Le report de la NIS 2 en France n’est pas un sursis en matière de conformité

Un report n’est pas un sursis, et les organisations françaises qui considèrent l’actualité de cette semaine comme une permission d’attendre sous-estiment leur propre exposition. Le projet de loi transposant la directive NIS 2 dans le droit français devait être examiné à l’Assemblée nationale le 7 octobre 2026. L’organe chargé de fixer l’ordre du jour l’a retiré la veille, sans nouvelle date annoncée.

À première vue, cela semble être une bonne nouvelle si vous êtes responsable de la sécurité ou de la conformité dans un groupe hospitalier, un producteur de produits chimiques, un institut de recherche ou un sous-traitant industriel qui n’a jamais eu à rendre de comptes à un régulateur européen de la cybersécurité. Ce n’est pas le cas. L’article de Silicon.fr sur le projet de loi décrit un texte qui élargit le périmètre réglementé de 6 à 18 secteurs et d’environ 500 entités à près de 15 000. Quelle que soit la date du vote, ces organisations devront répondre à une question à laquelle elles ne peuvent pas répondre de mémoire.

La question est simple. Pouvez-vous prouver, à la demande, que les données sensibles entrant et sortant de votre organisation ont été contrôlées, consignées et sont traçables dans le délai imposé par le régulateur ? La conformité NIS 2 est autant une question de preuves que de sécurité, et réunir ces preuves prend plus de temps que ne l’accordera aucun calendrier législatif. La plateforme d’échange sécurisé de données Kiteworks répond précisément à ce besoin, c’est pourquoi ce report concerne davantage le RSSI et le Chief Compliance Officer que ne le laisse penser le titre de l’actualité.

Résumé des points clés

1. Le report n’est pas un sursis.

L’Assemblée a retiré le projet de loi le 6 octobre 2026, mais la date limite de transposition européenne est passée en octobre 2024 et la Commission européenne demande déjà à une cour d’infliger des sanctions financières à la France.

2. Le périmètre réglementé va être multiplié par trente.

Le projet de loi prévoit un passage d’environ 500 entités réglementées à près de 15 000, couvrant 18 secteurs au lieu de 6.

3. Les obligations sont déjà connues.

La directive impose un signalement précoce sous 24 heures, une notification d’incident sous 72 heures, des obligations de sécurité de la supply chain et des plafonds d’amende d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.

4. Le problème n’est pas l’outil, mais la preuve.

Des journaux fragmentés entre messagerie électronique, partage et transfert sécurisé de fichiers transforment le délai de reporting de 72 heures en une enquête manuelle.

5. Définir le périmètre, préparer les preuves, ne jamais attendre.

Les RSSI et Chief Compliance Officers doivent confirmer le statut de leur entité, cartographier les échanges de données sensibles avec les fournisseurs et constituer un dossier de preuves exportable avant même la publication des décrets français.

Ce qu’il s’est passé cette semaine pour le projet de loi NIS 2 en France

Le texte est le projet de loi n° 1112, sur la résilience des infrastructures critiques et le renforcement de la cybersécurité. Il porte aussi la transposition de la directive sur la résilience des entités critiques et celle qui accompagne DORA, si bien que NIS 2 n’est qu’un des trois volets du texte. Le gouvernement l’a déposé au Sénat le 15 octobre 2024, sous procédure accélérée. Le Sénat l’a adopté le 12 mars 2025, par 181 voix contre 134. Une commission spéciale de l’Assemblée a ensuite adopté sa propre version le 10 septembre 2025.

Puis le texte a attendu. La veille juridique de Leto sur le report indique que le 6 octobre, la conférence des présidents de l’Assemblée a retiré le projet de loi de l’ordre du jour des séances des 7 et 9 octobre. Officiellement, le calendrier est saturé ; l’examen d’un autre texte sur les violences sexuelles et sexistes prend du retard. Le rapporteur, Éric Bothorel, a déclaré espérer un retour du texte sous deux à trois semaines. La prochaine conférence des présidents se tiendra le 13 octobre, et un texte retiré ne retrouve pas automatiquement sa place à l’agenda.

Relisez bien cette séquence. Un projet de loi adopté par le Sénat en mars 2025 a déjà été reporté deux fois à l’Assemblée, la première fois jusqu’en septembre 2026. Personne de sérieux n’imagine que le gouvernement français renoncera à la transposition. Mais il faut s’attendre à ce que le calendrier reste imprévisible.

Un détail politique mérite l’attention car il révèle où se situe la friction. Le Sénat a ajouté un article, le 16 bis, qui interdirait à l’État d’exiger des fournisseurs de chiffrement qu’ils intègrent des portes dérobées ou remettent des clés maîtresses. L’analyse de NOVRISK sur le retrait signale qu’un amendement gouvernemental visant à supprimer cet article a été déposé le 3 octobre, trois jours avant le retrait, tout en notant qu’aucun document public ne relie les deux événements. Il s’agit d’un débat sur la politique de chiffrement, non sur les obligations NIS 2. Cela montre que le report a une explication politique, et les explications politiques ne durent jamais.

