NIS2 sans la loi : ce qu'une DSI d'ETI doit faire en 2026

Si vous avez inscrit NIS2 à votre feuille de route 2025 puis repoussé le sujet faute de texte français, vous n’êtes pas seul. Deux ans après l’échéance européenne, la loi de transposition n’est toujours pas promulguée. Le réflexe naturel est d’attendre. C’est précisément la mauvaise décision, et pour une raison de calendrier, pas de morale.

Où en est réellement la transposition française

La directive (UE) 2022/2555, dite NIS2, devait être transposée par les États membres au plus tard le 17 octobre 2024. La France a manqué cette échéance, comme la majorité de ses voisins à l’époque. La procédure européenne a suivi son cours :

Le texte français, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, transpose trois directives à la fois : NIS2, REC sur la résilience des entités critiques, et le volet directive de DORA. Adopté en commission spéciale à l’Assemblée nationale en septembre 2025, il n’a jamais été inscrit en séance publique depuis. Son examen a été repoussé à la rentrée parlementaire de septembre 2026.

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, aux côtés de l’Espagne, de l’Irlande et des Pays-Bas, en demandant une somme forfaitaire assortie d’une astreinte journalière. Vingt-trois États membres sur vingt-sept avaient alors transposé.

Pourquoi ce retard accélère votre échéance au lieu de la repousser

C’est le contresens le plus fréquent que j’entends en comité de direction. Le raisonnement va ainsi : la loi n’est pas là, donc le sujet peut attendre. Il faut le retourner.

Un gouvernement placé sous astreinte journalière n’a aucun intérêt à laisser traîner un texte. La pression financière européenne transforme la transposition en priorité de calendrier parlementaire. Autrement dit, la fenêtre entre la promulgation et les premiers contrôles va se refermer plus vite qu’elle ne se serait refermée dans un calendrier normal.

Le retard législatif ne vous donne pas plus de temps : il comprime le temps disponible entre la publication des décrets et le premier contrôle.

Ajoutez à cela un fait de terrain : les chantiers exigés par NIS2 ne sont pas des chantiers documentaires. Une gestion des accès reprise proprement, une journalisation centralisée, des sauvegardes réellement testées, cela se compte en trimestres dans une ETI de 300 à 5000 salariés, pas en semaines.

Ce qui est déjà connu et ne bougera plus

Attendre le texte pour connaître les obligations serait justifié si celles-ci étaient incertaines. Elles ne le sont pas. La directive fixe le socle, et l’ANSSI a publié son référentiel d’application.

Le Référentiel Cyber France, dit ReCyF, dont une version de travail a été présentée en mars 2026, décrit vingt objectifs de sécurité : quinze communs aux entités importantes et aux entités essentielles, cinq réservés aux entités essentielles. Tant que la loi n’est pas promulguée, ce référentiel a valeur de recommandation. Il constituera la base contraignante ensuite. L’utiliser dès maintenant comme grille d’auto-évaluation ne coûte rien et ne sera pas du travail perdu.

Sur le périmètre, la règle est stable : dix-huit secteurs couverts, et un seuil de 50 salariés ou 10 millions d’euros de chiffre d’affaires. Les entités sont classées en entités essentielles et entités importantes, avec des obligations graduées. Les estimations publiées situent le nombre d’organisations concernées en France autour de quinze mille, chiffre qui varie selon les sources et le périmètre retenu.

L’ANSSI est l’autorité compétente, hors secteur financier relevant de l’ACPR et de l’AMF au titre de DORA. Sa plateforme MesServicesCyber propose un simulateur d’éligibilité et une auto-évaluation.

Les cinq chantiers à lancer sans attendre le vote

Voici ce que je conseille de mettre en route dès maintenant, classé par délai de réalisation et non par ordre d’importance.

1. Savoir ce que vous exploitez

Aucune des obligations NIS2 n’est réalisable sans inventaire fiable. Serveurs, applications, flux entrants et sortants, comptes à privilèges, prestataires ayant un accès. C’est le chantier le plus ingrat et celui qui conditionne tous les autres. Dans la plupart des DSI d’ETI que je croise, il existe trois inventaires partiels et contradictoires : un tableur, un outil de parc, et la mémoire de deux personnes.

2. Reprendre la gestion des accès

Comptes génériques partagés, comptes de prestataires jamais fermés, administrateurs de domaine par commodité. Le sujet est connu de tous et traité par personne, parce qu’il touche aux habitudes et pas seulement à la technique. C’est aussi celui qui produit l’écart le plus visible lors d’un contrôle.

3. Centraliser la journalisation

Sans journaux centralisés et conservés, une notification d’incident dans les délais est impossible : vous ne saurez pas dire ce qui s’est passé. La question du budget d’un SIEM se pose, mais commencer par centraliser et conserver les journaux critiques vaut mieux qu’attendre l’outil idéal.

4. Tester vos sauvegardes, vraiment

Une sauvegarde jamais restaurée est une hypothèse, pas une sauvegarde. Un exercice de restauration complète par an, avec chronomètre et compte rendu écrit, est le minimum défendable devant un auditeur comme devant une direction générale.

5. Écrire la procédure de notification

NIS2 impose des délais de notification d’incident significatif. Une procédure d’une page, qui nomme les personnes, les canaux et les seuils de déclenchement, se rédige en une journée. Elle vaut mieux qu’un plan de réponse de quarante pages que personne n’ouvrira pendant la crise.

Ce que je ne conseillerais pas de faire tout de suite

Par symétrie, deux dépenses peuvent attendre la publication des décrets.

L’achat d’un outil de conformité NIS2 dédié, d’abord. Le marché s’est peuplé de solutions qui promettent une conformité clé en main sur un référentiel dont les modalités d’application ne sont pas publiées. Un tableur adossé aux vingt objectifs du ReCyF suffit pour la phase d’auto-évaluation.

La certification, ensuite. Aucune certification n’est exigée par NIS2. Si une démarche ISO 27001 a du sens pour votre organisation, elle en a indépendamment de NIS2. La présenter à votre direction comme une obligation réglementaire serait inexact, et vous exposerait le jour où quelqu’un vérifiera.

Ce qu’il faut dire à sa direction générale

Le message tient en trois phrases. La loi française arrive et son calendrier est désormais contraint par une procédure européenne. Les obligations sont connues et publiées, elles ne dépendent pas du vote. Les chantiers concernés prennent de six à dix-huit mois, ce qui place la décision de démarrage maintenant, pas à la promulgation.

Si votre direction demande un chiffre, la responsabilité personnelle des dirigeants prévue par la directive est généralement l’argument qui débloque l’arbitrage, plus sûrement que le plafond de sanction exprimé en pourcentage du chiffre d’affaires.