NIS 2 : l'ANSSI envisage d'exiger une conformité complète des entités d'ici fin 2028
Devant la commission spéciale de l'Assemblée nationale chargée du projet de loi qui transpose NIS 2, le directeur général de l'ANSSI, Vincent Strubel, a indiqué le jeudi 1er octobre 2026 que l'agence envisage de demander une conformité « complète » des entités assujetties pour la fin de l'année 2028, selon AEF info. Pour un DPO ou un RSSI d'entité potentiellement régulée, c'est un horizon chiffré, alors que la date du vote de la loi reste inconnue.
Ce qui s'est passé
Selon Silicon, Vincent Strubel avait évoqué, lors d'une précédente audition devant cette même commission, un délai de trois ans avant d'exiger une conformité complète. Il considère désormais qu'on « ne peut pas rester sur ce timing » : la fin 2028 est envisagée, pour toutes les entités. En attendant l'application du cadre, l'ANSSI prévoit des « galops d'essai », à la fois pour accompagner les futurs assujettis et pour roder sa propre mission de contrôle.
Interrogé par le député Philippe Latombe sur l'opportunité d'actualiser un projet de loi adopté par le Sénat en mars 2025, le directeur général a opposé une fin de non-recevoir, d'après Silicon : le texte serait une « réponse adaptée à l'état de la menace et à ses évolutions anticipées », « neutre technologiquement », et ses mesures « auraient été efficaces contre la majorité des vols de données constatés en France ces derniers mois ». Il a aussi appelé à ne pas « surtransposer » la directive, et relevé que les délais de transposition ont un effet d'éviction sur la préparation des entités, budgets compris.
Le calendrier parlementaire, lui, reste ouvert : l'examen en séance prévu à partir du 7 octobre a été retiré de l'ordre du jour la veille, sans nouvelle date, comme nous l'avions relevé. Lors de la conférence d'introduction des Assises de la sécurité, rapporte Silicon, le sujet s'est à peu près résumé à deux formules : « autorité renforcée pour l'ANSSI » et « embouteillage parlementaire ».
Pourquoi c'est important
La directive NIS 2 devait être transposée au plus tard le 17 octobre 2024. Faute de loi, ses obligations ne s'appliquent toujours pas en droit français, et le point de départ du délai de mise en conformité reste inconnu (voir notre guide sur la transposition de NIS 2 en France). Si elle se confirme, une échéance commune à fin 2028 réduit la fenêtre de préparation à chaque nouveau report de l'examen. Il s'agit toutefois d'une intention exprimée en audition, pas d'une règle écrite.
Le contenu attendu, lui, est déjà connu. Selon Silicon, l'ANSSI a publié en mars le ReCyF (Référentiel Cyber France), décliné en fiches pratiques, qui servira de socle de conformité NIS 2 et sera complété « en delta au cas par cas pour les cadres spécifiques ». Pour les cadres qui ne relèvent pas de l'ANSSI, l'agence renvoie au comparateur de la plateforme MesServicesCyber.
Vincent Strubel attend enfin des sanctions qu'elles fassent de la cybersécurité « non plus un sujet de techniciens mais un sujet de gouvernance », porté par les directions financières et juridiques, les boards et les comex. C'est la logique des obligations de NIS 2, qui engagent la responsabilité des dirigeants.
Ce que ça change pour les organisations
- Vérifier dès maintenant si l'organisation entre dans le champ, comme entité essentielle ou importante (notre guide NIS 2 : qui est concerné).
- Prendre le ReCyF comme grille d'écart, plutôt que d'attendre la loi : fin 2028 laisse peu de marge pour un programme qui touche l'identité, les correctifs et la journalisation.
- Se préparer aux « galops d'essai » annoncés : savoir produire rapidement l'inventaire des systèmes, les politiques et les preuves de leur application.
- Articuler dès à présent la future notification d'incident NIS 2 avec la notification des violations de données de l'article 33 du RGPD, déjà en vigueur.
- Désigner qui, en comité de direction, porte le risque cyber et arbitre le budget associé.
Ce que Leto en pense
Une échéance unique et lointaine est une invitation à procrastiner, alors que le référentiel est publié et que, selon le directeur général de l'ANSSI, les mesures du texte auraient été efficaces contre la majorité des vols de données récents. Le rapport de l'ANSSI sur l'incident de la DGFiP décrivait déjà une attaque « pas sophistiquée ». Le plus sûr est de traiter la fin 2028 comme une date de contrôle, pas comme une date de démarrage. Pour piloter ce chantier au quotidien, Leto propose un logiciel de conformité NIS 2.
Sources
