Le 6 octobre 2026, la Conférence des présidents de l'Assemblée nationale a retiré de son ordre du jour le projet de loi transposant la directive NIS 2. Il devait être débattu les 7 et 9 octobre. Selon l'article consulté, aucune nouvelle date n'était fixée.
Pourquoi cela vous concerne
NIS 2 est une directive européenne sur la cybersécurité. Le projet de loi français transpose aussi les directives REC et DORA. Le Sénat l'a voté le 12 mars 2025. La commission spéciale de l'Assemblée l'a adopté le 10 septembre 2025.
Depuis, le texte attend sa séance publique. Il n'y a donc ni loi promulguée, ni décrets d'application. Ce sont eux qui préciseront de nombreux points.
Votre entreprise est-elle concernée ? Cela dépend de son activité, de sa taille et des textes applicables. L'ANSSI rappelle que seule la directive 2022/2555 sert de référence pour en juger. Une entreprise peut aussi être touchée indirectement, par exemple si l'un de ses clients doit imposer des exigences à ses fournisseurs.
Ce que le texte laisse entrevoir
Selon une présentation du projet de loi, les entités concernées devraient mettre en place :
- une gouvernance impliquant la direction ;
- une analyse des risques ;
- une gestion des incidents ;
- un plan de continuité d'activité ;
- la sécurité de la chaîne d'approvisionnement ;
- l'authentification multifacteur.
Cette même présentation indique aussi des délais de notification d'incident : une alerte précoce sous 24 heures, puis une notification sous 72 heures. Ces points peuvent encore évoluer pendant les débats.
Cinq actions utiles dès maintenant
- Vérifier votre situation. Consultez les textes ou demandez un avis. Notez la conclusion et sa date.
- Cartographier vos systèmes. On ne protège pas ce que l'on ne connaît pas.
- Évaluer vos risques et faire valider les choix par la direction. Gardez une trace de cette décision.
- Préparer la gestion de crise. Qui prévenir, qui décide, et comment réagir en quelques heures ?
- Interroger vos prestataires. Sauront-ils vous fournir rapidement les informations nécessaires en cas d'incident ?
Ces mesures restent utiles quel que soit le calendrier parlementaire. Elles réduisent l'impact d'une attaque et rassurent clients et partenaires.
En résumé
Le report n'est pas une pause pour les attaquants. Une démarche progressive, adaptée à votre taille, est plus simple et moins coûteuse qu'une mise en conformité faite dans l'urgence. Commencez par les bases : elles serviront dans tous les cas.
👉 Connaissez-vous vraiment tous les systèmes qui composent votre entreprise ?
👉 Votre entreprise survivrait-elle à une semaine sans systèmes informatiques ?
👉 Vos mots de passe protègent-ils vraiment votre entreprise ?