Le saut de 500 à près de 15 000 entités

Voici le chiffre qui doit vous faire revoir vos priorités. Aujourd’hui, environ 500 entités françaises relèvent de l’ancien régime NIS. Après la réforme, la note explicative du projet de loi prévoit près de 15 000 entités concernées. Cela représente une multiplication par trente du nombre d’organisations devant démontrer leur gouvernance en cybersécurité à une autorité nationale.

L’autorité compétente est l’ANSSI, l’agence nationale de la sécurité des systèmes d’information. Selon Silicon.fr, le rapport de la commission prévoit qu’environ 14 500 entités seront supervisées par l’ANSSI. Le même article précise que le périmètre inclut environ 1 500 collectivités locales, dont les communes de plus de 30 000 habitants, ainsi que les administrations centrales, les entreprises de taille moyenne et grande, et les acteurs de la supply chain.

Deux points de conception intéressent particulièrement les acteurs privés. D’abord, les entités sont classées en catégories essentielles ou importantes, avec des obligations adaptées à leur criticité. Ensuite, l’État, les collectivités locales et leurs établissements publics administratifs sont exemptés des amendes mais pas des obligations de sécurité et de notification. Si vous travaillez pour un organisme public, l’amende n’est pas le risque principal ; c’est l’audit qui l’est.

La liste des secteurs provient de la directive NIS 2 elle-même, dont les annexes vont bien au-delà des opérateurs d’énergie, de transport et de banque couverts par les anciennes règles. On y trouve la santé, les infrastructures numériques, la chimie, les services postaux et de messagerie, la recherche, la fabrication de certains produits, entre autres. Un fabricant d’équipements médicaux de taille moyenne, un réseau de laboratoires régionaux, un producteur de produits chimiques sous contrat ou un hébergeur peuvent tous entrer dans le périmètre sans avoir jamais déposé un rapport de cybersécurité auprès d’un régulateur.

Considérons un exemple fictif. Un fabricant de précision de 600 personnes en Auvergne-Rhône-Alpes fournit des composants à un donneur d’ordres aéronautique et échange des fichiers d’ingénierie, des dossiers qualité fournisseurs et des données collaborateurs avec onze partenaires via e-mail, SFTP et un service de partage de fichiers adopté il y a quatre ans par les opérations. Personne dans l’entreprise n’a jamais eu à montrer à un auditeur qui a envoyé quoi, à qui, sous quelle règle. Avec le nouveau régime, cette question deviendra banale. Le fabricant n’a pas besoin de nouveaux outils lundi. Il doit savoir ce qu’il remettrait mardi.

Bruxelles a déjà dépassé le stade du débat

La date limite de transposition de NIS 2 était le 17 octobre 2024. Quand l’Assemblée nationale reviendra sur le texte, la France aura déjà deux ans de retard.

L’UE ne considère pas cela comme un détail. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de notification des mesures de transposition, en demandant des sanctions financières. Ces sanctions courront jusqu’à la notification complète de la transposition, donc le report ne stoppe pas le compteur. Il le fait tourner.

La comparaison compte aussi, car l’idée que la France fait partie d’un grand nombre de retardataires est fausse. Le suivi de la transposition NIS 2 de l’ECSO recense 23 des 27 États membres ayant adopté une loi nationale, même si ce décompte porte sur la législation primaire et non sur le critère plus strict de la Commission. Cela place la France parmi les quatre pays assignés en justice, et non dans une Europe à moitié transposée. Les entreprises présentes en Italie ou en Belgique sont déjà soumises à des règles nationales, et une filiale française rattachée à un groupe se voit déjà questionnée sur sa préparation NIS 2 par sa maison mère.

La conséquence concrète est une conformité à deux vitesses. Votre groupe est probablement déjà évalué selon les attentes NIS 2. Votre entité française attend une loi. Ces deux situations ne résisteront pas au premier questionnaire client ou au premier audit transfrontalier.

Les obligations n’attendent pas la loi définitive

Les décrets d’application français ne sont pas encore rédigés et, selon l’ANSSI citée par Silicon.fr, NIS 2 ne prendra effet en France qu’une fois la loi, les décrets et les arrêtés promulgués. Aucune date de conformité n’est publique. C’est l’argument le plus fort en faveur de l’attente, mais il est moins solide qu’il n’y paraît, car la directive donne déjà la plupart des éléments que les décrets viendront préciser.

