Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France — avec l'Espagne, l'Irlande et les Pays-Bas — pour défaut de transposition de la directive NIS 2, et demande une amende forfaitaire assortie d'astreintes journalières (Commission européenne, procédure d'infraction du 8 juillet 2026). Vingt mois après l'échéance du 17 octobre 2024, la loi française de transposition n'est toujours pas votée. Pendant ce temps, le périmètre, lui, n'a pas bougé : autour de 15 000 entités françaises seront régulées, contre environ 500 sous la première directive NIS (estimations ANSSI) — un périmètre multiplié par 30, qui atteint désormais les PME dès 50 salariés ou 10 millions d'euros de chiffre d'affaires.
Ce décalage produit une lecture confortable dans les comités de direction : « l'État est en retard, donc nous avons le temps ». C'est exactement le raisonnement qui a coûté cher sur d'autres textes. Cet article documente qui est réellement concerné, où en est la loi française, pourquoi l'attentisme est un mauvais calcul — et pourquoi la mise en conformité NIS 2 est d'abord un chantier de connaissance de son système d'information, pas une liste d'achats d'outils de cybersécurité.
À retenir en cinq points :
- La France est renvoyée devant la CJUE depuis le 8 juillet 2026 pour non-transposition de NIS 2 ; la loi « Résilience » est attendue au Parlement en septembre 2026.
- Vous êtes probablement concerné à partir de 50 salariés ou 10 M€ de chiffre d'affaires dans l'un des 18 secteurs couverts — le simulateur de l'ANSSI le confirme en quelques minutes.
- Les sanctions prévues montent à 10 M€ ou 2 % du chiffre d'affaires mondial (entités essentielles), et la directive engage la responsabilité personnelle des dirigeants.
- Le retard de l'État ne suspend rien : les donneurs d'ordre répercutent déjà les exigences dans leurs contrats, et les pays voisins appliquent déjà la directive.
- 70 % du chantier ne s'achète pas : cartographie du SI, inventaire des actifs et des accès, gouvernance. C'est par là qu'on commence.
NIS 2 en deux minutes : de 500 à 15 000 entités régulées
La directive NIS 2 (directive UE 2022/2555, adoptée fin 2022) est la révision du premier cadre européen de cybersécurité. La logique du texte tient en une phrase : les cyberattaques ne visent plus seulement les opérateurs d'importance vitale, donc la réglementation ne peut plus se limiter à eux.
Concrètement, NIS 2 élargit le périmètre sur deux axes. D'abord les secteurs : 18 secteurs sont couverts, contre une poignée sous NIS 1. L'annexe I regroupe les secteurs « hautement critiques » — énergie, transports, banques et infrastructures de marché, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace. L'annexe II ajoute les secteurs « critiques » — services postaux, gestion des déchets, chimie, agroalimentaire, fabrication (dont dispositifs médicaux et véhicules), fournisseurs de services numériques, recherche.
Ensuite la taille : là où NIS 1 régulait environ 500 opérateurs désignés en France, NIS 2 s'applique par seuils automatiques. Résultat, selon les estimations de l'ANSSI reprises par les acteurs du secteur : entre 10 000 et 15 000 entités françaises concernées, dont une majorité de PME et d'ETI qui n'ont jamais été régulées sur la cybersécurité — et, pour beaucoup, qui ne savent pas encore qu'elles le seront.
