La directive NIS 2 (directive (UE) 2022/2555) devait être transposée par les États membres avant le 17 octobre 2024. Comme une large majorité de pays européens, la France a manqué cette échéance : le texte n'est pas encore pleinement applicable sur le territoire, et sa transposition se fait via un projet de loi spécifique, dit loi de résilience. Pour un dirigeant, un DSI ou un DPO, la question pratique est donc double : à partir de quand mes obligations NIS 2 deviennent-elles contraignantes en France, et que faire en attendant ? Ce guide fait le point sur le calendrier européen, l'état d'avancement de la transposition française et les jalons à anticiper.
NIS 2 est un texte de cybersécurité, pas une réglementation de protection des données personnelles. Pour une vue d'ensemble (définition, obligations, sanctions, secteurs concernés), consultez le guide pilier Directive NIS 2 : le guide complet.
Le calendrier européen de NIS 2 : de l'adoption à la transposition
Avant de regarder la situation française, il faut poser les dates de référence fixées au niveau européen. Elles constituent le cadre que chaque État membre doit décliner dans son droit national.
- 14 décembre 2022 : adoption de la directive (UE) 2022/2555 par le Parlement européen et le Conseil.
- 27 décembre 2022 : publication au Journal officiel de l'Union européenne.
- 16 janvier 2023 : entrée en vigueur de la directive au niveau européen.
- 17 octobre 2024 : date limite de transposition dans le droit national des États membres. À partir de cette date, les règles nationales transposant NIS 2 auraient dû s'appliquer.
- 17 janvier 2025 : échéance indicative pour l'identification des entités concernées auprès des autorités nationales.
Point clé à comprendre : une directive européenne n'est pas directement applicable comme l'est un règlement (à la différence du RGPD, qui est un règlement). Elle doit être transposée par une loi nationale pour produire ses effets contraignants. Tant que la France n'a pas adopté sa loi de transposition, les obligations NIS 2 ne sont pas exigibles des entreprises françaises, même si la directive est entrée en vigueur au niveau européen.
Où en est la transposition de NIS 2 en France ?
La France a dépassé la date limite du 17 octobre 2024 sans avoir adopté son texte de transposition. Le processus législatif est en cours, porté par un projet de loi qui transpose NIS 2 en même temps que deux autres directives européennes de cybersécurité et de résilience.
La loi de résilience
La transposition française passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, communiment appelé loi de résilience. Ce texte a la particularité de transposer trois directives européennes dans un même véhicule législatif :
- la directive NIS 2 (directive (UE) 2022/2555) sur la cybersécurité des réseaux et systèmes d'information ;
- la directive REC, dite CER (directive (UE) 2022/2557), sur la résilience des entités critiques ;
- la directive DORA dans son articulation avec le secteur financier, pour la cohérence d'ensemble du dispositif.
Le projet de loi est passé par la navette parlementaire entre 2025 et 2026. Il fixe le cadre général, mais une partie importante du dispositif (listes précises d'entités, seuils, modalités de déclaration et de contrôle) sera détaillée par des décrets d'application publiés après l'adoption de la loi. C'est l'un de ces articles, relatif aux capacités d'accès de l'État aux systèmes chiffrés, qui a concentré les débats les plus vifs, comme nous l'analysons dans notre actualité Loi de résilience et NIS 2 : l'article anti-portes dérobées.
L'ANSSI, autorité nationale compétente
La loi de résilience confie à l'ANSSI (Agence nationale de la sécurité des systèmes d'information) le rôle d'autorité nationale compétente pour NIS 2. C'est elle qui supervisera les entités concernées, recevra les signalements d'incidents et exercera les pouvoirs de contrôle et de sanction prévus par la directive.
L'ANSSI a anticipé l'entrée en vigueur en publiant un portail dédié et un parcours d'identification des entités. Les organisations qui pensent être concernées peuvent dès maintenant préparer leur mise en conformité, sans attendre la publication des derniers décrets. Les ressources officielles sont accessibles sur cyber.gouv.fr/nis2 et l'espace d'identification sur messervices.cyber.gouv.fr.
Les spécificités de la transposition française
La directive NIS 2 laisse aux États membres une marge de manoeuvre sur plusieurs points. La transposition française s'en saisit pour adapter le dispositif au contexte national.
- Périmètre élargi : au-delà des 18 secteurs de la directive, la transposition intègre les collectivités territoriales selon des seuils précisés par décret, ce qui étend largement le nombre d'entités publiques concernées.
- Rôle central de l'ANSSI : la France a fait le choix d'une autorité unique et reconnue, plutôt que d'un dispositif éclaté entre plusieurs régulateurs sectoriels.
- Articulation avec les dispositifs existants : NIS 2 s'inscrit dans la continuité du cadre français des opérateurs d'importance vitale (OIV) et des opérateurs de services essentiels (OSE) issus de NIS 1.
- Régime de sanctions : la transposition reprend les plafonds de la directive, soit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.
Le calendrier d'application pour les entreprises
Une fois la loi de résilience adoptée et ses décrets publiés, l'application aux entreprises se fera de façon progressive. L'ANSSI a communiqué une trajectoire pluriannuelle qui s'étend jusqu'en 2030, le temps que les milliers d'entités nouvellement concernées montent en maturité.
