NIS 2 pas transposée : ce que le retard français fait courir à ta boîte

Deux ans. C'est le retard de la France sur la directive NIS 2. La date limite de transposition était le 17 octobre 2024. On est à l'été 2026 et le texte n'est toujours pas voté. Pendant ce temps, l'État se fait pirater à répétition. La DGFiP en août, avec 678 000 fuites de données fiscales et cadastrales. Le timing est cruel.

Le sujet n'est pas qu'une histoire de bureaucratie européenne. NIS 2 va toucher entre 15 000 et 18 000 organisations en France. Il y a de fortes chances que ta boîte soit dedans, directement ou via un donneur d'ordre. Et le flou actuel ne t'arrange pas. On fait le point, sans jargon.

NIS 2, c'est quoi au juste

NIS 2 est une directive européenne sur la cybersécurité. Elle remplace NIS 1, beaucoup plus étroite. Là où NIS 1 concernait environ 500 entités françaises, NIS 2 en vise entre 15 000 et 18 000. Le changement d'échelle est brutal.

Le texte impose des obligations concrètes aux organisations concernées :

• Gestion des risques cyber : mettre en place des mesures techniques et organisationnelles pour sécuriser tes systèmes.
• Enregistrement auprès de l'autorité nationale, l'ANSSI en France.
• Notification des incidents dans des délais serrés quand tu subis une attaque.
• Sécurisation de la chaîne d'approvisionnement, donc tes fournisseurs et sous-traitants.

Le périmètre couvre 18 secteurs d'activité. Énergie, transport, santé, eau, administrations publiques, numérique, industrie, et d'autres. Le texte distingue deux catégories : les entités essentielles et les entités importantes. Les obligations et les niveaux de contrôle varient selon ton classement.

Pourquoi ta PME est probablement concernée

C'est le point mal compris par beaucoup de dirigeants. Tu peux entrer dans le périmètre NIS 2 sans être un géant. Deux voies :

• Directement, si tu opères dans un secteur couvert et que tu dépasses certains seuils.
• Indirectement, en tant que fournisseur ou sous-traitant d'une entité réglementée.

Une PME industrielle du couloir rhodanien, un éditeur de logiciels lyonnais, un prestataire IT qui bosse pour un hôpital ou une collectivité de la métropole : tous peuvent être happés. La directive insiste lourdement sur la protection de toute la chaîne. Si tu es maillon d'une chaîne critique, tes clients vont te demander des comptes. Contrats, audits, clauses de sécurité. Ça descend.

Ce que tu risques quand le texte s'appliquera

Les sanctions prévues ne sont pas symboliques. Pour les manquements les plus graves, on parle d'amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. On est sur des ordres de grandeur type RGPD.

Le texte français prévoit une gradation. L'ANSSI ne dégaine pas l'amende maximale d'entrée :

• D'abord une mise en demeure.
• Puis une injonction avec astreinte, pouvant grimper à plusieurs milliers d'euros par jour de retard.
• Enfin, les amendes lourdes, prononcées par une commission des sanctions distincte du régulateur.

Autre nouveauté qui devrait faire réfléchir les dirigeants : leur responsabilité personnelle peut être engagée. Le texte prévoit même la possibilité de suspendre temporairement l'exercice de fonctions de direction. La cybersécurité n'est plus un problème qu'on refile au service IT. Elle remonte au comité de direction.

Le retard français : où on en est vraiment

La France n'est pas seule à avoir loupé l'échéance. Mais elle traîne parmi les derniers. Récapitulons.

• 17 octobre 2024 : date limite de transposition. Ratée.
• 28 novembre 2024 : la Commission européenne ouvre des procédures d'infraction contre 23 États membres.
• 7 mai 2025 : 19 d'entre eux reçoivent un avis motivé, l'avant-dernière étape avant la justice.
• 8 juillet 2026 : la Commission traduit quatre États devant la Cour de justice de l'Union européenne pour transposition incomplète. La France y figure, aux côtés de l'Irlande, de l'Espagne et des Pays-Bas.

À terme, ça peut déboucher sur des sanctions financières contre l'État. Mais l'amende, c'est pour Paris, pas pour toi.

Pourquoi ça bloque autant

Le véhicule législatif français s'appelle la loi Résilience. Et il ne transpose pas que NIS 2. Il embarque simultanément trois directives adoptées fin 2022 : NIS 2, la directive REC sur la résilience des entités critiques, et le volet DORA pour le secteur financier. Trois textes en un. Ça explique une partie de la lenteur et de la complexité.

Le calendrier parlementaire a été repoussé plusieurs fois. Depuis septembre 2025, le texte est à l'arrêt. Un calendrier transmis aux parlementaires début 2026 évoquait un examen en séance publique en juillet 2026, sous réserve d'une session extraordinaire. Sauf que le projet n'est pas à l'ordre du jour de cette session. Résultat, l'examen glisse à l'automne, au mieux en septembre.