Êtes-vous concerné ? Les seuils qui comptent
La question se tranche en croisant deux critères : votre secteur et votre taille. La directive distingue deux catégories, avec des obligations et des sanctions différenciées.
| Catégorie |
Critères |
Régime |
| Entité essentielle (EE) |
Secteur hautement critique (annexe I) et ≥ 250 salariés, ou CA > 50 M€ |
Supervision proactive de l'ANSSI, sanctions jusqu'à 10 M€ ou 2 % du CA mondial |
| Entité importante (EI) |
Secteur annexe I en taille intermédiaire (50-249 salariés, CA 10-50 M€), ou secteur annexe II au-dessus des seuils |
Supervision a posteriori, sanctions jusqu'à 7 M€ ou 1,4 % du CA mondial |
Le point qui surprend la plupart des dirigeants de PME : le seuil d'entrée est bas. 50 salariés ou 10 millions d'euros de chiffre d'affaires dans l'un des 18 secteurs suffisent. Un transporteur régional, un façonnier agroalimentaire, un fabricant de composants, une entreprise de gestion des déchets, un éditeur de services numériques : tous cochent potentiellement la case. Certaines activités sont même couvertes sans condition de taille (fournisseurs DNS, services de confiance, certaines administrations).
Deux nuances importantes. Premièrement, être fournisseur ou sous-traitant d'une entité régulée ne vous rend pas directement assujetti — mais vous expose par ricochet, on y revient plus bas. Deuxièmement, l'ANSSI a mis en ligne un simulateur (« Suis-je concerné ? ») sur son portail MonEspaceNIS2 : le test prend quelques minutes et lève l'ambiguïté pour la grande majorité des cas. C'est la première action concrète à déléguer cette semaine.
Où en est la loi française — et pourquoi elle est en retard
Les États membres devaient transposer NIS 2 avant le 17 octobre 2024. À cette date, 23 États sur 27 étaient en retard — la France n'est pas une exception, elle est simplement parmi les derniers. Après les mises en demeure de novembre 2024 puis les avis motivés de mai 2025, 19 États ont régularisé. Quatre restaient à quai en juillet 2026 : la France, l'Espagne, l'Irlande et les Pays-Bas, tous renvoyés devant la CJUE le 8 juillet.
Le véhicule législatif français est le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » — dit loi Résilience — qui transpose d'un bloc trois textes européens : NIS 2, la directive REC sur la résilience des entités critiques, et DORA pour le secteur financier. Sa chronologie résume le problème : déposé au Sénat en octobre 2024 en procédure accélérée, adopté par le Sénat en mars 2025, examiné en commission spéciale à l'Assemblée nationale en septembre 2025… puis plus rien en séance plénière. Le texte a achoppé notamment sur son article 16, qui interdit aux fournisseurs de services de chiffrement d'intégrer des portes dérobées — un débat de fond, mais sans lien avec les obligations des entreprises. Absent de la session extraordinaire de juillet 2026, son examen est désormais attendu en septembre 2026.
Côté sanctions européennes, la Commission demande à la Cour une somme forfaitaire — qui se chiffre en millions d'euros — et des astreintes journalières courant jusqu'à la publication de la loi (La Tribune, 8 juillet 2026). L'État français paiera donc littéralement son retard. Les entreprises, elles, n'y gagnent qu'un sursis apparent : l'ANSSI a précisé que la réglementation entrera en vigueur dès la promulgation de l'ensemble des textes (loi, décrets, arrêtés), avec une application progressive des exigences. Le portail d'enregistrement et les outils d'accompagnement sont déjà en ligne.
La France est en retard. Vos obligations, elles, ne font que glisser de quelques mois — et le périmètre, lui, est déjà fixé.
Sur le terrain : ce que les praticiens observent en 2026
Les signaux des dernières semaines convergent sur trois constats. Le premier : la saisine de la CJUE a fait sortir NIS 2 du cercle des spécialistes. Le sujet a largement circulé début juillet dans les fils français consacrés au numérique, avec un relais massif de l'annonce — et son lot de confusions, au point que des mises au point ont circulé pour rappeler qu'il s'agit d'un retard de transposition classique, pas d'un « refus » français d'appliquer le texte.
Le deuxième constat vient des praticiens de la conformité. Le fondateur d'un outil de veille réglementaire pour le Mittelstand allemand et les PMI italiennes résume la situation : des entreprises de 50 à 250 salariés font face en 2026 à l'empilement NIS 2, CSRD et AI Act — sans responsable conformité dédié. C'est exactement le profil des ETI et PME françaises concernées par les seuils : assez grandes pour être régulées, trop petites pour avoir une équipe qui absorbe le sujet.
