NIS2 et Loi Résilience : pourquoi 15 000 entreprises françaises doivent se réveiller en 2026

Tu dirige une PME de 80 personnes dans l'agroalimentaire, la santé ou le transport ? Tu penses que la cybersécurité, c'est un problème de grandes entreprises ? Détrompe-toi. Depuis le 17 mars 2026, l'ANSSI a publié le Référentiel Cyber France (ReCyF), le document qui fixe les règles du jeu pour la transposition française de la directive NIS2. Son nom hexagonal : la Loi Résilience. Et si tu n'es pas prêt, la facture peut monter jusqu'à 10 millions d'euros.

Le problème, c'est que la majorité des entreprises concernées l'ignorent purement et simplement. Selon les estimations de l'ANSSI, plus de 15 000 entités françaises tombent sous le coup de cette réglementation — contre à peine 300 sous l'ancienne directive NIS de 2016. Un saut quantique qui change la donne pour des milliers de PME et ETI.

NIS2, c'est quoi exactement ?

La directive NIS2 (Network and Information Security 2) est un texte européen adopté en décembre 2022 qui remplace la première directive NIS de 2016. Son objectif : imposer un socle minimum de cybersécurité aux entreprises qui gèrent des infrastructures critiques ou des services essentiels.

Là où NIS 1 ne touchait que quelques centaines d'opérateurs de services essentiels (OSE), NIS2 élargit son périmètre à 18 secteurs d'activité et crée deux catégories d'assujettis :

Le critère de taille ? Toute entreprise de plus de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires dans l'un de ces secteurs est concernée. Certaines entités le sont quelle que soit leur taille : fournisseurs DNS, registraires, opérateurs telecom, services de confiance numérique.

Pourquoi la France est en retard

Le calendrier européen imposait aux États membres de transposer NIS2 en droit national avant le 17 octobre 2024. Comme la majorité des pays de l'Union, la France a manqué cette deadline. La transposition française, baptisée Loi Résilience, est attendue pour le premier semestre 2026 — le projet de loi a été déposé au Parlement et les décrets d'application sont en cours de finalisation.

Ça signifie concrètement deux choses :

• Les textes légaux français sont en train d'entrer en vigueur en ce moment même
• Les premiers contrôles de l'ANSSI débuteront au second semestre 2026
• Le régime de sanctions complet sera pleinement opérationnel en 2027

Autrement dit, tu n'as pas cinq ans pour te mettre en conformité. Tu as quelques mois.

Les 10 obligations que tu ne peux pas ignorer

La directive impose un ensemble de mesures de sécurité que les entités concernées doivent mettre en œuvre de manière proportionnée à leur taille, leur secteur et leur exposition aux risques. Voici ce que ça veut dire en pratique :

1. Analyse des risques formalisée

Tu dois cartographier tes actifs critiques, identifier les menaces et les vulnérabilités, évaluer les impacts. La méthodologie EBIOS RM (recommandée par l'ANSSI) ou ISO 27005 fait l'affaire. Pour une PME, un document pragmatique de 20 à 30 pages aligné sur le guide d'hygiène informatique de l'ANSSI suffit. Pas besoin d'une bible de 200 pages.

2. Gestion des incidents avec des délais serrés

C'est l'une des obligations les plus contraignantes. En cas d'incident de sécurité significatif :

• 24 heures : alerte préliminaire aux autorités
• 72 heures : notification détaillée
• 1 mois : rapport final d'analyse

Ça implique d'avoir des outils de détection (SIEM, EDR), des procédures de réponse documentées et une chaîne d'alerte testée. Les déclarations s'effectuent via le portail MonEspaceNIS2 mis en place par l'ANSSI.

3. Continuité et reprise d'activité

Plan de continuité (PCA), plan de reprise (PRA), sauvegardes testées, exercice de crise annuel. Le minimum pour une PME : des sauvegardes hors site testées mensuellement et un plan documenté. Beaucoup d'entreprises découvrent lors de ces exercices que leurs sauvegardes ne fonctionnent pas — mieux vaut le savoir avant l'attaque.

4. Sécurité de la chaîne d'approvisionnement

C'est la grande nouveauté de NIS2. Tu dois vérifier la cybersécurité de tes fournisseurs et sous-traitants critiques. Hébergeur cloud, éditeur de logiciel métier, prestataire d'infogérance : tous doivent être évalués. Et si tu es toi-même fournisseur d'une entité essentielle, tes clients grands comptes vont commencer à te réclamer des preuves de conformité. L'effet cascade est garanti.