- Phase d'identification : les entités s'enregistrent auprès de l'ANSSI et déterminent leur catégorie (essentielle ou importante).
- Phase de mise en conformité : déploiement des mesures de gestion des risques de l'article 21 (analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, authentification multifacteurs).
- Phase de supervision : montée en puissance des contrôles de l'ANSSI, audits pour les entités essentielles et contrôles a posteriori pour les entités importantes.
Cette trajectoire échelonnée est détaillée dans notre actualité sur la feuille de route cybersécurité de l'État jusqu'en 2030. Le message pour les organisations est clair : le retard de transposition ne doit pas servir d'excuse pour repousser la préparation, car les premiers jalons opérationnels arriveront vite après l'adoption de la loi.
Dernières évolutions de la transposition
La transposition de NIS 2 reste un dossier mouvant, rytlmé par la navette parlementaire et les décrets d'application. Cette section est mise à jour au fil des évolutions.
- Retard de transposition : la France, comme la plupart des États membres, n'a pas respecté la date limite du 17 octobre 2024. La Commission européenne a engagé une procédure pour défaut de transposition, susceptible de conduire à une saisine de la Cour de justice de l'Union européenne, comme nous le détaillons dans NIS 2 : la France menacée d'un renvoi devant la CJUE.
- Décrets d'application : les modalités précises (listes d'entités, seuils, procédures de déclaration) seront fixées par décrets après l'adoption de la loi de résilience. Leur publication conditionnera le démarrage effectif des obligations.
NIS 2 et RGPD : deux calendriers à ne pas confondre
Beaucoup de DPO suivent ce dossier de près, car un même incident peut relever à la fois de NIS 2 et du RGPD. Il faut toutefois éviter une confusion fréquente : le RGPD est un règlement, applicable directement depuis le 25 mai 2018 sans transposition, tandis que NIS 2 est une directive dont les effets en France dépendent de la loi de résilience. Les deux régimes ont des autorités distinctes (la CNIL pour le RGPD, l'ANSSI pour NIS 2) et des délais de notification d'incident différents (72 heures à la CNIL, 24 heures à l'ANSSI pour une alerte précoce).
Important : la mise en conformité NIS 2 relève du RSSI et de la direction générale, et ne fait pas partie du périmètre de conformité couvert par Leto, centré sur le RGPD et l'AI Act. En revanche, sur le volet humain, acculturer les équipes aux enjeux de cybersécurité reste un préalable utile quelle que soit votre échéance NIS 2. Leto propose à ce titre un module de sensibilisation aux enjeux de protection des données et de cybersécurité.
Questions fréquemment posées
NIS 2 est-elle déjà applicable en France ?
Pas encore pleinement. La directive NIS 2 est entrée en vigueur au niveau européen le 16 janvier 2023, mais en tant que directive elle doit être transposée par une loi nationale pour devenir contraignante. La France n'a pas encore achevé cette transposition, portée par le projet de loi de résilience. Les obligations deviendront exigibles après l'adoption de la loi et la publication de ses décrets d'application.
Quelle est la date limite de transposition de NIS 2 ?
La date limite fixée par la directive était le 17 octobre 2024. La France, comme la majorité des États membres, n'a pas respecté cette échéance, ce qui a conduit la Commission européenne à engager une procédure pour défaut de transposition pouvant aboutir à une saisine de la Cour de justice de l'Union européenne.
Qu'est-ce que la loi de résilience ?
La loi de résilience est le projet de loi français qui transpose NIS 2 dans le droit national, en même temps que la directive REC (résilience des entités critiques). Elle confie à l'ANSSI le rôle d'autorité nationale compétente et fixe le cadre général des obligations, dont le détail sera précisé par décrets d'application.
Quel est le calendrier d'entrée en vigueur de NIS 2 pour les entreprises ?
L'application aux entreprises sera progressive après l'adoption de la loi de résilience et la publication des décrets. L'ANSSI a communiqué une trajectoire pluriannuelle s'étendant jusqu'en 2030, avec une phase d'identification des entités, une phase de mise en conformité aux mesures de l'article 21, puis une montée en puissance des contrôles.
Quelle autorité est chargée de NIS 2 en France ?
C'est l'ANSSI (Agence nationale de la sécurité des systèmes d'information) qui est désignée autorité nationale compétente pour NIS 2. Elle supervise les entités concernées, reçoit les signalements d'incidents et exerce les pouvoirs de contrôle et de sanction. Ses ressources et le parcours d'identification sont publiés sur cyber.gouv.fr/nis2.
La France risque-t-elle des sanctions pour la transposition tardive de NIS 2 ?
Oui. Le retard de transposition expose la France à une procédure d'infraction de la Commission européenne, qui peut saisir la Cour de justice de l'Union européenne et, à terme, déboucher sur des sanctions financières contre l'État. Ce risque ne pèse pas sur les entreprises elles-mêmes, mais il accélère la pression politique pour faire adopter rapidement la loi de résilience.
