Directive NIS2 France : pas de loi, mais des exigences par contrat

Vous êtes ESN ou MSP. Un client français, entité en attente de la loi Résilience, reçoit cette semaine le questionnaire Article 21 d'un donneur d'ordre allemand ou italien. Dans le même temps, selon des sources sectorielles, le projet de loi est retiré de l'ordre du jour de l'Assemblée. Le client vous demande : « Nous n'avons pas de loi. Que devons-nous répondre ? »

C'est la réalité de la directive NIS2 France en octobre 2026 : le texte national n'existe pas encore, mais les exigences, elles, circulent déjà dans la chaîne d'approvisionnement.

Directive NIS2 France : où en est-on vraiment ?

La France n'a pas transposé NIS2. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'UE contre quatre États membres : l'Irlande, l'Espagne, la France et les Pays-Bas. Elle demande une somme forfaitaire et des astreintes journalières jusqu'à la transposition complète. Le délai initial était le 17 octobre 2024.

Côté national, voici l'état du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (« loi Résilience ») :

• le Sénat l'a adopté en première lecture le 12 mars 2025 ;
• le texte de la commission spéciale de l'Assemblée date du 10 septembre 2025 (n° 1779) ;
• selon des sources sectorielles, la Conférence des présidents l'a retiré de l'ordre du jour le 6 octobre 2026 pour les séances des 7 et 9 octobre ;
• il n'est pas promulgué et aucun décret d'application n'existe.

Aucune obligation légale NIS2 n'est donc en vigueur en France à ce jour. Ne la citez à aucun client comme telle.

Ce que le texte en discussion prévoit

Le texte de la commission reste provisoire. Il inscrit les délais de notification d'incident : alerte précoce à 24 heures, notification à 72 heures, rapport final à un mois. Les sanctions envisagées atteignent 10 M€ ou 2 % du chiffre d'affaires pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes. Ces montants peuvent encore changer.

Côté ANSSI, deux repères utiles. Le référentiel ReCyF a été publié le 17 mars 2026 comme document de travail, sans caractère obligatoire par défaut. Et l'ANSSI invite les futures entités à s'engager dès maintenant : son service MonEspaceNIS2 propose un test d'éligibilité, et c'est l'agence qui doit gérer l'enregistrement.

Pourquoi vos clients français ne peuvent pas attendre

Leurs clients européens, eux, sont déjà soumis à un régime. Les repères à connaître pour le contexte transfrontalier :

Pologne. La modification de la loi KSC est en vigueur depuis le 3 avril 2026. La demande d'inscription au registre devait être déposée avant le 3 octobre 2026. Les obligations s'appliquent à partir du 3 avril 2027, le premier audit des entités clés intervient le 3 avril 2028, et les amendes pour la plupart des obligations ne sont possibles qu'à partir de cette même date.

Allemagne. La NIS2UmsuCG a réformé la loi BSIG. L'échéance d'enregistrement initiale (6 mars 2026) a été prolongée, et les sources divergent sur la dernière date (31 juillet ou 30 septembre 2026) : vérifiez sur le portail du BSI. Le BSI s'est réservé des mesures d'exécution assorties d'amendes, jusqu'à 10 M€ ou 2 % du chiffre d'affaires. Le § 38(2) BSIG engage la responsabilité de la direction.

Italie. Le décret législatif 138/2024 et la décision ACN 379907/2025 fixent les mesures de base à 18 mois après la notification d'inscription pour les entités listées en 2025. Les commentaires citent octobre 2026, souvent le 31 octobre. Or les notifications sont parties les 12 et 13 avril 2025, ce qui donne plutôt la mi-octobre : lisez la notification du client. La cohorte 2026 a jusqu'au 31 juillet 2027 (décision 127434/2026). La notification d'incident est active depuis janvier 2026.

Pays-Bas. La Cbw et la Wwke sont en vigueur depuis le 15 août 2026, avec enregistrement auprès du NCSC.

L'obligation arrive par le contrat

Un client français fournisseur d'un groupe allemand, italien ou néerlandais reçoit des clauses de sécurité, des audits et des questionnaires fondés sur l'Article 21. La loi française n'est pas nécessaire pour que l'exigence s'applique : le contrat suffit.

Le piège est de répondre « nous attendons la loi ». Un donneur d'ordre qui doit démontrer la maîtrise de sa chaîne d'approvisionnement ne l'acceptera pas, et la direction du client découvre alors le sujet dans un contexte commercial, pas réglementaire.

Le socle commun : l'Article 21 et le ReCyF

Toutes les transpositions reposent sur les mêmes dix mesures de gestion des risques de l'Article 21(2). Pour un client français, c'est le point de départ le plus solide, avec le ReCyF de l'ANSSI comme référence pratique, sans valeur de loi à ce stade.

La méthode qui fonctionne pour un client multi-pays :

• une seule analyse d'écarts face à l'Article 21(2), rapprochée du ReCyF et des référentiels nationaux des donneurs d'ordre ;
• un seul dépôt de preuves, organisé par mesure et non par pays ;
• un calendrier par pays pour les inscriptions, les points de contact et les audits.

Nos guides sur le processus d'analyse d'écarts et sur les preuves que les autorités demandent réellement détaillent la méthode. Pour le détail par pays : Pologne, Pays-Bas, Italie et France et Espagne.

Ce que le régulateur et le donneur d'ordre demanderont d'abord

Que la demande vienne d'une autorité étrangère ou d'un client, elle suit le même schéma :

1. Un profil d'entité exact. Mauvais secteur, mauvaise catégorie de taille ou point de contact obsolète : c'est le défaut le plus facile à éviter.
2. L'engagement de la direction. Une décision datée d'approbation des mesures et des attestations de formation. En Allemagne, la responsabilité de la direction est personnelle.
3. Une procédure de notification d'incident à trois horloges. Alerte à 24 heures, notification à 72 heures, rapport final à un mois.
4. Un inventaire des actifs et des services, cohérent avec ce qui a été déclaré.
5. Des preuves que les mesures fonctionnent. Tests de restauration datés, revues d'accès, suivi des vulnérabilités, contrats fournisseurs avec clauses de sécurité.

Où les MSP se font piéger

Le schéma d'échec est connu. Le prestataire traite le dossier d'un client dans un pays, le classe et passe au suivant. Six mois plus tard, la filiale italienne du client a une échéance que personne n'avait calendée, parce que la notification est arrivée dans une boîte que personne ne surveille. En Italie, c'est la date de la notification qui déclenche le délai, pas l'année civile.

Même risque pour les points de contact : un collaborateur parti, toujours indiqué comme contact, transforme un simple message en obligation manquée.

À faire cette semaine

Prenez le client le plus exposé et faites quatre choses.

Premièrement, listez ses clients européens et les questionnaires de sécurité déjà reçus ou attendus. Deuxièmement, vérifiez le statut d'enregistrement dans chaque pays où il opère, et notez la date affichée, pas celle que vous supposez. Troisièmement, contrôlez que la direction a approuvé par écrit les mesures de sécurité. Quatrièmement, testez la procédure d'incident par un exercice sur table de 24 heures et consignez le résultat.

Pour un point de départ structuré, un scan de préparation NIS2 rapproche en quelques minutes la posture actuelle d'un client des mesures de l'Article 21 et montre où manquent les preuves. C'est une évaluation de maturité, pas une attestation de conformité : les exigences des autorités et des donneurs d'ordre restent seules déterminantes.

La loi française peut encore glisser. Les questionnaires, eux, n'attendent pas.