Le mercredi 7 octobre 2026, les députés devaient enfin ouvrir l'examen du projet de loi Résilience, le texte qui transpose NIS 2 en France. Ce ne sera pas pour cette semaine : le texte va être retiré de l'ordre du jour, et le report doit être acté ce mardi 6 octobre en conférence des présidents. L'échéance fixée par l'Europe, elle, datait du 17 octobre 2024.
Si vous dirigez une PME tech ou une ESN, la question utile n'est pas « quand la loi sera-t-elle votée ? », mais « qu'est-ce que ça change pour moi, concrètement ? ». Voici notre lecture.
Comment on en est arrivé là
- 17 octobre 2024 : date limite de transposition fixée par la directive. La France ne la tient pas.
- 15 octobre 2024 : le projet de loi est présenté en Conseil des ministres, avec procédure accélérée.
- 12 mars 2025 : adoption par le Sénat en première lecture.
- 9 et 10 septembre 2025 : adoption à l'unanimité en commission spéciale de l'Assemblée nationale. Le texte attend ensuite pendant plus d'un an.
- 8 juillet 2026 : la Commission européenne saisit la Cour de justice de l'Union européenne contre la France pour défaut de transposition, avec une demande de sanctions financières.
- 7 et 9 octobre 2026 : examen en séance publique programmé, puis retiré de l'ordre du jour.
Pourquoi ce nouveau report
Le blocage de fond tient depuis des mois à l'article 16 bis, introduit au Sénat, qui vise à protéger le chiffrement de bout en bout et que le monde du renseignement conteste. Cette fois, l'explication officielle est d'agenda : selon Projet Arcadie, l'examen de la proposition de loi dite « intégrale » contre les violences sexuelles et sexistes a pris plus de temps que prévu, et il n'y a pas eu de session extraordinaire pour dégager du temps législatif. Gérard Larcher a refusé que les sénateurs siègent au-delà du 14 juillet en raison des élections sénatoriales, et aucune session n'a eu lieu à la mi-septembre non plus. L'information a d'abord été donnée par Marc Rees (L'Informé), puis confirmée par Éric Bothorel à Projet Arcadie.
Le rapporteur du texte, Éric Bothorel, espère une réinscription à l'ordre du jour d'ici quinze jours ou trois semaines. Un report n'est donc pas un abandon, mais personne ne peut garantir une date.
Ce que ce report ne change pas
- La directive est en vigueur. Ses obligations sont connues : gouvernance, inventaire des actifs, gestion des vulnérabilités, notification d'incident, responsabilité des dirigeants. La transposition française précisera le cadre, pas le fond.
- Le périmètre. L'ANSSI estime à environ 15 000 le nombre d'entités concernées en France, contre environ 500 sous NIS 1. Les sanctions peuvent aller jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles.
- Le référentiel de l'ANSSI. Le ReCyF existe déjà en version de travail et donne une base concrète pour se préparer.
- Vos clients. Par effet cascade (article 21 de la directive), les entités assujetties vont demander des garanties à leurs fournisseurs, y compris à des PME qui ne sont pas elles-mêmes dans le champ. Ces demandes arrivent sous forme de questionnaires de sécurité et de clauses contractuelles, sans attendre le Journal officiel.
Ce que le report change vraiment
D'abord, la visibilité : pas de loi promulguée, donc pas de décrets d'application, donc pas de date d'entrée en vigueur. Ensuite, le rythme : les acteurs du secteur relaient un délai de mise en conformité de trois ans après la publication de la loi (à confirmer au moment de la promulgation). Dit autrement, aucun contrôle de l'ANSSI ne vous attend demain matin.
Mais la pression ne vient pas que du législateur. Elle vient d'un grand compte qui vous envoie un questionnaire de sécurité de 200 lignes, ou d'un appel d'offres qui exige une preuve. Et un report prolongé a un effet pervers : il pénalise les organisations qui investissent par anticipation, pendant que d'autres attendent une loi qui n'arrive pas.
Que faire en attendant
- Savoir si vous êtes concerné. Secteur, taille (le seuil des entreprises moyennes, 50 salariés ou 10 M€ de chiffre d'affaires, est le repère), et surtout : êtes-vous le sous-traitant d'une entité assujettie ? Pour une ESN ou un MSP, c'est très souvent oui.
- Partir du ReCyF et de la directive pour dresser l'inventaire de vos actifs, de vos risques et de vos politiques existantes.
- Prouver, pas seulement écrire. Une politique signée ne dit pas si le MFA est réellement activé ou si l'accès d'un ancien salarié a été révoqué. L'auditeur, comme votre client, regardera ce qui est appliqué.
- Préparer vos réponses aux questionnaires de sécurité. Un dossier propre et à jour répond à la majorité d'entre eux, loi ou pas loi.
Où Basilis intervient
C'est précisément le terrain sur lequel nous travaillons avec les PME tech et les ESN/MSP. La plateforme se branche en API sur vos outils, collecte les preuves et vérifie que ce que vous avez déclaré est bien appliqué, avec un contrôle toutes les heures en Pack Complet. Elle est hébergée en France chez Scaleway, avec une IA Mistral, et les tarifs sont publics : 4 900 € ou 9 900 € HT par an. Le Pack Complet inclut un expert cyber référent, utile si c'est votre première démarche et que personne en interne ne peut la porter.
Si vous voulez savoir où vous en êtes avant que la loi tranche, parlons-en.
Sources :
- Projet Arcadie, « NIS 2 de nouveau reporté », 5 octobre 2026 : https://projetarcadie.com/nis-2-de-nouveau-reporte/
- ChannelNews, « La transposition de NIS 2 entre dans sa phase finale », 2 octobre 2026 : https://www.channelnews.fr/la-transposition-de-nis-2-entre-dans-sa-phase-finale-159247
- Next, « La transposition de NIS2 est enfin à l'ordre du jour de l'Assemblée nationale » : https://next.ink/brief-article/alleluia-la-transposition-de-nis2-est-enfin-a-lordre-du-jour-de-lassemblee-nationale/
- Cyberattaque.org, « NIS2 enfin à l'Assemblée nationale près de deux ans après la date limite » : https://www.cyberattaque.org/nis2-enfin-a-lassemblee-nationale-pres-de-deux-ans-apres-la-date-limite/
- InCyber News, « Transposition de NIS2 : l'examen à l'Assemblée nationale reporté », 10 juillet 2026 : https://incyber.org/article/transposition-nis2-examen-assemblee-nationale-reporte-plus-tot-septembre-2026/
- Legiwatch, « NIS2 en France : le retard de transposition » (saisine de la CJUE, 8 juillet 2026) : https://www.legiwatch.fr/textes/nis2-france/
- Datamensio, « NIS2 : la France renvoyée devant la CJUE » : https://www.datamensio.com/fr/blog/nis2-france-loi-resilience
- Legiscope, « Transposition NIS2 en France : loi, calendrier 2026 » : https://www.legiscope.com/blog/transposition-nis2-france.html
- SPAC Alliance, « État de la transposition NIS 2 en France (septembre 2026) » : https://spac-alliance.org/fr/actu/etat-de-la-transposition-nis-2-en-france/
- Leto, « NIS 2 en France : la transposition reportée à septembre 2026 » : https://www.leto.legal/news/nis2-transposition-septembre-2026
- CESIN et ANSSI pour les ordres de grandeur du périmètre (15 000 entités) ; directive (UE) 2022/2555 pour les sanctions.