NIS2 en 2027 : où en est la France, et quoi budgéter
Loi NIS2 retirée de l'ordre du jour en octobre 2026, France devant la CJUE : les dates sourcées, ce qui reste inconnu et ce qu'une DSI d'ETI doit budgéter pour 2027.
Fin octobre 2026, la loi française de transposition de NIS2 n'est toujours pas votée : retirée de l'ordre du jour de l'Assemblée le 6 octobre, elle n'y a pas été réinscrite. 2027 sera au mieux l'année de la promulgation et des premiers décrets. L'ANSSI a promis au moins trois ans avant d'exiger une conformité complète. Budgétez les chantiers longs maintenant, pas la sanction.
En octobre 2026, la loi qui doit transposer NIS2 en France devait enfin passer en séance à l’Assemblée. Elle a été retirée de l’ordre du jour la veille. Votre direction générale vous demandera ce que ça change pour le budget 2027.
Réponse courte : peu de choses sur le fond, beaucoup sur le calendrier. Voici les dates qui sont sourcées, celles qui ne le sont pas, et ce que je mettrais au budget.
Retenez les dates européennes, elles ne bougent plus
La directive (UE) 2022/2555 date du 14 décembre 2022. Les États avaient jusqu’au 17 octobre 2024 pour la transposer, et elle s’applique depuis le 18 octobre 2024, date à laquelle elle a abrogé NIS1. La page de la Commission sur la directive le résume.
La France a laissé passer l’échéance. La Commission lui a adressé une mise en demeure le 28 novembre 2024, puis un avis motivé le 7 mai 2025. Le 8 juillet 2026, elle l’a renvoyée devant la Cour de justice de l’Union européenne, avec l’Irlande, l’Espagne et les Pays-Bas, en demandant une somme forfaitaire et une astreinte journalière.
Selon le suivi tenu par l’ECSO, mis à jour le 10 septembre 2026, 24 États membres sur 27 avaient alors transposé. La France fait partie des retardataires.
Suivez la loi à l’Assemblée, pas dans la presse
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose NIS2, la directive REC et le volet directive de DORA. Son parcours, d’après le dossier du Sénat et le dossier de l’Assemblée :
| Étape | Date |
|---|---|
| Dépôt au Sénat, procédure accélérée | 15 octobre 2024 |
| Adoption par le Sénat | 12 mars 2025 |
| Texte de la commission spéciale de l’Assemblée | 10 septembre 2025 |
| Inscription en séance les 7 et 9 octobre 2026 | décidée le 22 septembre 2026 |
| Retrait de l’ordre du jour | 6 octobre 2026 |
| Pas de réinscription, l’automne est pris par le budget | 20 octobre 2026 |
Le retrait du 6 octobre figure au relevé de la Conférence des présidents. Celui du 20 octobre n’inscrit que les textes budgétaires.
Après le vote, il faudra une commission mixte paritaire si les deux chambres divergent, la promulgation, puis des décrets et des arrêtés. Une loi votée ne rend rien exigible tant que les décrets ne sont pas publiés.
Mon conseil : abonnez-vous au relevé hebdomadaire de la Conférence des présidents. C’est là que la date de passage apparaît en premier, avant les articles de presse.
Ne promettez aucune date d’application à votre direction
L’ANSSI le dit elle-même sur sa page d’avancement de la transposition : l’entrée en vigueur suppose la loi, les décrets et les arrêtés, et la date d’entrée en vigueur ne sera pas celle de l’application de toutes les exigences. Aucune date définitive n’est fixée.
Le seul repère de délai vient d’un engagement oral. Aux Assises de la sécurité d’octobre 2024, le directeur général de l’ANSSI a annoncé au moins trois ans avant d’exiger une conformité complète. Ce n’est pas un texte.
Les calendriers qui circulent avec des contrôles en 2027 viennent de cabinets et de blogs. Ils supposaient une loi votée en 2025. Ne les reprenez pas dans une note à votre direction.