5. Authentification multifacteur (MFA)

L'authentification par simple mot de passe est mort. Comme nous l'expliquions dans notre article sur la fin des mots de passe en 2026, l'industrie toute entière bascule vers des méthodes plus robustes. NIS2 impose la MFA comme mesure de base — pas d'exception.

6. Chiffrement des données sensibles

Chiffrement en transit (TLS) et au repos pour toutes les données sensibles. C'est un standard de base, mais étonnamment peu appliqué dans les PME.

7. Formation obligatoire — y compris pour les dirigeants

C'est le changement culturel le plus profond. Les organes de direction doivent valider les mesures de cybersécurité et superviser leur mise en œuvre. Chaque dirigeant doit suivre une formation en cybersécurité. L'ensemble des collaborateurs doit bénéficier de programmes de sensibilisation réguliers.

8. Hygiène informatique et gestion des accès

Politique de contrôle d'accès, gestion des actifs informatiques, communications sécurisées, segmentation réseau. Les bases, mais qui demandent une vraie discipline opérationnelle.

9. Audits réguliers

Les entités essentielles font l'objet de contrôles pouvant être déclenchés à tout moment par l'ANSSI. Les entités importantes sont contrôlées principalement a posteriori, après un incident — mais l'absence de mesures de conformité constitue en elle-même une infraction.

10. Déclaration auprès de l'ANSSI

Chaque entité concernée doit se déclarer via le portail MonEspaceNIS2. C'est la première étape administrative, et elle est obligatoire.

La responsabilité personnelle des dirigeants : le vrai game-changer

C'est sans doute le point qui fait le plus grincer des dents dans les conseils d'administration. NIS2 innove en engageant la responsabilité personnelle des dirigeants en cas de manquements graves.

Concrètement : un dirigeant qui n'aurait pas mis en place de programme de conformité, ou qui n'aurait pas suivi de formation en cybersécurité, pourrait voir sa responsabilité individuelle mise en cause. Pour les PME et ETI où le dirigeant porte souvent seul la stratégie, c'est un changement de paradigme majeur. Le PDG ne peut plus déléguer la cybersécurité à un sous-traitant et faire l'autruche.

Ce levier de responsabilisation individuel rappelle ce que le RGPD avait fait pour la protection des données — mais avec des enjeux financiers potentiellement plus lourds.

Le contexte qui rend NIS2 indispensable

La directive NIS2 n'est pas tombée du ciel. Elle arrive dans un contexte où la France est le pays d'Europe occidentale le plus touché par les violations de données. Le piratage de l'ANTS en avril 2026 (11,7 millions de comptes potentiellement compromis), les attaques contre l'Éducation nationale, la police, des hôpitaux, des opérateurs telecom — la liste s'allonge chaque semaine.

L'ANSSI traite désormais plus de 2 500 signalements mensuels d'attaques significatives, une augmentation de 67% par rapport à 2024. Les ransomwares restent la menace numéro un, avec des demandes de rançon atteignant régulièrement plusieurs millions d'euros. Face à cette escalade, Bruxelles a décidé de passer de la recommandation à l'obligation.

Le rapport Europol IOCTA 2026 confirmait d'ailleurs que l'IA amplifie la menace — rendant les attaques plus faciles à lancer, plus difficiles à détecter. Dans ce contexte, imposer un socle minimum de sécurité à des milliers d'entreprises n'est plus un luxe, c'est une nécessité de survie économique.

Les erreurs qui coûtent cher

L'accompagnement de nombreuses entreprises dans leur mise en conformité révèle des pièges récurrents. Les identifier en amont fait gagner des mois et des dizaines de milliers d'euros.

Confondre conformité et sécurité. Remplir un tableur ne protège pas contre un ransomware. Inversement, investir uniquement dans la tech sans documenter ses processus ne rend pas conforme. NIS2 exige les deux : des mesures techniques effectives ET une documentation qui prouve leur mise en œuvre.

Sous-estimer le périmètre. Beaucoup de PME pensent que NIS2 ne concerne que leur SI principal. En réalité, le périmètre inclut l'ensemble des systèmes qui supportent les services critiques : le cloud, les postes de travail, la messagerie, les accès distants, les systèmes industriels.

Attendre la loi pour agir. La Loi Résilience entre en vigueur au premier semestre 2026. Les premiers audits arrivent au second semestre. Le temps de mise en conformité pour une PME qui part de zéro ? 4 à 6 mois minimum. Si tu attends l'officialisation pour démarrer, tu seras en retard.