Commençons par la responsabilité. Selon la directive, l’organe de direction d’une entité doit approuver les mesures de gestion des risques cyber et superviser leur mise en œuvre, et ses membres peuvent être tenus responsables en cas de manquement, comme le précise le texte même de la directive. Cette phrase fait passer NIS 2 d’un problème IT à un enjeu de gouvernance, et c’est pourquoi le Chief Compliance Officer et le Directeur juridique doivent être présents aux côtés du RSSI.

Ensuite, la temporalité. La même directive impose un signalement précoce sous 24 heures après la prise de connaissance d’un incident majeur, une notification d’incident sous 72 heures et un rapport final sous un mois. Une organisation qui met une semaine à déterminer quels fichiers sont sortis par quel canal ne peut pas respecter ce calendrier. Le plan de réponse aux incidents n’est pas le point faible dans la plupart des organisations. Ce sont les données qui l’alimentent.

Puis, la sécurité de la supply chain. La directive impose des mesures de gestion des risques couvrant la sécurité des relations avec les fournisseurs et prestataires directs. Si votre programme de gestion des risques supply chain se limite à un tableau de fournisseurs et un questionnaire, vous avez un inventaire, pas une preuve de contrôle. Un auditeur demandera comment circulent les données sensibles entre vous et un fournisseur, qui a validé ce flux et où se trouve la trace.

Enfin, les sanctions. Silicon.fr indique que le texte français plafonne les amendes administratives à 10 millions d’euros ou 2 % du chiffre d’affaires mondial, conformément au minimum de la directive pour les entités essentielles. Les entités importantes font face à un plafond inférieur, au moins 7 millions d’euros ou 1,4 %. Pour une entreprise de taille intermédiaire, l’amende est un plafond à ne jamais atteindre. Le risque le plus immédiat, c’est l’audit raté, l’injonction corrective et le contrat non renouvelé tant que le problème n’est pas résolu. Le contexte de l’audit et de l’application NIS 2 montre comment ce scénario se déroule en pratique.

Le déficit de preuves derrière chaque échéance

La plupart des organisations ne ratent pas la conformité faute de contrôle. Elles échouent parce qu’elles ne peuvent pas prouver que le contrôle a bien fonctionné.

C’est ce qui ressort de l’enquête menée par Kiteworks auprès de 225 responsables sécurité, IT, conformité et risques, réalisée au quatrième trimestre 2025. Dans le Kiteworks 2026 Data Security and Compliance Risk: Annual Forecast Report, seuls 39 % des répondants disposaient d’une approche unifiée de l’échange de données avec application des règles. Les 61 % restants fonctionnaient avec des approches partielles, spécifiques à un canal ou minimales, et le rapport relie cette fragmentation à la dispersion des journaux sur différentes plateformes, chacune avec son propre format et sa propre politique de conservation.

Pensez à ce que cela implique avec un délai de 72 heures. Un incident survient. L’équipe sécurité doit déterminer quelles données sont concernées, qui y a accédé et par quel canal. Les journaux e-mail sont dans un système, ceux du transfert sécurisé de fichiers dans un autre, la traçabilité du partage de fichiers dans un troisième, et les soumissions de formulaires web nulle part de façon évidente. Personne n’a failli sur la sécurité. C’est l’assemblage qui a échoué. Le même rapport révèle qu’un tiers des répondants n’ont pas de journaux d’audit exploitables comme preuve.

Il faut toujours garder un esprit critique face aux enquêtes fournisseurs, y compris les nôtres. Celle-ci est une étude Kiteworks avec un échantillon modeste, donc à prendre comme une tendance. Mais le schéma décrit est celui que tout Chief Compliance Officer reconnaît, et c’est le bon prisme ici. Les journaux existent. Mais ils ne constituent pas une preuve. Un auditeur ne veut pas douze exports et une explication orale. Il veut une chaîne de traçabilité cohérente, que l’organisation puisse produire en quelques jours, car le délai du régulateur se compte en jours, alors que l’assemblage des preuves prend souvent des semaines.

Appelons cela le déficit d’assemblage. C’est l’écart entre disposer de journaux et être capable de prouver ce qu’ils démontrent. C’est là que se jouera une enquête NIS 2.

Où l’échange de données sensibles rencontre NIS 2

Focalisons-nous sur la charge de travail la plus directement concernée pour les nouveaux entrants dans le périmètre : les données sensibles qui quittent ou entrent dans l’organisation. Données patients et de recherche en santé. Plans d’ingénierie, formulations et dossiers fournisseurs dans l’industrie et la chimie. Dossiers collaborateurs dans tous les secteurs. Chacun de ces flux franchit une frontière où les exigences de la directive en matière de contrôle d’accès, chiffrement, gestion des incidents et sécurité de la supply chain se rejoignent.

