Le projet de loi Résilience, qui doit transposer la directive européenne NIS2 en droit français, n’est toujours pas adopté. Le 6 octobre 2026, la Conférence des présidents l’a retiré des ordres du jour des 7 et 9 octobre, selon un suivi législatif mis à jour le 12 octobre. La date limite de transposition fixée par Bruxelles était le 17 octobre 2024.
La loi Résilience NIS2 n’est pas adoptée en France : le Sénat l’a votée le 12 mars 2025, une commission de l’Assemblée a arrêté son texte le 10 septembre 2025, puis plus rien en séance. Pour les ESN, qui vendent déjà de la conformité NIS2 et peuvent relever elles-mêmes du texte, l’attente a un coût commercial et organisationnel.
Où en est le texte
Deux ans après l’échéance européenne, la France n’a ni loi promulguée ni décret d’application. Le calendrier parlementaire s’est arrêté à la commission de l’Assemblée nationale, et l’inscription en séance prévue pour juillet 2026 d’après un suivi publié en avril n’a pas débouché sur un vote. Les jalons connus tiennent en quelques lignes.
| Date | Étape |
|---|---|
| 17 octobre 2024 | Date limite de transposition fixée par la directive |
| 12 mars 2025 | Adoption en première lecture au Sénat |
| 10 septembre 2025 | Texte de la commission spéciale de l’Assemblée nationale |
| 17 mars 2026 | L’ANSSI publie le référentiel ReCyF en document de travail |
| 6 octobre 2026 | Retrait du projet des ordres du jour des 7 et 9 octobre |
Un point de blocage est identifié depuis le printemps : l’article 16 bis, qui concerne l’interdiction des portes dérobées dans le chiffrement de bout en bout et auquel la DGSI s’oppose, selon le suivi de directive-nis2.fr. Cette information date d’avril et rien ne prouve qu’elle explique à elle seule le retrait d’octobre.
Qui sera concerné, et à quel prix
L’ANSSI évoque plusieurs milliers d’entités réparties dans 18 secteurs. Dans le texte de la commission, les entités essentielles atteignent des seuils variables selon le secteur, par exemple 250 salariés ou plus, ou plus de 50 M€ de chiffre d’affaires et 43 M€ de bilan dans les secteurs hautement critiques. Les entités importantes sont en général celles de 50 salariés ou plus, ou de plus de 10 M€ de chiffre d’affaires et de bilan.
Les sanctions prévues dans ce texte montent jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Ces chiffres peuvent encore changer. Le texte reprend aussi les délais de la directive : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.
L’ANSSI encourage les futures entités à se préparer sans attendre. Elle propose le service MonEspaceNIS2, qui permet un test d’éligibilité et une préinscription, et le ReCyF, un référentiel de travail non obligatoire par défaut.
Ce que ça change pour les ESN
Les ESN sont exposées sur deux fronts. D’abord comme prestataires : les missions de gouvernance, de cartographie des risques, de SOC ou de gestion de crise alimentent les carnets de commandes cyber. Un texte qui traîne retarde le moment où les clients arbitrent leurs budgets, même si cette hypothèse dépend des secteurs et des directions concernées. Notre analyse sur l’AI Act et son calendrier repoussé décrit un mécanisme comparable : l’incertitude réglementaire gèle une partie des projets.
Ensuite comme entités potentiellement régulées. Le secteur de la gestion des services TIC entre entreprises figure à l’annexe I de la directive. Il couvre les prestataires de services gérés, c’est-à-dire ceux qui installent, exploitent ou maintiennent des infrastructures et applications pour leurs clients avec une administration active, et les prestataires de services de sécurité gérés. Selon une analyse de nisd2.eu, un projet ponctuel de développement n’entre pas dans cette définition, alors qu’un centre de services ou une infogérance peut y entrer, sous réserve du seuil de 50 salariés ou 10 M€.
Cette lecture reste à confirmer dans le texte français définitif. Elle suffit pourtant à justifier un travail préparatoire : inventaire des contrats de services gérés, registre des incidents, circuit de notification en 24 heures, clauses de sous-traitance cyber avec les freelances et les partenaires nearshore. Les ESN qui exploitent déjà des clouds qualifiés, comme l’illustrent les nouvelles qualifications SecNumCloud de l’automne, disposent d’une base documentaire utile.
Côté ressources humaines, la demande de profils conformité, gouvernance des risques et réponse à incident devrait rester soutenue, loi ou pas, car les clients concernés par la directive européenne la traitent déjà comme une obligation à venir. Les offres souveraines, dont le lancement de Cloud Bleu en disponibilité générale, nourrissent le même besoin d’accompagnement.
En attendant, la loi Résilience NIS2 reste un sujet de préparation plutôt que d’obligation légale pour les entreprises françaises. Les entreprises déjà soumises à des règles sectorielles, comme la finance avec DORA, ne repartent pas de zéro. Les autres peuvent s’appuyer sur les référentiels de l’ANSSI pour structurer leurs premières actions, ce qui crée une demande de cadrage que les ESN et les cabinets de conseil sont bien placés pour capter.
Les points à retenir
- La loi Résilience n’est ni adoptée ni promulguée, et aucun décret n’existe au 12 octobre 2026.
- Le Sénat l’a votée le 12 mars 2025, la commission de l’Assemblée le 10 septembre 2025, le projet a été retiré de l’ordre du jour début octobre.
- Les sanctions du texte de commission montent jusqu’à 10 M€ ou 2 % du chiffre d’affaires, mais peuvent encore évoluer.
- Les prestataires de services gérés figurent à l’annexe I de la directive, ce qui concerne certaines activités d’ESN.
Sources : suivi de la loi Résilience de Myra Security, suivi de directive-nis2.fr, analyse du champ d’application de nisd2.eu. Ces trois pages sont des suivis secondaires : le dossier législatif de l’Assemblée nationale et Légifrance font foi.
