NIS2 et loi Résilience en octobre 2026 : votre PME est-elle concernée ?

Fin octobre 2026, la France n’a toujours pas transposé la directive européenne NIS2 : le projet de loi « Résilience », adopté par le Sénat en mars 2025, attend encore son examen en séance publique à l’Assemblée nationale après un nouveau report le 6 octobre. La plupart des TPE ne seront pas directement visées, mais beaucoup de PME le seront, directement ou par l’intermédiaire de leurs clients. Voici où en est le texte, qui est concerné et les mesures à prendre dès maintenant.

Où en est la transposition de NIS2 en France ?

NIS2 (directive européenne 2022/2555) remplace la première directive NIS et élargit fortement son champ : en France, on passe d’environ 600 entités régulées à environ 15 000, selon Next. Elle devait être transposée avant le 17 octobre 2024.

Un parcours parlementaire très long

En France, cette transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Il transpose aussi DORA (secteur financier) et la directive REC sur les entités critiques. Les grandes étapes, selon Next et Leto :

• 15 octobre 2024 : dépôt au Sénat, avec procédure accélérée.
• 12 mars 2025 : adoption par le Sénat.
• 10 septembre 2025 : texte adopté par la commission spéciale de l’Assemblée nationale.
• 6 octobre 2026 : la conférence des présidents retire le texte des séances des 7 et 9 octobre, en raison d’un calendrier chargé. Aucune nouvelle date n’est fixée ; le rapporteur Éric Bothorel espérait une réinscription « d’ici quinze jours ou trois semaines ».

À la date de rédaction, aucune nouvelle date d’examen n’a été annoncée officiellement, et l’Assemblée examine le projet de loi de finances pour 2027. Après le vote des députés viendront, si besoin, une commission mixte paritaire, puis la promulgation et les décrets d’application. Aucun calendrier officiel d’entrée en vigueur n’existe à ce jour.

Pourquoi ça bloque ?

Le principal point de friction est l’article 16 bis, ajouté par le Sénat : il interdit d’imposer aux fournisseurs de services de chiffrement d’affaiblir volontairement la sécurité de leurs produits (les fameuses « portes dérobées »). Le gouvernement souhaite le supprimer. Pendant ce temps, la Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 contre la France, l’Irlande, l’Espagne et les Pays-Bas.

Votre PME est-elle concernée par NIS2 ?

Deux critères se combinent : votre secteur et votre taille. La directive couvre 18 secteurs, en deux annexes.

Les secteurs visés

Secteurs hautement critiques (annexe I) : énergie, transports, banque et marchés financiers, santé, eau, infrastructures numériques, services informatiques managés, administrations publiques, espace.

Autres secteurs critiques (annexe II) : services postaux, déchets, chimie, alimentation, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques, recherche.

Les seuils de taille

La règle générale repose sur la définition européenne des PME. Une moyenne entreprise compte au moins 50 salariés, ou réalise plus de 10 M€ de chiffre d’affaires et de total de bilan. Une grande entreprise compte au moins 250 salariés, ou dépasse 50 M€ de chiffre d’affaires et 43 M€ de bilan. Les petites entreprises sont en principe exclues, sauf exceptions visées quelle que soit leur taille (registres de noms de domaine, fournisseurs DNS, certains prestataires de services de confiance).

Ces montants sont les plafonds de la directive. Pour vérifier votre situation, l’ANSSI met à disposition un simulateur sur le site MonEspaceNIS2. Elle précise que ses résultats sont « strictement indicatifs ». Depuis novembre 2025, on peut aussi s’y pré-enregistrer, de façon facultative, en vue de l’enregistrement obligatoire à venir.

TPE et sous-traitants : concernés par ricochet

C’est le point le plus sous-estimé : NIS2 impose aux entités régulées de sécuriser leur chaîne d’approvisionnement, donc d’évaluer leurs fournisseurs et d’ajouter des clauses de sécurité à leurs contrats.

Ce que vos clients risquent de vous demander

• Un questionnaire de sécurité lors d’un appel d’offres ou d’un renouvellement.
• Des clauses contractuelles : délai de signalement d’un incident, conditions d’accès à leurs systèmes.
• Des preuves : double authentification, sauvegardes, mises à jour suivies.

Infogérant, éditeur de logiciel, bureau d’études, transporteur, fournisseur d’une clinique ou d’un industriel : attendez-vous à ces demandes. Pour une PME marseillaise qui travaille avec le port, la santé ou l’industrie, savoir y répondre est un argument commercial autant qu’une protection.

