NIS2 est en cours de réécriture : ce que la proposition d'amendement 2026 signifie pour vous et vos clients

Vingt-deux des 27 États membres de l'UE ont désormais transposé NIS2 en droit national. Alors que la plupart des organisations peinent encore à satisfaire aux exigences initiales, la Commission européenne a déjà publié une proposition pour modifier les règles. Le 20 janvier 2026, la Commission a publié un paquet d'amendements touchant le périmètre, le signalement des ransomwares, la certification et la supervision transfrontalière.

Pourquoi la Commission amende déjà une directive qui n'est pas encore pleinement mise en œuvre

NIS2 est devenue exécutoire en octobre 2024. Le Digital Omnibus Package de la Commission, lancé en novembre 2025, rationalise la législation numérique de l'UE pour réduire la fragmentation. La mise en œuvre pratique a également révélé des lacunes — notamment la divergence des règles nationales et l'absence de voie de certification harmonisée.

La proposition de janvier 2026 est "ciblée" — la Commission ne remet pas en question l'architecture fondamentale de NIS2. Les dix mesures de sécurité de l'article 21 restent inchangées. Les délais de signalement (24 heures, 72 heures, un mois) restent inchangés.

Signalement des ransomwares : de nouvelles obligations se profilent

Si une autorité nationale le demande, les organisations seront tenues de divulguer si une demande de rançon a été faite et par qui, si une rançon a été payée, le montant et la méthode de paiement, et l'identité du destinataire (y compris tout prestataire de services sur crypto-actifs impliqué).

La divulgation n'est pas automatique — elle est déclenchée par une demande d'autorité. La proposition cible l'asymétrie d'information à laquelle les régulateurs sont confrontés. Les clients qui gèrent des incidents ransomware doivent commencer à établir des pratiques de documentation interne maintenant.

Changements de périmètre : qui est concerné, qui ne l'est plus

Les opérateurs de câbles sous-marins entrent dans le champ pour la première fois. La distribution chimique sort : l'amendement supprime "distribution" de l'Annexe II. Une nouvelle catégorie de "petites entreprises de taille moyenne" (moins de 750 employés, CA inférieur à 150 millions d'euros) serait traitée comme "entités importantes" plutôt qu'essentielles — supervision réactive plutôt que proactive.

La certification comme voie de conformité : le certificat cyber-posture

Les entités pourront à terme obtenir un "certificat cyber-posture" de l'UE sous un futur schéma européen de certification aligné sur CSA2. Si une entité détient un certificat valide couvrant les exigences de l'article 21, les autorités compétentes ne peuvent pas la soumettre à des audits supplémentaires pour ces exigences. Prouver la conformité une fois, éviter les audits nationaux dupliqués.

CSA2 est lui-même encore une proposition. Mais la direction est claire : investissez dans des cadres certifiables. Les orientations d'ENISA mappant NIS2 sur ISO 27001 deviendront probablement la base des futurs certificats cyber-posture.

Pour plus de contexte sur les dix mesures de l'article 21, voir l'analyse approfondie de l'article 21 de NIS2.

Rôle renforcé de l'ENISA : supervision transfrontalière

L'ENISA facilitera la coopération entre autorités nationales, aidera à déterminer une autorité chef de file, réalisera une analyse des risques dans les 15 mois suivant l'entrée en vigueur, et participera aux activités de supervision conjointe sur demande. Ce n'est pas un guichet unique au modèle RGPD.

Ce qui change et quand : un calendrier pratique

Estimation conservatrice : ces amendements ne seront pas en droit national avant fin 2027 ou début 2028. Conseillez les clients maintenant — de manière sélective. La documentation ransomware est peu coûteuse à mettre en place. Les changements de périmètre sont prioritaires pour les secteurs concernés.

Le tableau d'ensemble : l'application de NIS2 a déjà commencé

Sept États membres ont déjà été renvoyés devant la Cour de justice. Les autorités nationales commencent à mener des inspections. Les premières amendes sont attendues avant la fin de l'année.

Les amendements proposés n'accordent pas plus de temps aux organisations. Ils ajoutent de nouvelles obligations au-dessus de la base existante. La position la plus défendable est une analyse des écarts documentée.

Si vos clients n'ont pas encore réalisé cette analyse, faites-la maintenant. Le quick-scan NIS2 sur NIS2Certify vous offre un point de départ structuré en moins de 20 minutes.