Transposition NIS2 : deux ans de retard, la France toujours sans loi

Le 6 octobre 2026, l''Assemblée nationale a retiré le projet de loi sur la résilience, qui transpose NIS2, de son ordre du jour, la veille du débat. Le 17 octobre, l''échéance européenne de transposition a eu deux ans. Si vous accompagnez des clients français, la vraie question n''est plus de savoir quand la loi arrivera, mais ce que vous faites en attendant.

Voici l''état de la transposition NIS2 au 21 octobre 2026 et ce qu''il implique pour votre activité de conseil.

Transposition NIS2 : où en sont les 27 États membres

La directive (UE) 2022/2555 devait être transposée au plus tard le 17 octobre 2024. Selon un tracker secondaire mis à jour mi-septembre 2026, 24 États membres sur 27 ont désormais une loi en vigueur. Pas la France, ni l''Irlande, ni l''Espagne. Vérifiez chaque ligne auprès de la source nationale.

La France a pourtant reçu un avertissement clair : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l''UE contre l''Irlande, l''Espagne, la France et les Pays-Bas. Les Pays-Bas ont depuis mis leur loi en vigueur, le 15 août 2026.

D''autres pays ont avancé plus tôt. L''Italie a transposé à temps avec le décret législatif 138/2024, en vigueur depuis le 16 octobre 2024. L''Allemagne a suivi le 6 décembre 2025, la Pologne le 3 avril 2026 et l''Autriche le 1er octobre 2026.

Pour un client présent dans plusieurs pays, cela fait plusieurs calendriers à la fois. En France, il n''y en a pas encore. Ce n''est pas la même chose que l''absence d''obligation.

France : retiré de l''ordre du jour la veille du débat

Le Sénat a adopté le texte le 12 mars 2025, par 181 voix contre 134. Il a ensuite attendu plus d''un an et demi l''Assemblée nationale. Le débat était prévu les 7 et 9 octobre 2026. Le 6 octobre, la Conférence des présidents a retiré les deux séances. Aucune nouvelle date n''est confirmée.

Environ 397 amendements restent à examiner. Le point de friction est l''article 16 bis, sur le chiffrement et les portes dérobées, que le gouvernement veut supprimer. Si l''Assemblée le supprime, le texte part en commission mixte paritaire (CMP). Les décrets d''application ne viennent qu''après l''adoption définitive et la promulgation.

Ce n''est pas encore une obligation pour vos clients. Pour une ESN, le point clé est le calendrier : même un vote cet automne serait suivi de décrets, et les commentaires publiés évoquent une mise en conformité trois ans après la publication de la loi.

Ce qui existe déjà, c''est le ReCyF de l''ANSSI, publié en mars 2026, avec 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. De grands donneurs d''ordre le citent déjà dans leurs appels d''offres. Détails dans notre guide sur la loi NIS2 française et le ReCyF.

Espagne et Irlande : des projets, pas des lois

Le Conseil des ministres espagnol a approuvé l''avant-projet de Ley de Coordinación y Gobernanza de la Ciberseguridad le 14 janvier 2025, avec procédure d''urgence. Il reste un projet en attente de débat parlementaire. Voir l''Espagne et la saisine de la CJUE.

En Irlande, le National Cyber Security Bill est encore en rédaction. Voir où en est le projet irlandais.

La saisine de la CJUE pèse sur les États, pas sur vos clients

La Commission demande à la Cour une somme forfaitaire et des astreintes journalières jusqu''à la notification de la transposition complète. Ces sanctions visent l''État, pas votre client. Les Pays-Bas ont adopté leur loi cinq semaines après la saisine : c''est la pression en action. La procédure se poursuit tant que la transposition n''est pas jugée complète. Pour la France, cette procédure est déjà couverte dans notre article sur la France et l''Espagne devant la CJUE.

Ce qu''une loi manquante change, et ce qu''elle ne change pas

Une directive s''adresse aux États membres. Tant que la France n''a pas transposé, une entreprise française n''a pas d''obligation légale d''enregistrement, pas de calendrier de contrôle national et pas d''amende au titre d''une loi NIS2 nationale.

Mais l''obligation arrive par la chaîne d''approvisionnement. L''article 21, paragraphe 2, point d, de NIS2 impose de gérer le risque fournisseur. Un opérateur allemand ou italien impose des exigences à tous ses fournisseurs, y compris français, par questionnaire et par clause contractuelle. Ces clauses sont exécutoires dès aujourd''hui. Le mécanisme est détaillé dans NIS2 et la sécurité de la chaîne d''approvisionnement.

Le premier audit NIS2 d''un client peut donc venir d''un donneur d''ordre, pas de l''ANSSI. Et un régulateur d''un pays qui a transposé vérifiera ce que ses propres entités ont demandé à leurs fournisseurs.

Tri pratique pour les clients sans loi nationale

Commencez par le périmètre, pas par la loi manquante. Trois questions par client :

1. Le client fournit-il une entité d''un pays où NIS2 s''applique déjà ? Alors des questionnaires arrivent maintenant.
2. Relève-t-il d''un secteur NIS2 par taille et activité selon le texte européen ? Alors le périmètre est probable, quel que soit le calendrier national.
3. Dispose-t-il déjà de preuves pour les dix mesures de l''article 21 ?

Une analyse des écarts répond à la question trois en un après-midi plutôt qu''en un trimestre. Lancez le quick scan NIS2Certify et faites des écarts le plan de travail que vous vendez.

Consignez ensuite les preuves : politiques datées, inventaire des actifs, plan d''incident testé et registre des fournisseurs. C''est ce que demandera d''abord un donneur d''ordre, puis un régulateur. Notre guide sur ce que les régulateurs vérifient après l''enregistrement montre les mêmes preuves du côté du superviseur.

Ce qu''il faut dire aux clients ce mois-ci

Ne dites pas à un client français que NIS2 ne s''applique pas encore. Dites que la loi nationale est en retard, que ses donneurs d''ordre d''autres pays ne le sont pas, et que les preuves construites maintenant serviront dans tous les cas.