Loi résilience : la directive NIS 2 attend sa transposition depuis octobre 2024

Loi résilience : la directive NIS 2 attend sa transposition depuis octobre 2024

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024. Son intitulé renvoie à deux directives de décembre 2022, l'une sur la cybersécurité (NIS 2), l'autre sur la résilience des entités critiques ; la date limite de transposition de NIS 2 était le 17 octobre 2024.

Le projet de loi a été déposé au Sénat le 15 octobre 2024 (projet de loi n° 33, procédure accélérée), deux jours avant l'expiration du délai de transposition de la directive (UE) 2022/2555, dite NIS 2. Le Sénat l'a adopté le 12 mars 2025 (texte adopté n° 78). L'Assemblée nationale en est saisie depuis le 13 mars 2025 (projet de loi n° 1112). Après le dépôt du rapport de sa commission spéciale le 10 septembre 2025 (n° 1779), elle examine le texte en séance du 9 au 13 novembre 2026. Des amendements ont été votés les 9 et 10 novembre ; la version définitive reste à établir.

Le délai fixé par l'article 41 de la directive NIS 2

L'article 41 de la directive NIS 2 oblige les États membres à adopter et publier les dispositions nécessaires « au plus tard le 17 octobre 2024 » et à les appliquer à partir du 18 octobre 2024. Son article 1er fixe l'objet : des mesures de gestion des risques en matière de cybersécurité et des obligations d'information pour les entités relevant de ses annexes I ou II, ainsi que pour les entités recensées comme critiques en vertu de la directive (UE) 2022/2557.

Cette seconde directive, relative à la résilience des entités critiques, ne s'applique pas aux questions couvertes par NIS 2, mais son article 1er, paragraphe 2, demande aux États de mettre les deux textes en œuvre de manière coordonnée. L'intitulé du projet de loi réunit d'ailleurs la résilience des infrastructures critiques et la cybersécurité.

Un examen en séance toujours en cours

Le délai de transposition est dépassé depuis plus de deux ans. Tant que le projet n'est pas promulgué, ses dispositions ne s'appliquent pas aux entités qu'il vise.

Pour les entités concernées, les obligations de gestion des risques sont connues dans leur principe, mais leur périmètre exact en droit français dépend encore du vote du texte et de ses mesures d'application. Les organisations qui exploitent des réseaux, des services numériques ou des infrastructures peuvent d'ores et déjà recenser leurs systèmes d'information au regard des annexes I et II de la directive NIS 2.