L’option architecturale à envisager est un plan de contrôle unique pour ces échanges, plutôt qu’un ensemble d’outils séparés par canal. Dans le Control Plane de Kiteworks, le transfert sécurisé de fichiers (MFT), la messagerie électronique sécurisée et le partage sécurisé de fichiers partagent un moteur de règles unique et un journal d’audit consolidé, ce qui permet d’obtenir une réponse unique et centralisée à toute question sur un fichier donné. Les journaux d’audit sont conçus pour être immuables, et les flux de logs peuvent alimenter un SIEM en temps réel, ce qui est crucial lorsque le délai de signalement de 24 heures a déjà commencé à courir. La plateforme est également certifiée ISO 27001, ISO 27017 et ISO 27018 et SOC 2 Type II, autant d’arguments pour rassurer vos propres clients sur l’assurance fournisseur.

Précisons ce que cela permet et ce que cela ne permet pas. Aucun logiciel ne rend une organisation conforme à NIS 2. La conformité dépend de votre gouvernance, de votre gestion des risques et de votre reporting, et c’est le régulateur qui en décide. Ce qu’apporte une couche unifiée d’échange de données, c’est la partie preuve, la plus difficile à reconstituer après un incident. C’est aussi la raison pour laquelle les régulateurs s’intéressent aux données, pas aux outils. L’ANSSI ne s’intéressera pas au produit que vous avez acheté, mais à votre capacité à prouver qui a accédé à quoi, quand, et sous quelle autorité.

Pour les organisations de santé, le croisement avec le RGPD et la réglementation nationale sur les données de santé rend ces journaux encore plus précieux, car ils servent à la fois au DPO et au RSSI. Pour l’industrie et la chimie, ils répondent à la dimension fournisseur de la directive, là où la propriété intellectuelle et les données opérationnelles circulent vers des partenaires que vous ne contrôlez pas.

Que faire avant la publication des décrets

Attendre les décrets est un choix compréhensible sur le plan juridique, mais risqué sur le plan opérationnel. Voici ce que le RSSI et le Chief Compliance Officer peuvent faire dès maintenant, dans un ordre adapté à un cycle de planification classique.

Délimiter le périmètre. Déterminez si votre entité, et chacune de vos filiales, est susceptible d’être essentielle, importante ou hors périmètre, en vous appuyant sur les annexes de la directive et les guides publiés par l’ANSSI au fur et à mesure. Ne partez pas du principe que la petite taille ou l’absence de régulation antérieure vous protège. Le périmètre va être multiplié par trente.

Désigner un responsable identifié. La directive rend l’organe de direction responsable, ce qui laisse souvent une ambiguïté à clarifier. Dans beaucoup d’organisations, la responsabilité est partagée entre le DSI, le RSSI et le service juridique, sans que personne ne sache qui gère quoi. Écrivez noir sur blanc qui gère la notification d’incident, qui gère l’assurance fournisseur et qui valide le dossier de preuves.

Cartographier les échanges de données sensibles. Listez tous les canaux par lesquels des données réglementées ou confidentielles circulent vers les fournisseurs, clients et partenaires, y compris les canaux « fantômes ». Pour chaque canal, posez la question du déficit d’assemblage. Si un incident survenait ce soir sur ce canal, combien de temps faudrait-il pour reconstituer l’historique complet de ce qui a circulé, qui y a accédé et sous quelle règle ?

Faire l’exercice des 24 et 72 heures. Ne testez pas le plan écrit, testez la preuve. Choisissez un incident plausible, lancez un chronomètre et voyez combien de temps il faut pour rassembler le contenu de la notification. Le premier essai sera instructif. Tant mieux. Mieux vaut l’apprendre en octobre qu’en pleine crise.

Préparer le dossier de preuves. Décidez dès maintenant ce que vous remettrez à un auditeur et sous quelle forme. Politiques, revues d’accès, posture de chiffrement, dossiers d’assurance fournisseur et journal d’audit récupérable en sont le socle. Utilisez une analyse interne des écarts NIS 2 pour identifier les manques et dimensionner l’effort en fonction des coûts de conformité NIS 2, afin d’anticiper la discussion budgétaire avant l’échéance.

Aucune de ces étapes n’exige l’Assemblée. Toutes seront exigées par l’ANSSI du premier organisme contrôlé.

Pour en savoir plus sur la constitution de preuves prêtes pour l’audit NIS 2 sur la messagerie électronique, le partage et le transfert sécurisé de fichiers, réservez votre démo personnalisée dès maintenant.

Ressources complémentaires

• Article de blog La bataille autour de vos données : comment les lois CLOUD et SHIELD opposent sécurité et vie privée
• Article de blog Sécurisez les données sensibles en alignant le DSPM sur vos objectifs de conformité
• Brief Top 3 des violations FERPA et comment les éviter
• Article de blog Executive Order 14117 : protéger les données personnelles sensibles des Américains
• Article de blog Besoin de conformité NIS2 ? Commencez par ISO 27001