Le ReCyF : ce que l’ANSSI attend concrètement

Sans attendre la loi, l’ANSSI a présenté le 17 mars 2026 le Référentiel Cyber France (ReCyF), en version de travail 2.5. Il traduit les exigences de NIS2 en 20 objectifs de sécurité, regroupés en gouvernance, protection, défense et résilience. Les objectifs 1 à 15 s’appliquent aux entités importantes comme essentielles ; les objectifs 16 à 20 sont réservés aux entités essentielles.

Quelques exemples d’objectifs

• Mises à jour (objectif 5) : correctifs appliqués sans délai sur les ressources exposées à Internet et les postes, logiciels encore maintenus.
• Authentification (objectifs 8 et 10) : accès sécurisés, avec authentification multifacteur pour les accès distants des entités essentielles.
• Incidents (objectif 12) : détecter, qualifier, traiter, puis analyser les causes.
• Sauvegardes (objectif 13) : des procédures de sauvegarde et de restauration testées au moins une fois par an, avec des sauvegardes protégées, par exemple hors ligne face aux rançongiciels.

C’est encore un document de travail, non opposable. Mais c’est la meilleure indication de ce qui sera demandé.

La checklist utile à toutes les PME, concernées ou non

Que NIS2 vous vise ou non, les attaques n’attendent pas la loi. Voici l’essentiel.

1. Des sauvegardes vraiment restaurables

Trois copies, sur deux supports, dont une hors ligne ou hors site (la règle « 3-2-1 »), et une restauration complète testée au moins une fois par an.

2. La double authentification partout où c’est possible

Messagerie, accès à distance, banque, administration du site : activez l’authentification multifacteur. C’est l’une des meilleures protections contre le vol de comptes.

3. Des mises à jour suivies

Systèmes, logiciels métiers, mais aussi votre site web et ses extensions. Notre checklist de mise à jour WordPress pour les PME détaille la méthode.

4. Un inventaire et des accès maîtrisés

Listez équipements, comptes et prestataires ayant accès à vos systèmes ; supprimez les comptes inutiles et limitez les droits d’administrateur.

5. Un plan de réponse à incident d’une page

Qui appeler, comment isoler un poste, où sont les sauvegardes. Le RGPD impose par ailleurs de notifier à la CNIL une violation de données personnelles présentant un risque dans les 72 heures. Notre guide cyberattaque en TPE-PME : que faire dans les 24 premières heures vous aide à le rédiger.

6. Sensibiliser votre équipe

Beaucoup d’attaques commencent par un e-mail ou un SMS piégé. Pour le Cybermois 2026, la CNIL et Cybermalveillance.gouv.fr ont publié une fiche « Violation de données personnelles, que faire en 3 étapes clés ? » à partager avec vos salariés.

Questions fréquentes

La loi NIS2 est-elle en vigueur en France ?

Non. Fin octobre 2026, le projet de loi Résilience qui transpose NIS2 a été adopté par le Sénat en mars 2025, mais il n’a pas encore été examiné en séance à l’Assemblée nationale. Il a été retiré de l’ordre du jour le 6 octobre 2026, sans nouvelle date fixée. Les obligations s’appliqueront après la promulgation et les décrets.

Une entreprise de moins de 50 salariés est-elle concernée par NIS2 ?

En principe non, si elle réalise moins de 10 M€ de chiffre d’affaires ou de bilan. Il existe des exceptions pour certains acteurs visés quelle que soit leur taille, comme les fournisseurs de services DNS ou les registres de noms de domaine. Une petite entreprise peut aussi être concernée indirectement via les exigences de ses clients.

Qu’est-ce que le ReCyF de l’ANSSI ?

C’est le Référentiel Cyber France, présenté par l’ANSSI en mars 2026 en version de travail 2.5. Il décline les exigences de NIS2 en 20 objectifs de sécurité : 15 pour les entités importantes, 20 pour les entités essentielles. Il n’est pas encore obligatoire, mais il indique ce qui sera attendu.

Que faire dès maintenant si je ne suis pas concerné ?

Mettre en place les mesures de base : sauvegardes testées dont une hors ligne, double authentification, mises à jour régulières, inventaire des accès et plan de réponse à incident. Elles réduisent fortement le risque et vous permettront de répondre aux questionnaires de sécurité de vos clients.

Vous voulez faire le point sur la sécurité de votre site ? Jimmy vous aide à prioriser : prenez contact, ou découvrez notre offre de maintenance à 90 € HT par mois (mises à jour, sauvegardes, surveillance) sur la page services et tarifs.

Cet article est une information générale, à jour fin octobre 2026, et ne constitue pas un conseil juridique. La loi définitive et ses décrets peuvent modifier les seuils, obligations et sanctions décrits. Pour votre situation, rapprochez-vous d’un professionnel du droit ou de votre expert-comptable.