Le troisième constat est stratégique : un conseil en données et cybersécurité note que le retard français crée une fenêtre — anticiper les critères nationaux pendant que les concurrents attendent la loi devient un avantage compétitif, notamment dans les appels d'offres. Et un échange entre juristes européens souligne un angle mort : NIS 2 éclipse la directive CER sur la résilience des entités critiques, alors que les deux textes s'articulent — les entités désignées critiques au titre de CER sont automatiquement des entités essentielles sous NIS 2.
Le piège de l'attentisme : trois raisons de ne pas attendre la loi
Raison 1 : vos donneurs d'ordre n'attendent pas. NIS 2 impose aux entités régulées de maîtriser la sécurité de leur chaîne d'approvisionnement. Traduction opérationnelle : les grands comptes assujettis répercutent déjà les exigences sur leurs fournisseurs — questionnaires de sécurité, clauses contractuelles, exigences de notification d'incident. Une PME non concernée directement peut donc se voir imposer l'essentiel du référentiel par ses clients, sans le filet des délais légaux. Dans les secteurs industriels et logistiques, c'est déjà le premier canal par lequel NIS 2 arrive sur le bureau du dirigeant.
Raison 2 : vos voisins appliquent déjà. La Belgique a fait entrer sa loi NIS 2 en vigueur dès octobre 2024, avec une première échéance forte pour les entités essentielles en avril 2026 (Centre pour la Cybersécurité Belgique). Le Luxembourg a promulgué sa loi en mai 2026, avec obligation d'enregistrement dès juillet. Une entreprise française qui opère ou facture dans ces pays est déjà dans le champ de leurs régimes nationaux — le retard français ne la protège pas.
Raison 3 : le délai de mise en conformité est plus long que le délai politique. Entre l'inventaire initial, la remédiation des écarts et l'installation d'une gouvernance qui tient dans la durée, une mise à niveau sérieuse se compte en trimestres. Attendre la promulgation pour démarrer, c'est choisir de faire dans l'urgence — au moment où 15 000 entités solliciteront les mêmes prestataires — ce qui peut se faire méthodiquement dès maintenant, mois par mois.
Le retard de l'État est une fenêtre, pas une dispense : ceux qui cartographient maintenant achèteront moins, mieux, et sans prime d'urgence.
Ce que NIS 2 exige vraiment : dix mesures, un socle commun
L'article 21 de la directive fixe le référentiel de gestion des risques. En le condensant, dix familles de mesures : politique de sécurité et analyse de risques, traitement des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité des acquisitions et du développement, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification multifacteur.
S'y ajoute la notification des incidents selon un calendrier serré, repris par le projet de loi français : alerte précoce sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois.
Et surtout, un déplacement de responsabilité que beaucoup de dirigeants n'ont pas encore intégré : les organes de direction doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre, et se former. En cas de manquement grave, la directive prévoit la responsabilité personnelle des dirigeants — jusqu'à l'interdiction temporaire d'exercer des fonctions dirigeantes pour les entités essentielles. À noter, pour qui suit le cluster réglementaire : là où l'AI Act ménage les PME en retenant le plafond de sanction le plus faible, NIS 2 retient le montant le plus élevé. Les deux textes n'ont pas la même philosophie — et ne pardonnent pas la même chose.
Ce que cette liste dit en creux : la conformité NIS 2 n'est pas un produit. Aucune des dix familles ne s'achète sur étagère, parce que chacune suppose de savoir précisément ce que vous avez — quels systèmes, quelles données, quels accès, quels fournisseurs.
