NIS2 : la transposition française tarde, mais l'anticipation s'impose

Le 8 juillet dernier, la Commission européenne a annoncé avoir saisi la Cour de justice européenne d'un recours contre la France, à défaut de transposition de la directive européenne NIS2. Destinée à améliore la résilience au sein de l’UE, la directive fixe des normes élevées pour les entités actives dans 18 secteurs critiques, dont la santé, l'énergie, les transports et le secteur public.

Ce retard ne doit pour autant pas vous rassurer. Le périmètre de NIS2 est très large : si vous relevez d'un secteur comme l'énergie, la santé, les transports, l'agroalimentaire ou le numérique, vous êtes probablement visé, directement ou indirectement si vous êtes le sous-traitant d'une entreprise qui l'est.

À la clé, des obligations concrètes :

• renforcer vos process de cybersécurité
• vous enregistrer auprès de l'ANSSI et déclarer vos incidents de sécurité
• Des sanctions sérieuses en cas de manquement : jusqu'à 10 millions d'euros ou 2 % de votre chiffre d'affaires mondial pour les entités essentielles, contre 7 millions d’euros ou 1,4% pour celles dites importantes.

La bonne nouvelle : vous n'avez pas besoin d'attendre la loi pour agir. L'ANSSI a publié le 17 mars 2026 un guide pratique, le Référentiel Cyber France (ReCyF), qui liste les mesures concrètes à mettre en place pour se conformer à NIS2. Quelques chantiers gardent toute leur valeur quel que soit le texte finalement adopté : cartographier vos systèmes les plus critiques, évaluer vos fournisseurs, adapter vos PCA / PRA au risque cyber, et désigner un responsable de la sécurité numérique, etc. Plus vous commencez tôt, plus la démarche sera sereine. 

Vous vous demandez si votre entreprise est concernée par NIS2, et par où commencer ? Prenez rendez-vous avec ALTIJ Avocats : nous déterminons votre statut et bâtissons avec vous une feuille de route claire, alignée sur le ReCyF.