 2 pour la sécurité des réseaux) expose les entreprises à un risque de fragmentation opérationnelle. Traiter ces textes en silos techniques ou juridiques génère des doublons coûteux et de la fatigue organisationnelle.

‍

Le consensus au sein de l'écosystème de la gouvernance montre que la conformité doit être abordée par une gestion unifiée des risques :

‍

• Un incident de sécurité (périmètre NIS 2) entraîne fréquemment une violation de données personnelles (périmètre RGPD), nécessitant une double notification à la CNIL et à l'ANSSI
• Un système d'intelligence artificielle qualifié à haut risque doit répondre à des critères d'audit (AI Act) tout en s'appuyant sur une infrastructure réseau hautement sécurisée (NIS 2)

‍

En centralisant ces démarches, les entreprises peuvent mutualiser les inventaires d'actifs, harmoniser les analyses de risques et réutiliser les briques de gouvernance existantes.

‍

Pour transformer ces obligations réglementaires en un levier de pilotage unique, la centralisation sur une plateforme comme Adequacy permet aux DPO, RSSI et directeurs juridiques de collaborer au sein d'un espace de travail partagé et d'optimiser la gestion globale des risques de l'organisation.

‍

‍

FAQ - NIS 2, projet de loi Résilience et anticipation

‍

‍

Quelle est la différence entre l'entrée en vigueur et l'entrée en application de NIS 2 ?

La directive est entrée en vigueur au niveau européen en janvier 2023, fixant le cadre général. L'entrée en application effective dépend quant à elle du vote de la loi de transposition nationale (le projet de loi Résilience en France). Toutefois, les entreprises françaises ayant des relations commerciales avec des pays européens déjà conformes subissent déjà ces obligations par ricochet contractuel.

‍

Qu'est-ce que le modèle belge CyberFundamentals (CyFun) et pourquoi s'en inspirer ?

C'est le cadre méthodologique opérationnel déployé par la Belgique dès la transposition de la directive en mai 2024. Il propose des niveaux de maturité cyber progressifs. En l'absence de loi française définitive, il constitue, avec le référentiel ReCyF de l'ANSSI, une excellente boussole technique pour structurer sa feuille de route.

‍

Comment s'articulent les notifications d'incidents entre NIS 2 et le RGPD ?

En cas de cyberattaque compromettant des données personnelles, l'organisation doit mener deux actions distinctes : envoyer une alerte précoce initiale à l'ANSSI sous 24 heures (obligation NIS 2) et déclarer la violation de données à la CNIL sous 72 heures (obligation RGPD).

‍

‍