Le flou t'arrange, ou pas

Bonne nouvelle à court terme : tant que le texte n'est pas transposé, tu n'es pas exposé aux sanctions NIS 2. Et à l'été 2026, aucune autorité nationale en Europe n'a publié de sanction NIS 2 finalisée. Ni l'ANSSI en France, ni le BSI en Allemagne, ni le CCB en Belgique. Personne n'a encore pris d'amende.

Mauvaise nouvelle : cette fenêtre va se refermer. Quand le texte passera, l'ANSSI va devoir rattraper le temps perdu. Les organisations qui auront attendu le dernier moment se retrouveront à courir. Et la mise en conformité NIS 2 ne se fait pas en quinze jours. Cartographie des systèmes, gestion des risques, procédures de notification, sécurisation des fournisseurs : c'est un chantier de plusieurs mois.

La DGFiP, illustration gênante d'un problème réel

Le 14 août 2026, le gouvernement révèle des accès frauduleux au système d'information de la DGFiP. Bilan : consultation et extraction possible de données fiscales et cadastrales sur 678 000 particuliers et professionnels.

Le mode opératoire n'a rien de sophistiqué. Pas de faille technique majeure. L'attaque repose sur l'usurpation d'identifiants : ceux d'un agent de la DGFiP et d'un tiers habilité. Une première intrusion le 26 juin via un accès VPN, une seconde le 29 juillet sur le service des données cadastrales. Une troisième a même été révélée quelques jours après, sur un autre portail public. Dès la détection, l'administration a désactivé les comptes concernés et saisi la CNIL.

Quelques points rassurants : les espaces Finances publiques des usagers n'ont pas été compromis, et les identifiants de connexion ne sont pas concernés par le vol. On a analysé l'affaire en détail dans notre article Piratage des impôts : ce que les 680 000 fuites disent aux entreprises.

Attention à ne pas surinterpréter. Il serait malhonnête d'affirmer que NIS 2 aurait empêché cette attaque. Mais le contexte est parlant. L'affaire tombe près de deux ans après l'échéance fixée par Bruxelles pour un texte censé renforcer la sécurité des acteurs essentiels, dont les administrations publiques.

Un problème structurel, pas un accident isolé

La DGFiP n'est qu'un épisode. En 2026, les plateformes numériques de l'État français encaissent une vague d'attaques sans précédent : ANTS, Éducation nationale, INSEE, Tchap. Le Premier ministre a reconnu une moyenne de trois vols de données par jour en France.

La cause de fond est connue : dette numérique ancienne, systèmes qui datent des années 1990, et un budget cyber famélique. L'État ne consacrerait qu'environ 1 % de son budget numérique à la cybersécurité. La leçon vaut pour toute organisation. La sécurité qu'on repousse finit toujours par se payer. On avait tiré le même constat après la fuite de l'Éducation nationale dans cet article sur la gestion de crise.

Ce que tu peux faire dès maintenant

N'attends pas que la loi soit votée. Les fondamentaux de NIS 2 sont surtout du bon sens cyber. Tu peux avancer sans le texte final.

• Vérifie si tu es dans le périmètre. Regarde ton secteur, tes seuils, et surtout tes clients. Si tu fournis une entité critique, tu es probablement concerné par ricochet.
• Cartographie tes systèmes et tes données. Tu ne peux pas protéger ce que tu ne connais pas. Liste tes accès, tes VPN, tes comptes à privilèges.
• Attaque le maillon humain en premier. L'affaire DGFiP repose sur des identifiants volés. L'authentification multifacteur (MFA) sur tous les accès sensibles est le geste au meilleur rapport effort/protection.
• Prépare une procédure de notification d'incident. Qui prévient qui, dans quel délai, avec quelles informations. Le jour de l'attaque, ce n'est pas le moment d'improviser.
• Interroge tes fournisseurs. Leurs failles deviennent les tiennes. Ajoute des clauses de sécurité dans tes contrats. On détaille les clauses à surveiller dans notre guide sur les contrats fournisseurs.
• Documente ce que tu fais. En cas de contrôle, la traçabilité de tes mesures compte autant que les mesures elles-mêmes.

Pour aller plus loin sur les bases de gouvernance, notre article sur la gouvernance dans une entreprise de cinquante personnes pose les questions du qui décide quoi. Utile pour caler la responsabilité cyber au bon niveau.

Le retard français te donne un sursis, pas une exemption. Les organisations qui utilisent cette fenêtre pour se mettre en ordre de marche seront prêtes le jour du vote. Les autres découvriront le chantier sous pression, avec l'ANSSI qui commence à cocher les cases. Autant prendre de l'avance pendant que ça ne coûte encore que du temps.