Loi Résilience : la transposition de NIS2 arrive, voici ce qui devient obligatoire
Réponse courte : Au 24 août 2026, le projet de loi Résilience reste en première lecture à l’Assemblée nationale. Aucune date de promulgation n’est officiellement confirmée. Le projet de loi Résilience vise à transposer les directives européennes REC et NIS2 et prévoit des dispositions d'adaptation liées au règlement DORA.
Source parlementaire officielle : dossier législatif du Sénat.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Ce que contient le projet de loi : deux directives et un volet d'adaptation DORA
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité regroupe la transposition des directives REC et NIS2, ainsi qu'un volet d'adaptation du droit national au règlement DORA. Ce regroupement explique à la fois son ampleur et la lenteur de son parcours parlementaire.
Titre I : résilience des infrastructures critiques (REC)
Remplace le régime des opérateurs d'importance vitale (OIV). Les opérateurs désignés devront cartographier leurs infrastructures critiques, notifier les incidents qui perturbent leurs services essentiels et résister à des risques qui dépassent le cyber : sabotage, catastrophes naturelles, dépendances de la chaîne d'approvisionnement.
Titre II : cybersécurité (NIS2)
Le cœur du texte pour la plupart des entreprises. Il étend la régulation cyber à environ 15 000 entités françaises dans 18 secteurs, réparties en entités essentielles (EE) et entités importantes (EI), avec enregistrement auprès de l'ANSSI, mesures de gestion des risques, notification d'incidents et supervision.
Titre III : secteur financier (DORA)
Aligne le droit national sur le règlement DORA, applicable depuis janvier 2025 : gestion des risques informatiques, tests de résilience opérationnelle (dont les tests TLPT pour les acteurs significatifs) et encadrement des prestataires TIC critiques.
Point débattu au Parlement : l'article 16 bis, qui interdit d'imposer aux services de messagerie chiffrée des portes dérobées (backdoors). Introduit au Sénat, il cristallise une partie des discussions en séance publique, sans remettre en cause l'économie générale du volet NIS2.
Calendrier : état officiel de la transposition
- 17 octobre 2024Date limite de transposition de NIS2 fixée par l'UE, dépassée. Une procédure d'infraction vise les États membres en retard, dont la France.
- 12 mars 2025Le Sénat adopte le projet de loi Résilience en première lecture.
- 13 mars 2025Le projet de loi est transmis à l'Assemblée nationale.
- 10 septembre 2025La commission spéciale dépose son rapport et son texte.
- 17 mars 2026L'ANSSI publie le ReCyF en version de travail : le référentiel technique qui déclinera les obligations NIS2 (article 14 du projet de loi).
- 24 août 2026Au 24 août 2026, le projet de loi Résilience reste en première lecture à l’Assemblée nationale. Aucune date de promulgation n’est officiellement confirmée.
Le calendrier d'adoption et de promulgation n'est pas officiellement confirmé. L'inventaire du SI, la gouvernance et les preuves techniques (audits, tests, exercices) restent des travaux longs à structurer.
Ce qui devient obligatoire pour les entités régulées
Enregistrement auprès de l’ANSSI
Les entités régulées devront se déclarer, avec leurs points de contact, dans les délais fixés par décret. Le test MonEspaceNIS2 permet d'anticiper votre statut dès maintenant.
Mesures de gestion des risques
Gouvernance, sécurisation de la chaîne d'approvisionnement, gestion des accès, chiffrement, continuité d'activité : les objectifs de l'article 21 de la directive, déclinés en France par le ReCyF et ses 20 objectifs de sécurité.
Notification d'incidents en 3 temps
Alerte précoce sous 24 h, notification détaillée sous 72 h, rapport final sous un mois pour tout incident important. La procédure doit exister, être testée et connue des équipes avant l'incident.
Responsabilité des dirigeants
Les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et se forment à la cybersécurité. La conformité cesse d'être un sujet délégable à la seule DSI.
Sanctions : le régime NIS2 repris en droit français
Le texte reprend les plafonds fixés par la directive : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, jusqu'à 7 M€ ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. S'y ajoutent des pouvoirs de supervision gradués : injonctions, astreintes, et pour les entités essentielles des contrôles proactifs sur pièces et sur place.
Le changement le plus structurant reste la responsabilité des organes de direction. La directive impose que les dirigeants approuvent les mesures de gestion des risques et se forment : lors d'un contrôle, l'absence de gouvernance documentée pèsera autant qu'une faiblesse technique.
Êtes-vous dans le périmètre ?
Le volet NIS2 couvre 18 secteurs (énergie, transports, santé, numérique, industrie manufacturière critique, services postaux, agroalimentaire, gestion des déchets, entre autres) et s'applique en général aux entreprises de plus de 50 salariés ou plus de 10 M€ de chiffre d'affaires dans ces secteurs, avec des inclusions indépendantes de la taille pour certaines activités. L'ANSSI estime à environ 15 000 entités le périmètre français, contre quelques centaines d'opérateurs sous NIS1.
Le test d'éligibilité MonEspaceNIS2 de l'ANSSI croise secteur et taille pour déterminer votre statut : entité essentielle (objectifs ReCyF 1 à 20, supervision proactive), entité importante (objectifs 1 à 15, supervision réactive) ou hors périmètre.
Hors périmètre ne veut pas dire hors sujet : les entités régulées doivent maîtriser leur chaîne d'approvisionnement, donc leurs sous-traitants recevront des exigences contractuelles. Voir NIS2 pour les sous-traitants.
FAQ loi Résilience
Qu'est-ce que la loi Résilience ?
Le texte vise à transposer en droit français les directives REC (résilience des entités critiques) et NIS2 (cybersécurité), et prévoit des dispositions d'adaptation liées au règlement DORA pour le secteur financier.Le Sénat a adopté le projet de loi Résilience le 12 mars 2025. Transmis à l’Assemblée nationale le 13 mars 2025, le texte reste en première lecture ; la commission spéciale a déposé son rapport et son texte le 10 septembre 2025. Au 24 août 2026, le dossier parlementaire ne confirme ni adoption en séance publique ni date de promulgation.
Quand entrera-t-elle en vigueur ?
Au 24 août 2026, le projet de loi Résilience reste en première lecture à l’Assemblée nationale. Aucune date de promulgation n’est officiellement confirmée. La date limite européenne de transposition (17 octobre 2024) est dépassée : la France fait partie des États membres visés par une procédure d'infraction pour retard.
Mon entreprise est-elle concernée ?
Si vous opérez dans l'un des 18 secteurs couverts et dépassez 50 salariés ou 10 M€ de chiffre d'affaires, très probablement. L'ANSSI estime le périmètre français à environ 15 000 entités. Le test MonEspaceNIS2 donne une réponse en quelques minutes, et notre checklist NIS2 PME détaille les 18 secteurs et les seuils.
Quelles sanctions sont prévues ?
Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes, plus des pouvoirs d'injonction et d'astreinte. Les organes de direction doivent approuver les mesures de gestion des risques et se former à la cybersécurité.
Faut-il attendre la promulgation pour agir ?
Non. Le référentiel technique est déjà public : le ReCyF décline les obligations en 20 objectifs avec leurs moyens acceptables de conformité. Inventaire, gouvernance, preuves techniques : les postes longs se lancent maintenant, pas à la publication des décrets.
Mesurez votre écart maintenant
Le diagnostic gratuit Laucked cartographie votre surface d'attaque exposée et la met en regard des objectifs techniques du ReCyF. Sans engagement, restitution sous quelques jours.