NIS 2 : le projet de loi revient à l'Assemblée, ce que ça change concrètement pour votre entreprise

En résumé. Le projet de loi français sur NIS 2 reprend sa route à l'Assemblée nationale à partir du 9 novembre 2026, avec deux ans de retard sur le calendrier européen. Si votre entreprise appartient à l'un des nouveaux secteurs couverts, ou travaille pour une entité qui en fait partie, mieux vaut commencer à vous situer dès maintenant, sans attendre le vote final.

Ce qui s'est passé

Selon Silicon.fr (5 novembre 2026), l'Assemblée nationale reprend l'examen en séance publique du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité le lundi 9 novembre. Les débats sont prévus jusqu'au vendredi 13 novembre, hors 11 novembre. Le texte avait été inscrit à l'ordre du jour de la session extraordinaire de juillet, puis au 7 octobre, avant d'être retiré faute de place dans le calendrier parlementaire.

Rappel utile : la directive européenne devait être transposée avant le 17 octobre 2024. Le Sénat a adopté le projet de loi en mars 2025. Le texte transpose aussi la directive sur la résilience des entités critiques et celle liée à DORA pour le secteur financier. Le calendrier peut encore bouger, et le texte peut être modifié par les députés : rien n'est définitif tant que le vote n'a pas eu lieu.

Sur le fond, le périmètre réglementé passerait de 6 à 18 secteurs, avec notamment la santé, l'industrie manufacturière, la chimie, la recherche, les services postaux et les infrastructures numériques. Les entités concernées seraient réparties entre « essentielles » et « importantes », avec des obligations proportionnées. L'ANSSI deviendrait le régulateur chargé de contrôler la conformité. Les estimations évoquées lors des travaux parlementaires parlent d'environ 15 000 entités, contre environ 500 aujourd'hui.

Suis-je concerné ?

Trois situations se présentent. Votre entreprise relève directement d'un des 18 secteurs et dépasse les seuils de taille : elle sera sans doute assujettie. Elle n'est pas assujettie, mais elle est fournisseur ou sous-traitant d'une entité qui l'est : ses clients lui demanderont de prouver un niveau de sécurité correct, parfois par contrat. Elle ne relève d'aucun de ces cas : pas d'obligation légale, mais les mesures attendues restent de bonnes pratiques à votre portée.

Pour savoir où vous en êtes, regardez votre code NAF, votre effectif, votre chiffre d'affaires et la liste de vos grands clients. Notre guide détaille la démarche : NIS 2 : mon entreprise est-elle concernée ?

Que faire maintenant

1. Vérifier votre périmètre (cette semaine). Identifiez si vous êtes probablement concerné, directement ou comme fournisseur. Une heure de travail suffit pour une première réponse.

2. Faire l'état des lieux des bases (ce mois-ci). Authentification multifacteur sur la messagerie et les accès à distance, sauvegardes testées, mises à jour suivies, liste des prestataires qui accèdent à vos systèmes. Ce sont les mesures que les référentiels attendent en premier.

3. Préparer la gestion d'incident (d'ici le premier trimestre). Sachez qui prévenir, dans quel ordre, et comment retrouver vos sauvegardes. Le texte prévoit des obligations de notification d'incident, et un incident se gère mal quand on découvre la procédure en pleine crise.

Pour un cadrage plus complet des mesures techniques, voir aussi notre guide pratique NIS 2 pour PME.

‍

‍

En bref

Le texte revient devant les députés du 9 au 13 novembre, et le périmètre de NIS 2 s'élargit nettement si le texte est adopté. Inutile de paniquer : les mesures attendues sont des fondamentaux d'hygiène informatique, et les entreprises qui les ont déjà posées auront peu de chemin à parcourir. Nous pouvons vous aider à situer votre entreprise en une demi-heure.

Questions fréquentes

La loi est-elle déjà en vigueur ? Non. Le projet est en cours d'examen au Parlement, et son contenu peut encore évoluer.

Une PME de 30 personnes est-elle concernée ? Cela dépend de son secteur et des seuils de taille retenus dans le texte final. Beaucoup de PME seront surtout concernées indirectement, via leurs clients.

Quelles sanctions sont prévues ? Les travaux parlementaires évoquent des amendes pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles. Les montants définitifs dépendent du vote.

— Samir Amara, CEO — IT Systèmes