Négliger la chaîne d'approvisionnement. C'est souvent par un sous-traitant que les attaquants pénètrent une entreprise. Le business du deepfake-as-a-service a montré comment la cybercriminalité s'industrialise — ta supply chain est probablement le maillon faible.

Plan d'action pour une PME : 8 étapes concrètes

Si tu es dirigeant ou RSSI d'une PME concernée, voici une feuille de route réaliste :

1. Vérifier ton éligibilité (1 semaine) — Utilise l'outil d'auto-évaluation de l'ANSSI sur cyber.gouv.fr. Détermine si tu es « entité essentielle » ou « entité importante ».

2. Audit de maturité cyber (2-3 semaines) — Évalue ta posture actuelle par rapport aux exigences NIS2. Identifie les écarts critiques.

3. Analyse de risques formalisée (3-4 semaines) — Cartographie tes actifs critiques, identifie les menaces. C'est le socle de toute la conformité.

4. Mesures techniques prioritaires (4-8 semaines) — Déploie la MFA, le chiffrement, la segmentation réseau, les EDR, les sauvegardes hors site automatisées. Vérifie les configurations cloud (CIS Benchmarks).

5. Procédures de gestion d'incidents (2-3 semaines) — Rédige, documente, teste. Désigne un responsable de notification. Ces procédures doivent être opérationnelles, pas juste documentaires.

6. PCA/PRA (3-4 semaines) — Documente tes plans de continuité et de reprise. Teste les sauvegardes. Valide les délais de restauration. Réalise un exercice de crise simulé.

7. Chaîne d'approvisionnement (2-3 semaines) — Identifie tes fournisseurs critiques, évalue leur niveau de sécurité, intègre des clauses cyber dans les contrats.

8. Formation et déclaration (continu) — Forme les dirigeants. Sensibilise les équipes. Déclare-toi sur MonEspaceNIS2. Planifie les revues annuelles.

Le Référentiel Cyber France (ReCyF) : ton meilleur allié

Depuis le 17 mars 2026, l'ANSSI met à disposition le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2. Ce référentiel, diffusé comme document de travail, correspond au référentiel mentionné à l'article 14 du projet de loi Résilience.

Point important : le ReCyF est non-obligatoire par défaut. Mais si tu décides de l'appliquer et que tu peux le prouver en cas de contrôle, l'ANSSI en tiendra compte. C'est une sorte de « présomption de conformité » qui vaut son pesant de cacahuètes en cas d'audit.

L'ANSSI propose aussi un outil de comparaison de référentiels pour les entreprises déjà engagées dans des démarches type ISO 27001. Pratique pour ne pas repartir de zéro si tu as déjà un SMSI en place.

Les budgets en jeu

Combien ça coûte, une mise en conformité NIS2 pour une PME ? Tout dépend du point de départ. Une entreprise qui a déjà un RSSI, un SI structuré et des bases solides peut s'en sortir avec 30 000 à 50 000 €. Une PME qui part de zéro — pas de politique de sécurité, pas de sauvegardes testées, pas de MFA — peut monter entre 80 000 et 150 000 €.

C'est cher ? Compare avec l'amende : 10 millions d'euros pour une entité essentielle. Soudain, l'investissement paraît dérisoire.

Et après ?

NIS2 n'est pas une conformité ponctuelle. C'est une obligation permanente. Les mesures doivent être maintenues, les incidents signalés, les audits subis dans la durée. Les entreprises qui attendent le dernier moment découvriront que la mise en conformité est un processus, pas une case à cocher.

Le signal est clair : en 2026, la cybersécurité n'est plus optionnelle en Europe. C'est un cadre réglementaire avec des dents. Les entreprises qui s'y préparent maintenant transformeront cette contrainte en avantage compétitif. Les autres paieront l'addition.

Sources

• La directive NIS 2 — ANSSI — cyber.gouv.fr, 2026
• NIS2 : ce que la nouvelle directive européenne change pour votre entreprise — Les Échos Solutions, 2026
• Conformité NIS2 2026 : Calendrier, Sanctions Et Plan — Transicio, 2026
• NIS2 Directive: securing network and information systems — Commission européenne
• Cyberattaques en France : les dernières fuites de données — 01net, 2026
• ANSSI vs Hackers : Comment la France renforce sa défense cyber en 2026 — RM3A, 2026