NIS2 : la France renvoyée devant la CJUE, 15 000 entités concernées sans cadre national

La directive NIS2 devait être transposée avant le 17 octobre 2024. La France a manqué l'échéance, au point que la Commission a décidé, le 8 juillet 2026, de la renvoyer devant la Cour de justice de l'UE aux côtés de l'Espagne, de l'Irlande et des Pays-Bas, avec demande de sanctions financières. La loi dite Résilience, censée transposer le texte, n'est pas à l'ordre du jour de la session de juillet : son examen glisse à l'automne. L'obligation européenne, elle, court depuis octobre 2024.

Un détail change tout pour qui veut avancer : le référentiel technique, lui, est déjà public. L'ANSSI a publié en mars 2026 son Référentiel Cyber France, qui traduit les exigences de NIS2 en objectifs de sécurité, vingt pour les entités essentielles, quinze pour les entités importantes. Autrement dit, l'essentiel de ce qui sera demandé est connu avant même le vote de la loi. Attendre le texte pour commencer, c'est attendre la mise en forme d'obligations dont on a déjà la substance.

Le changement d'échelle est le vrai sujet : de quelques centaines d'opérateurs sous NIS1, la France passe à 15 000 ou 18 000 entités concernées, réparties entre « entités essentielles » et « entités importantes ». Des ETI industrielles, des collectivités, des acteurs de la santé, du transport ou de l'agroalimentaire vont découvrir qu'ils sont dans le périmètre, avec des obligations de gestion des risques, de notification d'incidents, et une supervision de l'ANSSI.

La bascule conceptuelle est la même que pour le RGPD en son temps : la cybersécurité cesse d'être un sujet d'experts et de bonnes intentions pour devenir un dispositif dont on doit pouvoir démontrer l'existence et le fonctionnement. Gouvernance, analyse de risques, sécurité de la chaîne d'approvisionnement, gestion des incidents, continuité : chaque exigence de la directive suppose des preuves.

Et l'asymétrie des sanctions concentre l'attention : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, avec des contrôles proactifs ; 7 millions ou 1,4 % pour les entités importantes, contrôlées après incident. Dans les deux cas, le jour du contrôle, l'improvisation se voit.

NIS2 impose un socle minimal de mesures : politiques de sécurité et d'analyse de risques, gestion des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité des acquisitions et du développement, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification multifacteur. Dix familles d'exigences qui dessinent, de fait, un référentiel.

S'y ajoute la mécanique de notification des incidents significatifs, en paliers serrés : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Tenir ces délais ne s'improvise pas le jour de l'incident : cela suppose une détection, une qualification et une chaîne de décision déjà en place, et déjà testées.

Le périmètre réel dépasse les 15 000 entités désignées : la directive leur impose de maîtriser la sécurité de leur chaîne d'approvisionnement, et cette exigence ruisselle contractuellement. Un sous-traitant logiciel, un mainteneur industriel ou un prestataire logistique hors périmètre recevra les questionnaires et les clauses de ses clients régulés.

Pour ces fournisseurs, la lecture intelligente est commerciale : celui qui arrive avec une maturité cyber mesurée et démontrable transforme une contrainte subie en argument de référencement. Dans les appels d'offres de 2027, ce sera un critère de tri, pas un bonus.

Pour une organisation qui découvre le sujet, l'ordre raisonnable tient en trois gestes : déterminer si l'on est dans le périmètre, et à quel titre ; mesurer sa maturité réelle face aux exigences de la directive, entité par entité, plutôt que de collectionner les audits ponctuels ; et convertir les écarts en plan d'action daté, parce que la mise à niveau prendra des mois et que le calendrier n'attendra pas.

Notre catalogue compte 11 référentiels cybersécurité pour outiller cette mesure, et la logique vaut pour les groupes : chaque filiale évaluée sur la même base, une consolidation qui montre où concentrer l'effort. La conformité NIS2 sera un marathon administré ; mieux vaut y entrer avec un instrument.