RégulationMémoire
Au 31 octobre 2026, la France n’a pas transposé la directive NIS2. Le projet de loi qui doit le faire, adopté par le Sénat le 12 mars 2025, a été retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre 2026 et n’y a pas été réinscrit depuis.
Faute de loi, les obligations de NIS2 ne s’imposent pas encore aux entreprises françaises. La Commission européenne a saisi la Cour de justice de l’UE contre la France le 8 juillet 2026. L’ANSSI permet déjà de tester son statut et de se pré-enregistrer.
- Texte : directive (UE) 2022/2555 du 14 décembre 2022, dite NIS2
- Auteur : Parlement européen et Conseil de l’Union européenne
- Entrée en application : 18 octobre 2024 dans l’Union (article 41) ; en France, à l’entrée en vigueur de la loi de transposition
- Texte français : projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n° 33 (2024-2025) au Sénat, procédure accélérée
- Statut au 31 octobre 2026 : adopté par le Sénat ; texte de la commission spéciale de l’Assemblée nationale du 10 septembre 2025 ; pas d’examen en séance programmé
- Sources primaires : dossier du Sénat, dossier de l’Assemblée nationale
Sommaire
Où en est le projet de loi ?
Il attend son examen en séance à l’Assemblée nationale, sans date. Les étapes vérifiables, de la plus ancienne à la plus récente :
| Date | Étape | Source |
|---|---|---|
| 15 octobre 2024 | Dépôt au Sénat ; le Gouvernement engage la procédure accélérée | Sénat |
| 12 mars 2025 | Adoption par le Sénat | Sénat |
| 10 septembre 2025 | Texte adopté par la commission spéciale de l’Assemblée nationale (rapport n° 1779) | Assemblée nationale |
| 8 juillet 2026 | La Commission européenne saisit la Cour de justice de l’UE contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de transposition, et demande une somme forfaitaire et des astreintes | Commission européenne |
| 22 septembre 2026 | La conférence des présidents inscrit le texte en séance les 7 et 9 octobre | Assemblée nationale |
| 3 octobre 2026 | Le Gouvernement dépose l’amendement n° 358 qui supprime l’article 16 bis, relatif au chiffrement | Assemblée nationale |
| 6 octobre 2026 | La conférence des présidents retire le texte des séances des 7 et 9 octobre, sans motif indiqué dans son relevé | Assemblée nationale |
| 13, 20 et 27 octobre 2026 | Pas de réinscription à l’ordre du jour | Assemblée nationale |
Prochain rendez-vous : la conférence des présidents de l’Assemblée nationale du 3 novembre 2026. Cette fiche sera mise à jour le lendemain.
Notre lecture. Le relevé du 6 octobre ne donne aucun motif au retrait. Des médias spécialisés le relient à l’encombrement de l’ordre du jour ou au désaccord sur l’article 16 bis ; nous n’avons pas trouvé de source officielle qui l’établisse, et nous ne tranchons donc pas.
Qui sera concerné ?
Les entreprises des secteurs listés aux annexes I et II de la directive, à partir de la taille moyenne : 50 salariés ou, en dessous, un chiffre d’affaires et un bilan dépassant chacun 10 millions d’euros. Le texte de la commission spéciale de l’Assemblée fixe ces seuils sans dire comment compter les groupes. Certaines entités le sont quelle que soit leur taille, comme les fournisseurs de services DNS ou les prestataires de services de confiance (article 2, paragraphe 2). Pour un cas détaillé, avec le calcul au niveau du groupe, voir notre analyse « NIS2 : un infogéreur de 80 salariés est-il entité essentielle ou importante ? ».
Que peut faire une entreprise avant le vote ?
Trois outils de l’ANSSI sont déjà disponibles :
- le simulateur NIS 2, qui donne un statut indicatif (entité essentielle, importante ou non concernée) à partir de la taille, des secteurs et des activités (voir nos tests de sept profils) ;
- le pré-enregistrement auprès de l’ANSSI, ouvert depuis le 24 novembre 2025 ;
- le Référentiel Cyber France (ReCyF), présenté le 17 mars 2026 et diffusé à ce stade comme document de travail.
À faire sans attendre le vote :
- Calculer sa taille au niveau du groupe, selon les règles européennes d’entreprise liée et partenaire.
- Passer le simulateur de l’ANSSI avec ces chiffres consolidés et conserver le résultat daté.
- Désigner la personne qui enverra une alerte précoce sous 24 heures en cas d’incident important, comme le prévoit l’article 23 de la directive.
- Suivre la conférence des présidents du 3 novembre 2026.
Ce que nous ne savons pas encore
- La date d’examen du texte en séance à l’Assemblée nationale, puis celle de la commission mixte paritaire éventuelle.
- Le sort de l’article 16 bis sur le chiffrement.
- Le contenu des décrets d’application, qui fixeront notamment les modalités d’enregistrement auprès de l’ANSSI.
- La suite de la procédure engagée devant la Cour de justice de l’UE.
Questions fréquentes
NIS2 s’applique-t-elle déjà en France ?
Pas aux entreprises. Une directive doit être transposée par une loi nationale pour créer des obligations à leur charge, et la loi française n’est pas votée au 31 octobre 2026. La directive fixait pourtant l’application au 18 octobre 2024.
Que risque la France devant la Cour de justice de l’UE ?
La Commission a demandé à la Cour d’infliger une somme forfaitaire et des astreintes journalières (communiqué du 8 juillet 2026). Ces sanctions visent l’État, pas les entreprises.
Le pré-enregistrement auprès de l’ANSSI est-il obligatoire ?
Non. Tant que la loi n’est pas votée, aucune obligation d’enregistrement ne pèse sur les entreprises. Le pré-enregistrement, ouvert depuis le 24 novembre 2025, permet de se signaler en avance.
Ce qui a changé depuis la dernière mise à jour
31 octobre 2026 : fiche recentrée sur l’état de la transposition, chronologie vérifiée sur les relevés de l’Assemblée nationale.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022 : articles 2, 23 et 41.
- Sénat, dossier législatif du projet de loi n° 33 (2024-2025).
- Assemblée nationale, dossier législatif.
- Assemblée nationale, relevés de conclusions de la conférence des présidents des 22 septembre, 6 octobre et 27 octobre 2026.
- Assemblée nationale, amendement n° 358 du Gouvernement, 3 octobre 2026.
- Commission européenne, communiqué du 8 juillet 2026.
- ANSSI, actualité du 24 novembre 2025 et actualité du 18 mars 2026.