Le projet de loi qui doit transposer la directive européenne NIS2 a de nouveau été retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre 2026, sans qu’une nouvelle date soit fixée. Ce report survient une dizaine de jours avant le deuxième anniversaire de l’échéance européenne, fixée au 17 octobre 2024, alors que la Commission européenne a déjà saisi la Cour de justice de l’Union contre la France. Pour les milliers d’organisations appelées à entrer dans le champ du texte, l’incertitude se prolonge.
Un examen déprogrammé à la veille du débat
Le texte, intitulé projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, devait être discuté en séance les 7 et 9 octobre. D’après Leto, la conférence des présidents l’a retiré le 6 octobre, officiellement parce que la discussion du texte sur les violences sexistes et sexuelles durait plus longtemps que le gouvernement ne l’avait prévu. Le rapporteur Éric Bothorel, cité par Next, espère une réinscription « d’ici quinze jours ou trois semaines ». La conférence des présidents du 13 octobre n’a pas réinscrit le texte, selon son relevé de conclusions ; la suivante est fixée au 20 octobre.
Le projet réunit trois textes européens : NIS2 pour la cybersécurité des organisations, la directive sur la résilience des entités critiques, dite REC, et DORA.
Un parcours parlementaire à rallonge
La chronologie résume l’enlisement. Déposé au Sénat le 15 octobre 2024 selon la procédure accélérée, le texte y a été adopté le 12 mars 2025. À l’Assemblée, la commission spéciale présidée par Philippe Latombe a déposé sa version le 10 septembre 2025, rappelle Leto. Depuis, la discussion en séance publique n’a jamais commencé.
Le point de blocage est identifié : l’article 16 bis, introduit par les sénateurs, empêche d’obliger les fournisseurs de chiffrement à intégrer des mécanismes affaiblissant volontairement la sécurité, comme des clés de déchiffrement maîtresses. Le 18 mars 2026, la Commission supérieure du numérique et des postes (CSNP) dénonçait déjà, selon Banque des Territoires, « une situation d’incertitude injustifiable ». Elle attribuait le retard non à un manque de consensus, mais à un désaccord politique ciblé, et le média indiquait que cette disposition déplairait à la DGSI.
La France poursuivie devant la justice européenne
Bruxelles a perdu patience. Le 8 juillet 2026, la Commission européenne a décidé de poursuivre la France devant la Cour de justice de l’Union européenne (CJUE), aux côtés de l’Irlande, de l’Espagne et des Pays-Bas, faute de transposition complète de NIS2, rapporte IT-Connect. Ce renvoi est l’étape suivante d’une procédure d’infraction engagée le 28 novembre 2024 par des lettres de mise en demeure, puis poursuivie le 7 mai 2025 par des avis motivés. La Commission réclame une somme forfaitaire assortie d’astreintes journalières jusqu’à la transposition, pour des montants qui ne sont pas connus.
Ce que le retard change pour les organisations
L’enjeu est considérable. Sous la première directive, environ 300 opérateurs de services essentiels étaient régulés en France ; NIS2 doit en couvrir plus de 15 000, répartis dans 18 secteurs, selon Banque des Territoires. Les collectivités en font partie, avec près de 1 000 intercommunalités ainsi que les 300 communes qui dépassent 30 000 habitants ; elles restent dans le flou sur leurs obligations et leurs moyens.
Même votée, la loi ne s’appliquera pas du jour au lendemain. D’après un second article de Banque des Territoires, la ministre chargée du Numérique, Anne Le Hénanff, vise une conformité complète fin 2028, avec plus de trente décrets attendus dans un délai de sept à neuf mois. Elle a écarté les sanctions financières pour les collectivités, estimant que le risque d’atteinte à leur réputation est pire. Entendu par les députés, Vincent Strubel, à la tête de l’ANSSI, a pour sa part estimé que la transposition, qui impose le référentiel Récif, aurait permis d’éviter la majorité des attaques récentes contre les services de l’État.
En attendant, Leto recommande aux organisations de vérifier si elles relèveront des entités essentielles ou importantes, de cartographier leurs procédures de gestion d’incident en lien avec les notifications déjà exigées par le RGPD, et de désigner au sein de la direction la personne chargée de piloter le risque cyber.
Questions fréquentes
Les obligations de NIS2 s’appliquent-elles déjà en France ?
Non. Tant que la loi n’est pas adoptée et que ses décrets ne sont pas publiés, les obligations de NIS2 ne s’imposent pas en droit français. Le texte de la commission spéciale est toutefois public, ce qui permet de s’y préparer.
Qui sera concerné par la loi Résilience ?
Plus de 15 000 entités réparties dans 18 secteurs, contre quelques centaines aujourd’hui. Des collectivités en font partie, notamment les intercommunalités et les communes de plus de 30 000 habitants.
Que risque la France devant la CJUE ?
La Commission demande une somme forfaitaire et des astreintes journalières jusqu’à la notification d’une transposition complète. Les montants réclamés n’ont pas été rendus publics.
Sources
- NIS 2 : l'Assemblée nationale reporte de nouveau l'examen du projet de loi Résilience, sans nouvelle date — Leto, 2026-10-06
- Alléluia ! La transposition de NIS2 est enfin à l'ordre du jour de l'Assemblée nationale (mise à jour du 6 octobre) — Next, 2026-10-06
- NIS 2 encore repoussé : la France traînée devant la justice européenne — IT-Connect, 2026-07-14
- Cybersécurité : la CSNP presse le Parlement d'examiner sans délai le projet de loi de résilience transposant NIS 2 — Banque des Territoires, 2026-03-18
- Un cybermois placé sous le signe des fuites de données, la discussion autour de NIS2 de nouveau reportée — Banque des Territoires, 2026-10-06
- Relevé de conclusions de la Conférence des présidents du mardi 13 octobre 2026 — Assemblée nationale, 2026-10-13
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (dossier législatif) — Assemblée nationale, 2026-10-06