Deux ans de retard
Le délai était fixé au 17 octobre 2024. Deux ans plus tard, la directive NIS2 n'est toujours pas transposée en droit français. En juillet, la Commission européenne a saisi la Cour de justice de l'Union contre la France, aux côtés de l'Espagne, de l'Irlande et des Pays-Bas. Elle réclame une amende forfaitaire assortie d'astreintes journalières.
Sur les 23 États membres en retard au départ, 19 ont régularisé depuis.
Un texte bloqué à l'Assemblée
Le projet de loi Résilience a été adopté par le Sénat le 12 mars 2025. Depuis, il attend son examen en séance à l'Assemblée nationale. Le 6 octobre, il a encore été retiré de l'ordre du jour. Aucune nouvelle date. Le point de crispation politique porte sur une disposition ajoutée au Sénat, qui interdit d'imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité.
Résultat, sur le plan juridique, les obligations de NIS2 ne s'appliquent pas encore en France.
Un retard qui ne protège personne
Ce vide juridique est trompeur. Les groupes implantés dans d'autres États membres y sont déjà soumis. Les grands donneurs d'ordre, eux-mêmes concernés, répercutent leurs exigences sur leurs fournisseurs : clauses contractuelles, questionnaires de sécurité, audits. Une entreprise de taille intermédiaire peut se retrouver tenue, de fait, à des exigences proches de NIS2 sans qu'aucune loi française ne l'y oblige.
Et puis il y a les attaquants. Ils n'attendent aucun vote.
Les chantiers qui prennent du temps
Quand le texte sera adopté, le délai d'adaptation ne sera pas confortable. Les sujets les plus longs sont connus. Déterminer si l'entité entre dans le périmètre, et à quel titre. Structurer la gestion des incidents, avec un schéma de notification en plusieurs étapes. Documenter la sécurité de la chaîne d'approvisionnement, ce qui suppose de connaître ses fournisseurs critiques. Organiser la responsabilité de l'organe de direction, qui devra approuver les mesures et suivre une formation.
Aucun de ces chantiers ne se boucle en quelques semaines.
Démarrer sans attendre
L'enjeu, pour une DSI ou un RSSI, est de ne pas transformer le retard législatif en retard d'entreprise. Qualifier son périmètre, nommer un responsable, aligner la procédure d'incident : trois actions qui ne dépendent d'aucun calendrier parlementaire.
