Depuis le lundi 9 novembre 2026, les députés examinent la loi Résilience en séance publique. Ce texte doit enfin faire entrer la directive européenne NIS 2 dans le droit français. Pour des milliers d’entreprises, la cybersécurité devient alors une obligation contrôlée, avec des sanctions à la clé.
Selon l’ANSSI, environ 15 000 entités entrent dans le périmètre en France. Leurs sous-traitants, souvent des TPE et PME, ressentiront aussi l’effet. Voici le contenu du texte, son histoire mouvementée et les actions à lancer dès maintenant.
La loi Résilience est un projet de loi français qui transpose trois directives européennes de 2022 : NIS 2, REC et la directive liée au règlement DORA. Le Sénat l’a adoptée le 12 mars 2025. L’Assemblée nationale l’examine à partir du 9 novembre 2026. Le texte impose aux entités essentielles et importantes de s’enregistrer auprès de l’ANSSI, de gérer leurs risques cyber et de déclarer leurs incidents.
Son nom officiel est plus long : projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il réunit en effet trois chantiers européens dans un seul véhicule.
Le titre Ier modernise le dispositif des activités d’importance vitale, créé en 2006. Le titre II intéresse davantage les entreprises, car il transpose NIS 2. Le périmètre régulé passe de 6 à 18 secteurs : santé, industrie, chimie, agroalimentaire, services postaux ou encore infrastructures numériques. Enfin, le titre III adapte le droit financier au règlement DORA.
L’ANSSI devient l’autorité nationale du volet cyber. Ainsi, une entreprise déjà engagée dans une démarche de cybersécurité structurée aura surtout à documenter l’existant.
La France devait transposer NIS 2 avant le 17 octobre 2024. Elle a manqué ce délai, et le parcours du texte ressemble depuis à une course d’obstacles.
D’abord, la dissolution du 9 juin 2024 a gelé le calendrier. Le projet n’arrive donc en Conseil des ministres que le 15 octobre 2024, puis le Sénat le vote le 12 mars 2025.
À l’Assemblée, une commission spéciale l’a adopté à l’unanimité en septembre 2025. Philippe Latombe la présidait et Éric Bothorel en était le rapporteur général. Pourtant, le texte a attendu plus d’un an avant la séance.
Le principal point de friction se trouve dans l’article 16 bis, ajouté au Sénat. Cet article interdit d’imposer aux messageries chiffrées une faille volontaire, comme une clé de déchiffrement maîtresse. Selon l’AFP, les services de renseignement craignent pour leurs capacités d’interception. À l’inverse, plusieurs acteurs du numérique défendent son maintien.
Prévu en juillet 2026, puis le 7 octobre, le texte a été retiré de l’ordre du jour la veille, faute de place dans le calendrier. Les débats s’ouvrent finalement le 9 novembre et doivent durer jusqu’au 13.
Entre-temps, Bruxelles a perdu patience. La Commission européenne a adressé une mise en demeure en novembre 2024, puis un avis motivé le 7 mai 2025. Elle a ensuite saisi la Cour de justice de l’Union européenne le 8 juillet 2026. Elle réclame une somme forfaitaire et des astreintes journalières : la France paie donc aussi son retard.
NIS 2 classe les organisations en deux catégories, selon leur secteur et leur taille.
Sous NIS 1, la France comptait environ 500 opérateurs régulés. Désormais, l’ANSSI estime le périmètre à près de 15 000 entités publiques et privées. Par exemple, une PME industrielle de 60 personnes peut basculer dans le dispositif sans aucun antécédent réglementaire. Pour elle, la sécurité des serveurs et des systèmes devient un sujet de conformité.
La loi ne les vise pas directement, sauf exceptions sectorielles. En revanche, NIS 2 oblige les entités régulées à sécuriser leurs fournisseurs. Autrement dit, vos clients soumis à la loi vous demanderont des garanties. D’ailleurs, le Panorama 2025 de l’ANSSI consacre un chapitre aux sous-traitants comme porte d’entrée des attaquants.
Avec ce texte, le risque cyber devient aussi un risque juridique et commercial.
Chaque entité devra s’enregistrer auprès de l’ANSSI, gérer ses risques et notifier ses incidents significatifs. La directive fixe trois délais : alerte sous 24 heures, notification sous 72 heures et rapport final sous un mois. Les mesures couvrent notamment les accès, la double authentification, le chiffrement, la continuité et les fournisseurs.
NIS 2 demande aussi aux dirigeants d’approuver les mesures de sécurité et d’en superviser l’application. Elle leur impose également de se former. Le chef d’entreprise ne peut donc plus déléguer tout le sujet à son prestataire.
Selon le Panorama de la cybermenace 2025, publié le 11 mars 2026, l’ANSSI a recensé 128 compromissions par rançongiciel en 2025. Elle en comptait 141 en 2024. Cependant, les TPE, PME et ETI restent la catégorie de victimes la plus touchée. Notre analyse des chiffres de l’ANSSI pour les PME détaille ces tendances.
Une entreprise qui ignore ses obligations s’expose à des amendes, à des mesures contraignantes et, dans les cas graves, à des sanctions visant ses dirigeants. Le texte prévoit que l’ANSSI contrôle et instruit les dossiers, puis qu’une commission des sanctions distincte prononce les amendes.
La directive fixe deux plafonds, et l’autorité retient le plus élevé des deux :
Prenons deux cas chiffrés. Pour un groupe industriel qui réalise 800 millions d’euros de chiffre d’affaires, 2 % représentent 16 millions d’euros : le plafond grimpe alors à 16 millions. À l’inverse, pour une PME de 30 millions d’euros de chiffre d’affaires, 1,4 % ne font que 420 000 euros. Dans ce cas, le plafond fixe de 7 millions s’applique, soit près d’un quart de son chiffre d’affaires annuel.
