NIS 2 : le projet de loi Résilience revient à l'Assemblée nationale le 9 novembre, un mois après son retrait

· Par Edouard Schlumberger
👈 les autres actualités

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose la directive NIS 2, est de nouveau inscrit à l'ordre du jour de l'Assemblée nationale : son dossier législatif annonce une discussion en séance publique à partir du lundi 9 novembre 2026. Un mois après son retrait de l'ordre du jour, et plus de deux ans après l'échéance européenne du 17 octobre 2024, c'est une nouvelle date pour les organisations qui attendent de savoir quand leurs obligations entreront en vigueur.

Ce qui s'est passé

Le dossier législatif de l'Assemblée nationale mentionne désormais une « discussion en séance publique » le lundi 9 novembre 2026, sur le texte de la commission spéciale (n° 1779, déposé le 10 septembre 2025). Selon Silicon.fr, qui a relayé l'inscription le 5 novembre, les débats sont prévus jusqu'au vendredi 13 novembre, hors 11 novembre.

Le calendrier a déjà glissé plusieurs fois. Attendu lors de la session extraordinaire de juillet, le texte avait été reporté au mois d'octobre, puis retiré de l'ordre du jour : le 6 octobre 2026, la conférence des présidents l'a sorti des séances des 7 et 9 octobre, sans nouvelle date (nous en avions rendu compte). Silicon.fr cite l'« encombrement du calendrier parlementaire ». Le Sénat, lui, avait examiné le texte en séance dès le 12 mars 2025.

Ce que contient le projet de loi

Le texte ne se limite pas à NIS 2. Il transpose trois directives européennes adoptées en 2022 : la directive REC sur la résilience des entités critiques, NIS 2, et la directive qui accompagne le règlement DORA pour le secteur financier. Le détail de l'architecture est dans notre guide sur la transposition de NIS 2 en France.

  • Titre Ier, résilience. Selon Silicon.fr, il modernise le dispositif de sécurité des activités d'importance vitale (SAIV), créé en 2006 et applicable à plus de 300 opérateurs, l'étend à de nouveaux sous-secteurs (réseaux de chaleur et de froid, hydrogène, assainissement) et impose des plans de résilience aux opérateurs et à quelque 1 500 points d'importance vitale.
  • Titre II, cybersécurité. C'est le volet NIS 2 : le périmètre régulé passe de 6 à 18 secteurs, dont la santé, l'industrie manufacturière, la chimie, la recherche, les services postaux et les infrastructures numériques.

Début octobre, interrogé par les rapporteurs de la commission spéciale, le directeur général de l'ANSSI, Vincent Strubel, a écarté toute actualisation du texte. Il y voit, selon Silicon.fr, une « réponse adaptée à l'état de la menace et à ses évolutions anticipées », dont les mesures « auraient été efficaces contre la majorité des vols de données constatés en France ces derniers mois ». L'ANSSI envisage par ailleurs une conformité complète des entités vers fin 2028.

Pourquoi c'est important

Tant que la loi n'est pas promulguée, les obligations issues de NIS 2 ne s'appliquent pas en droit français, alors que la France fait l'objet d'un recours de la Commission européenne devant la CJUE pour défaut de transposition. Une discussion en séance la semaine prochaine rapproche une échéance que beaucoup d'organisations avaient repoussée faute de date.

Le directeur général de l'ANSSI a aussi relevé, d'après Silicon.fr, que les retards de transposition produisaient un effet d'éviction sur la préparation des entités, budgets compris. Autrement dit : les arbitrages budgétaires 2027 se font maintenant, souvent avant le vote.

Ce que ça change pour les organisations

  • Vérifier si l'organisation entrera dans le champ, comme entité essentielle ou importante, au regard des 18 secteurs et des seuils de taille (notre guide NIS 2 : qui est concerné).
  • Inscrire au budget 2027 les chantiers de gouvernance et de gestion des risques cyber, sans attendre la promulgation.
  • Cartographier les processus d'incident existants, en particulier la notification des violations de données de l'article 33 du RGPD, pour préparer leur articulation avec les futures notifications NIS 2.
  • Suivre les débats du 9 au 13 novembre : les amendements adoptés en séance peuvent encore modifier le texte de la commission, avant une éventuelle commission mixte paritaire.

Ce que Leto en pense

Le contenu des obligations est connu depuis le texte de la commission de septembre 2025 ; seule la date manquait. Ce n'est pas la première date annoncée, mais une inscription au dossier législatif suffit à remettre le sujet à l'agenda des comités de direction. Le travail utile ne dépend pas du vote : registre des actifs, gouvernance, procédure d'incident. Pour piloter ce chantier, Leto propose un logiciel dédié à NIS 2.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo