La date était connue de tous : 17 octobre 2024. C'était l'échéance de transposition de la directive NIS2 en droit français. Vingt mois plus tard, rien. Le projet de loi Résilience, censé porter le texte, ne figurait même pas à l'ordre du jour de la session extraordinaire ouverte le 1er juillet 2026, et son examen à l'Assemblée n'est plus espéré avant septembre. Le retard n'est plus un simple décalage de calendrier. Il produit des effets très concrets, et ces effets, les directions cybersécurité les paient déjà.
Un flou qui gèle la commande cyber
Le mécanisme est limpide. NIS2 élargit fortement le périmètre des entités régulées et rehausse les exigences de gouvernance. Mais tant que les seuils définitifs, le périmètre exact d'assujettissement et le régime de sanctions ne sont pas arrêtés, beaucoup d'organisations font le choix d'attendre. Personne n'a envie d'engager un budget qui se révélera mal calibré une fois le texte publié. C'est humain. C'est aussi coûteux.
Le président du CESIN, première association de RSSI en France, le formule sans détour : l'incertitude réglementaire perturbe la commande cyber et ralentit les décisions d'investissement. Une stratégie de sécurité ne se refond pas tous les quatre matins. Un cadre de gouvernance renforcé ne se bâtit pas en trois jours. Résultat, des directions cyber qui ne peuvent ni arbitrer sereinement leurs budgets, ni rédiger leurs appels d'offres, ni contractualiser proprement avec leurs prestataires. Le sujet remonte jusqu'aux directions générales, où le RSSI peine à défendre une feuille de route 2027 dont personne ne connaît encore le périmètre légal.
L'écart qui se creuse avec les voisins européens
Pendant que la France attend, l'Europe avance. Au 1er janvier 2026, vingt des vingt-sept États membres avaient déjà transposé la directive. Les groupes opérant sur plusieurs marchés s'alignent naturellement sur les cadres nationaux les plus aboutis, ce qui creuse mécaniquement l'écart avec les organisations restées en suspens côté français. Et le blocage ne s'arrête pas aux entités directement concernées. Il se propage à la chaîne de sous-traitance, dont le positionnement dépend d'une visibilité qu'elle n'a pas. Un prestataire IT qui ne sait pas à quelles exigences il devra répondre demain ne peut pas structurer son offre aujourd'hui.
Attendre la loi est le pire calcul possible
La tentation serait de conclure qu'il faut patienter. Erreur de lecture. Les fondamentaux de NIS2 sont stables et ne dépendront pas des arbitrages parlementaires de dernière minute : analyse de risques, politique de sécurité des systèmes d'information, gestion des vulnérabilités, plan de continuité, notification d'incident dans des délais courts. Ces briques se construisent dès maintenant. Mieux, une large partie recoupe ce que l'article 32 du RGPD impose déjà. Le socle est réutilisable.
Concrètement, une direction IT a intérêt à cartographier dès aujourd'hui son assujettissement probable, à documenter sa gouvernance cyber et à former ses dirigeants, sans attendre le vote. Les organisations qui utilisent ces mois de flottement pour préparer leur conformité NIS2 aborderont l'entrée en vigueur sans précipitation. Les autres découvriront, dans l'urgence, qu'un cadre de gouvernance cyber ne se décrète pas en trois mois.