En 2027, le risque NIS2 d’une ETI ne viendra pas de l’ANSSI. Il viendra de ses clients.
Les grands comptes soumis à NIS2 dans d’autres pays de l’Union, ou qui l’anticipent, envoient déjà des questionnaires de sécurité à leurs fournisseurs. Ceux-là n’attendent pas la loi française.
Inscrivez au budget 2027 les chantiers longs
Ce qui coûte, ce n’est pas l’enregistrement auprès de l’ANSSI. Ce sont les chantiers qui prennent un an quelle que soit la date de la loi. Le référentiel ReCyF, publié en version de travail 2.5 le 17 mars 2026, sert de grille. Je budgète dans cet ordre :
- Inventaire des actifs et des dépendances. Sans lui, aucune analyse de risque ne tient. Un outil existant suffit souvent : GLPI ou iTop si vous les avez, sinon l’outil du support. Keolux One a une page sur la conformité NIS2, et se défend si vous voulez tenir inventaire, incidents et demandes d’accès dans le même outil.
- Gestion des incidents de sécurité, avec une procédure de notification qui tient en 24 heures. Testez-la sur un exercice.
- Revue des habilitations au moins annuelle, signée par les managers. Voir la méthode de revue des accès.
- Plan de continuité testé, sauvegardes restaurées pour de vrai.
- Formation de la direction, exigée par la directive : prévoyez une demi-journée, pas un module en ligne.
Le poste le plus souvent oublié est le temps interne. Chiffrez les jours de votre équipe, pas seulement les licences et le conseil.
À faire avant la fin de l’année
- Vérifier si votre entreprise est concernée avec le simulateur de l’ANSSI, et faire le pré-enregistrement.
- Faire une auto-évaluation rapide sur le ReCyF, objectif par objectif, et noter les trois écarts les plus coûteux.
- Inscrire ces trois chantiers au budget 2027, avec les jours internes.
- Lister vos clients qui vous ont déjà envoyé un questionnaire de sécurité, et prioriser leurs exigences.
- Préparer une note d’une page pour la direction : ce qui est sûr, ce qui ne l’est pas, ce que vous engagez.
Si vous partez de zéro, relisez d’abord ce qu’une DSI d’ETI doit faire sans attendre la loi : la liste des obligations n’a pas changé depuis.
Bons plans
- Le pré-enregistrement et le ReCyF sont gratuits et publics : ne payez pas un cabinet pour un diagnostic d’éligibilité.
- Exigez de tout prestataire de conformité qu’il cite le ReCyF en version 2.5 et dise ce qui pourra bouger après le vote.
- Négociez les audits en lot avec vos questionnaires clients : une même preuve sert souvent trois fois.
Questions fréquentes
La loi NIS2 sera-t-elle votée en 2027 ?
Personne ne peut le garantir. Le texte est adopté par le Sénat depuis mars 2025 et prêt en commission à l'Assemblée depuis septembre 2025, mais son passage en séance a été reporté à plusieurs reprises, dont le 6 octobre 2026. L'examen du budget de l'État occupe l'automne. Planifiez comme si la promulgation intervenait en 2027, sans en faire une certitude.
Peut-on être sanctionné au titre de NIS2 en 2027 ?
C'est très improbable. Sans loi promulguée ni décrets, il n'existe pas d'obligation française opposable au titre de NIS2. Le directeur général de l'ANSSI a aussi annoncé au moins trois ans entre l'entrée en vigueur et l'exigence d'une conformité complète. Vos clients, eux, peuvent déjà vous imposer leurs propres clauses contractuelles.
Faut-il attendre la loi pour commencer ?
Non. Le référentiel ReCyF de l'ANSSI est publié en version de travail et le pré-enregistrement des entités est ouvert. L'inventaire des actifs, la gestion des incidents, la revue des accès et le plan de continuité prennent chacun plusieurs mois et servent quelle que soit la date finale de la loi.