Distinguer trois calendriers
Une direction doit séparer le calendrier législatif, le calendrier de sécurisation et le calendrier de sa prestation. Le premier dépend des textes et de leur entrée en application. Le deuxième dépend des risques et des contraintes de l’organisation. Le troisième résulte d’un contrat avec un prestataire. Les réunir dans une seule date crée un risque de décision : une attente parlementaire n’empêche pas une mesure urgente de sécurité, et une date commerciale n’est pas un délai légal.
L’article 41 de la directive fixait au 17 octobre 2024 l’échéance européenne de transposition. Cette échéance concernait les États membres. Elle ne doit pas être présentée comme une date française individuelle à laquelle chaque entreprise aurait dû terminer un audit, obtenir un label ou acheter une solution. Le cadre national et les mesures d’application doivent être lus séparément.
Les jalons documentés
Le dossier du Sénat retrace le dépôt du projet relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité le 15 octobre 2024, puis l’adoption en première lecture au Sénat le 12 mars 2025. Il mentionne les travaux de commission à l’Assemblée nationale en septembre 2025. Un texte adopté par une chambre ou en commission ne constitue pas, à lui seul, une loi promulguée.
Le 24 novembre 2025, l’ANSSI a annoncé un service de pré-enregistrement pour anticiper l’étape d’enregistrement, dans l’attente des textes réglementaires. Le 17 mars 2026, elle a mis ReCyF à disposition comme document de travail. Ces démarches apportent des ressources et organisent la préparation. Elles ne démontrent pas, par elles-mêmes, que toutes les dispositions françaises sont entrées en application.
| Repère | Portée à retenir |
|---|---|
| 17 octobre 2024 | Échéance européenne de transposition prévue par la directive |
| 12 mars 2025 | Adoption du projet en première lecture au Sénat |
| 24 novembre 2025 | Annonce ANSSI du service de pré-enregistrement |
| 17 mars 2026 | Mise à disposition de ReCyF en version de travail |
| 7 septembre 2026 | Publication des fiches pratiques ReCyF |
Ce que les sources consultées permettent d’affirmer
La page ANSSI consultée le 30 septembre 2026 parle de transposition et décrit ReCyF comme un document de travail, par défaut non obligatoire. Le dossier parlementaire consulté présente encore un parcours de projet de loi. Nous ne déduisons de ces éléments aucune date française générale de mise en conformité. Le droit applicable à votre situation doit être confirmé avec les textes publiés au Journal officiel et les communications pertinentes de l’autorité.
Une page de la Commission rappelle un avis motivé adressé à la France le 7 mai 2025 et affiche une mise à jour de juillet 2025. Cette information établit un événement historique. Elle ne suffit pas à prouver l’état de la transposition en septembre 2026. La veille doit conserver les dates de mise à jour des sources et rechercher le texte lui-même avant de modifier une échéance interne.
Construire une veille qui déclenche des décisions
Attribuez la veille réglementaire à une personne identifiée, avec un relais en cas d’absence. Demandez que chaque changement soit classé : nouveau texte, nouvelle version de ressource, clarification de FAQ ou annonce institutionnelle. Pour un texte, relevez l’entrée en vigueur, les dispositions transitoires et les mesures d’application nécessaires. Pour une ressource, relevez les conséquences sur la méthode de préparation.
La direction doit savoir ce qui change pour ses décisions. Une actualisation du référentiel peut demander une revue de la matrice des écarts. Une nouvelle règle d’enregistrement peut demander la préparation de données d’identification. Une publication sur la menace peut demander de réexaminer un scénario de risque sans modifier le périmètre juridique. Le registre de veille relie chaque information à un responsable et à une action.
Préparer le programme sans annoncer de délai fictif
Recensez les services, désignez les responsables et organisez les preuves existantes. Ces travaux restent utiles indépendamment d’une date nationale de lancement. Priorisez les expositions réelles et les besoins de continuité. Lorsque la portée juridique est incertaine, gardez une réserve écrite et prévoyez la mise à jour du dossier plutôt que de suspendre toutes les mesures de sécurité.
Dans un exemple pédagogique, une entreprise attend la précision du calendrier français mais découvre que ses comptes de télémaintenance sont mal documentés. Elle peut engager leur revue au titre de la maîtrise de son risque, sans annoncer qu’un article français impose une date non vérifiée. Le contrat de mission indique alors une échéance de projet, explicitement distincte d’un délai réglementaire.
Cahier de mission et critères de réception
Dans la consultation, demandez au prestataire les sources qu’il utilisera pour établir le calendrier et la manière dont il traitera une évolution pendant la mission. Une promesse de conformité « avant la date limite » doit identifier cette date et son texte de référence. Si le texte n’est pas fourni, demandez une reformulation en calendrier de préparation interne. Les contraintes de production, de budget et de disponibilité des équipes doivent être exposées.
Le livrable utile comprend une chronologie sourcée et un plan de décisions. Chaque date doit avoir un statut : événement passé, échéance de texte vérifiée ou cible interne. Demandez une liste des dépendances qui pourraient décaler un chantier, ainsi que des mesures intermédiaires possibles. Le prestataire ne doit pas promettre un délai de réalisation sans avoir étudié le périmètre et les prérequis.
La réception vérifie les liens officiels et les dates de consultation. Les documents parlementaires sont identifiés comme tels. Les ressources d’accompagnement ne sont pas présentées comme une promulgation. Le plan indique qui réexamine la veille et comment la direction sera informée. Une nouvelle date doit être rattachée à sa source avant d’être utilisée dans une communication à des clients ou dans un arbitrage budgétaire.
Sources et portée réglementaire
- Directive (UE) 2022/2555 : texte européen
- Source institutionnelle du sujet
- ANSSI : état de préparation NIS2 en France
- Source institutionnelle du sujet
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.
Poursuivre le cadrage
- Accompagnement NIS2 : du périmètre au plan de préparation
- Notre méthode : sélection des prestataires et traitement de la demande
- Entités essentielles ou importantes : comprendre le classement
- PME et groupes : préparer le calcul des seuils NIS2
Questions sur ce dossier
Peut-on reprendre une échéance annoncée par un cabinet ?
Vérifiez d’abord le texte officiel, son périmètre et ses dispositions transitoires. Une date de campagne commerciale ou de prestation n’est pas une échéance légale.
Faut-il attendre tous les textes pour agir ?
Les travaux de cartographie, de gouvernance et de maîtrise des risques peuvent commencer. Leur calendrier interne doit être distingué de l’entrée en application des obligations nationales.
Le pré-enregistrement prouve-t-il la conformité ?
Non. L’ANSSI le présente comme une démarche d’anticipation de l’enregistrement. Il ne remplace ni l’analyse des activités ni les mesures de sécurité et leurs preuves.