La conformité commence par la cartographie, pas par les outils
C'est le point où notre expérience de terrain rejoint le texte réglementaire. Chez Nymphar.AI, nous ne sommes pas un cabinet de cybersécurité — nous restructurons les PME et ETI par la donnée et l'IA. Et ce que nous constatons dans chaque mission recoupe ce que NIS 2 exige en préalable : la plupart des entreprises de 50 à 250 salariés ne disposent pas d'une cartographie à jour de leur système d'information. Les applications réellement utilisées, les données qu'elles contiennent, qui y accède, quels fournisseurs les opèrent : personne ne sait répondre aux quatre questions d'affilée.
Or ces quatre questions sont le socle commun de tout le cluster réglementaire 2026 : NIS 2 (inventaire des actifs et des accès), AI Act (inventaire des systèmes d'IA), RGPD (registre des traitements), et les exigences de souveraineté numérique sur la localisation et la dépendance fournisseurs. C'est aussi le meilleur antidote au shadow IT et au shadow AI : on ne sécurise pas ce qu'on ne voit pas.
La méthode qui fonctionne est bottom-up : partir des usages et des flux réels — pas de l'organigramme théorique ni du référentiel abstrait. Interroger les équipes sur les outils qu'elles utilisent vraiment, tracer où vivent les données critiques, identifier les dépendances fournisseurs. C'est le même principe qui explique, selon le MIT (projet NANDA, The GenAI Divide, juillet 2025), pourquoi 95 % des projets d'IA générative ne produisent aucun retour mesurable : les démarches qui partent du haut échouent à rencontrer les process réels. Une conformité pilotée depuis un classeur produit des documents ; une cartographie pilotée depuis le terrain produit une capacité — qui sert la conformité, mais aussi l'arbitrage des investissements IT et les projets data qui suivent. Notre checklist d'audit donne la trame de ce premier inventaire ; un audit structuré le déroule sur votre cas en partant des process, pas des outils.
On ne se met pas en conformité avec un système d'information qu'on ne connaît pas. La cartographie n'est pas la paperasse avant le vrai travail : c'est le vrai travail.
Combien coûte une mise en conformité NIS 2 ?
Réponse honnête : cela dépend presque entièrement de votre point de départ, et les fourchettes alarmistes qui circulent servent surtout ceux qui les publient. Trois repères pour cadrer la discussion budgétaire sans céder à la panique commerciale.
Premier repère : la directive impose des mesures « proportionnées » au risque et à la taille — une entité importante de 60 salariés n'a pas à viser le référentiel d'un opérateur d'énergie. Deuxième repère : la première phase — cartographie, inventaire des actifs et des accès, analyse d'écarts — est essentiellement du travail méthodique, réalisable en interne avec un accompagnement ponctuel, en quelques semaines. C'est la phase qui détermine tout le reste : elle dit ce qui manque vraiment, et évite d'acheter des solutions redondantes. Troisième repère : les postes réellement coûteux (supervision, détection, continuité d'activité) se mutualisent — prestataires spécialisés, services managés — plutôt qu'ils ne se construisent en interne pour une PME.
L'erreur de séquencement classique, que nous voyons déjà sur le terrain : commencer par acheter — un outil de détection, un pare-feu nouvelle génération, une plateforme de gouvernance — avant d'avoir cartographié. C'est l'équivalent cyber du POC IA lancé sans cadrage : on dépense d'abord, on découvre ensuite ce qu'il fallait vraiment.
Questions fréquentes
La loi française n'est pas votée : suis-je déjà obligé ?
Formellement, non : sans transposition promulguée, les obligations NIS 2 ne sont pas encore opposables devant les tribunaux français. Mais trois mécanismes vous rattrapent déjà : les clauses de vos donneurs d'ordre assujettis, les régimes nationaux des pays voisins où vous opérez, et le calendrier — la loi est attendue en septembre 2026, et l'ANSSI a indiqué que les exigences s'appliqueront progressivement dès la promulgation. La vraie question n'est pas « suis-je obligé aujourd'hui ? » mais « combien de temps me faut-il pour être prêt ? ».