Ces montants restent des maximums. L’autorité tient notamment compte de la gravité du manquement et des efforts engagés, donc une démarche documentée pèse en votre faveur. Notre cas type de sécurisation d’une PME montre par où commencer.
Avant l’amende, l’autorité peut adresser des avertissements, imposer des injonctions avec un délai de mise en conformité ou exiger un audit. Elle peut aussi assortir ces décisions d’astreintes et rendre publique la sanction, ce qui expose la réputation de l’entreprise auprès de ses clients.
Pour les entités essentielles, la directive va plus loin. Si l’entité ne corrige pas ses manquements dans le délai fixé, elle autorise l’interdiction temporaire d’exercer des fonctions de direction pour le dirigeant responsable.
En attendant NIS 2, le RGPD donne une idée du niveau d’exigence, car il impose déjà de sécuriser les données personnelles. Selon la liste officielle publiée par la CNIL, deux opérateurs télécoms ont ainsi écopé de 27 et 15 millions d’euros le 8 janvier 2026, notamment pour défaut de sécurité des données. France Travail a reçu une amende de 5 millions d’euros le 22 janvier 2026 pour le même motif.
Les petites structures ne passent pas entre les mailles. Par exemple, une enseigne de commerce d’articles de sport a reçu 20 000 euros d’amende en avril 2025, en partie pour défaut de sécurité. De même, la CNIL a infligé 6 000 euros à une association en mars 2026. Une PME qui subit une fuite de données pourrait donc, demain, faire face à la CNIL et à l’ANSSI pour des faits distincts.
L’Allemagne applique sa loi de transposition depuis le 6 décembre 2025. Ses quelque 30 000 entreprises concernées avaient trois mois pour s’enregistrer auprès du BSI, l’équivalent de l’ANSSI. Ce précédent montre le rythme qui attend les entreprises françaises.
Tant que la loi n’est pas promulguée, NIS 2 ne s’applique pas en droit français. Toutefois, l’ANSSI a publié son Référentiel Cyber France (ReCyF) en mars 2026 et ouvert un pré-enregistrement. L’agence vise une conformité complète vers fin 2028. Voici une méthode en cinq étapes.
Le Groupe Izitek, basé à Éguilles près d’Aix-en-Provence, accompagne les entreprises de Marseille et de la région PACA. Sa filiale DG Conseil, spécialisée en cybersécurité, est certifiée ExpertCyber. Elle intervient depuis La Penne-sur-Huveaune pour l’audit, la sécurisation et le suivi.
Pour les PME sans service informatique, Like-IT propose un informaticien à temps partagé. Ce référent assure la supervision et coordonne les autres prestataires. Notre article sur l’infogérance face à NIS 2 détaille ce rôle.
Exemple illustratif : une entreprise agroalimentaire de 70 salariés, près de Marseille, découvre qu’elle devient entité importante. Elle commence par inventorier son parc et auditer ses accès distants. Puis elle déploie la double authentification et des sauvegardes isolées. Enfin, elle rédige une procédure de notification d’incident. À la promulgation, elle disposera ainsi d’un dossier prêt pour l’ANSSI comme pour ses clients.
La loi Résilience marque un tournant. La cybersécurité devient une obligation encadrée pour 15 000 organisations françaises et une exigence commerciale pour leurs sous-traitants. Le texte accuse deux ans de retard, mais son contenu reste connu depuis le vote du Sénat. Les entreprises qui commencent maintenant aborderont donc la promulgation avec un dossier solide. Pour aller plus loin, lisez aussi notre analyse de 2026 comme tournant cyber pour les PME.
Vous souhaitez savoir quelles actions prioriser dans votre entreprise ? Contactez Izitek pour échanger sur votre environnement et identifier une feuille de route adaptée à vos enjeux, votre activité et votre budget.
Non, pas au 9 novembre 2026. Après le vote de l’Assemblée, une commission mixte paritaire peut se réunir si les deux chambres divergent. Ensuite, le Président promulgue la loi et le Journal officiel la publie. Des décrets préciseront enfin les mesures techniques et les délais.
Tout dépendra du texte final et des décrets. Toutefois, l’ANSSI envisage une conformité complète vers fin 2028, donc une montée en charge progressive. Pour une PME qui part de zéro, deux ans restent pourtant un délai court.
En général, non, car le seuil des entités importantes démarre à 50 salariés ou 10 millions d’euros. Certains acteurs entrent cependant dans le périmètre quelle que soit leur taille, notamment dans les infrastructures numériques. Vos clients peuvent aussi vous imposer des clauses contractuelles.
L’ANSSI propose un service de pré-enregistrement et des outils d’autoévaluation sur cyber.gouv.fr. Si votre secteur figure parmi les 18 et que vous dépassez les seuils, l’enregistrement deviendra obligatoire après la promulgation. En cas de doute, un audit tranche rapidement la question.
Il interdit d’obliger un fournisseur de messagerie à affaiblir son chiffrement, par exemple avec une porte dérobée. Le Sénat l’a ajouté en mars 2025, et il a freiné l’inscription du texte à l’ordre du jour. Sa rédaction finale fait donc partie des points à suivre pendant les débats.
Pas forcément, car les mesures attendues reposent largement sur des fondamentaux accessibles. Un incident coûte souvent plus cher que la prévention, comme le montre notre article sur le retour sur investissement de la cybersécurité. Des aides publiques existent également.