Quelles sanctions en cas de non-conformité ?
Jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes — le montant le plus élevé étant retenu. S'y ajoutent des pouvoirs de supervision de l'ANSSI (audits, injonctions) et la responsabilité personnelle des dirigeants en cas de manquement grave. Les sanctions précises françaises seront fixées par la loi Résilience et ses décrets.
En combien de temps une PME peut-elle se mettre à niveau ?
Pour une entité importante partant de zéro, l'expérience des pays déjà en application suggère de compter en trimestres, pas en semaines : un premier trimestre pour la cartographie et l'analyse d'écarts, puis une remédiation priorisée par le risque. Une entreprise qui démarre l'inventaire à l'automne 2026 aborde l'entrée en vigueur française en position confortable. Celle qui attend la promulgation fera la même chose sous contrainte, au tarif de l'urgence.
NIS 2, AI Act, RGPD : comment articuler les trois ?
Par le socle commun plutôt que par trois chantiers parallèles. Les trois textes exigent le même préalable — savoir ce qui tourne dans l'entreprise, avec quelles données et quels accès. Une cartographie unique du SI, des données et des usages alimente le registre RGPD, l'inventaire des systèmes d'IA exigé par l'AI Act et l'inventaire des actifs NIS 2. C'est l'argument décisif pour la faire une fois, sérieusement, plutôt que trois fois en pointillé.
Ce que ça change pour un dirigeant
NIS 2 fait pour la cybersécurité ce que l'AI Act fait pour l'IA : sortir le sujet de la salle des machines pour le poser sur la table du comité de direction, avec la responsabilité personnelle du dirigeant en jeu. Pour 15 000 entreprises françaises — dont une large part de PME qui n'ont jamais été régulées — ce n'est pas une évolution de degré, c'est un changement de nature.
Le retard français est une anomalie politique, pas une stratégie disponible pour votre entreprise. La fenêtre qu'il ouvre a un usage précis : faire maintenant, méthodiquement, le travail de cartographie et de gouvernance que la loi rendra urgent en 2027. Ce travail ne demande pas de gros achats — il demande de la méthode, quelques semaines, et une direction qui s'implique. Un workshop d'une journée suffit à cadrer le périmètre sur votre cas : ce qui est concerné, ce qui manque, dans quel ordre le traiter. Et si le sujet croise vos projets IA — c'est presque toujours le cas — la charte IA et l'inventaire des usages se construisent dans le même mouvement.
Sources
Cadre réglementaire : directive (UE) 2022/2555 (NIS 2), notamment articles 21 et 23 et annexes I et II ; Commission européenne, procédure d'infraction et saisine de la CJUE du 8 juillet 2026 (France, Espagne, Irlande, Pays-Bas) ; projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (Sénat, adoption en première lecture le 12 mars 2025 ; Assemblée nationale, texte de la commission spéciale du 10 septembre 2025) ; ANSSI, portail MonEspaceNIS2 et MesServicesCyber ; Centre pour la Cybersécurité Belgique (échéance entités essentielles du 18 avril 2026) ; loi luxembourgeoise du 5 mai 2026.
Statistiques et presse : estimations ANSSI du nombre d'entités concernées (10 000 à 15 000) reprises par les acteurs du secteur ; La Tribune, 8 juillet 2026 (sanctions demandées à la CJUE) ; MIT Project NANDA — The GenAI Divide (juillet 2025).
Signaux de terrain (30 derniers jours) : relais et mises au point autour de la saisine de la CJUE dans les fils français consacrés au numérique ; un fondateur d'outil de veille réglementaire sur l'empilement NIS 2 / CSRD / AI Act dans les entreprises de 50 à 250 salariés sans responsable conformité ; un conseil en données et cybersécurité sur l'anticipation des critères nationaux comme avantage compétitif ; un échange entre juristes européens sur l'articulation NIS 2 / CER. Liens en contexte dans l'article.
