NIS2 France : le calendrier de transposition doit distinguer les dates européennes, les jalons parlementaires et les textes français publiés. Cette chronologie datée vous aide à préparer votre rétroplanning d’entreprise et à vérifier la source de chaque échéance avant de la reprendre dans une décision.
En bref
- La France n’a pas transposé NIS 2 au 1er octobre 2026 : le projet de loi n’est pas promulgué et aucun décret d’application n’est publié.
- La séance publique à l’Assemblée nationale est inscrite au 7 octobre 2026, mais ce vote ne termine pas la procédure.
- Recensement des systèmes, gouvernance, procédure d’incident et preuves se préparent dès maintenant, avant les décrets.
NIS2 France : où en est la transposition au 1er octobre 2026
Le dossier législatif de l’Assemblée nationale indique une discussion en séance publique le mercredi 7 octobre 2026, avec un ordre du jour susceptible d’évolution. Un ordre du jour peut être modifié : la date se vérifie sur le site de l’Assemblée. Cadrer mon projet avec un spécialiste permet de transformer ce calendrier en plan daté propre à votre entité : un spécialiste du sujet étudie votre demande et vous propose un devis.
Frise datée
La frise ci-dessous place chaque jalon dans l’ordre, de la directive à la séance annoncée à l’Assemblée ; le tableau qui suit donne la liste complète avec la source de chaque date.
faire glisser pour voir tout le schéma
| Date | Événement | Source |
|---|---|---|
| 27 décembre 2022 | Publication de la directive au Journal officiel de l’Union européenne ; entrée en vigueur le 16 janvier 2023 | EUR-Lex |
| 15 octobre 2024 | Dépôt du projet de loi au Sénat, procédure accélérée | Sénat |
| 17 octobre 2024 | Date limite de transposition (article 41) | EUR-Lex |
| 28 novembre 2024 | Lettre de mise en demeure de la Commission européenne à la France | Commission |
| 11 et 12 mars 2025 | Examen en séance au Sénat ; adoption le 12 mars (texte n° 78) | Sénat |
| 7 mai 2025 | Avis motivé de la Commission | Commission |
| 10 septembre 2025 | Texte de la commission spéciale de l’Assemblée nationale (rapport n° 1779) | Assemblée nationale |
| 24 novembre 2025 | Ouverture du pré-enregistrement volontaire par l’ANSSI | ANSSI |
| 20 janvier 2026 | La Commission propose des modifications ciblées de NIS 2 (proposition non adoptée) | Commission |
| 17 mars 2026 | ReCyF, version de travail 2.5, et comparateur de référentiels | ANSSI |
| 8 juillet 2026 | Décision de la Commission de saisir la Cour de justice de l’UE contre l’Irlande, l’Espagne, la France et les Pays-Bas, avec demande de somme forfaitaire et d’astreinte | Commission |
| 7 septembre 2026 | Deux fiches « ReCyF en pratique » : identités et architectures sécurisées | ANSSI |
| 7 octobre 2026 | Discussion en séance publique inscrite à l’Assemblée nationale | Assemblée nationale |
Ce qui reste à faire avant qu’un texte s’applique
Après l’examen à l’Assemblée, la suite dépend de la procédure parlementaire : poursuite des lectures ou éventuelle commission mixte paritaire. Le Gouvernement peut, dans les conditions de l’article 45 de la Constitution, demander à l’Assemblée nationale de statuer définitivement. Un vote annoncé ne garantit donc pas l’adoption définitive. Le texte est ensuite promulgué, éventuellement après saisine du Conseil constitutionnel. Le projet renvoie ensuite à des textes d’application : un décret en Conseil d’État précisera les sous-secteurs et types d’entités de l’article 7, un décret fixera les objectifs de sécurité de l’article 14 et les conditions du référentiel dont ReCyF constitue la version de travail, et le Premier ministre pourra désigner des entités par arrêté (article 10).
Les modalités d’enregistrement, de notification (destinataire, plateforme, formulaire) et de contrôle ne sont pas publiées. Dans le texte de la commission spéciale, l’article 17 reprend les délais de la directive pour un incident important : notification initiale sans retard injustifié et au plus tard 24 heures après la connaissance de l’incident important, notification intermédiaire au plus tard 72 heures après cette même connaissance (24 heures pour les incidents importants affectant les services de confiance), rapport sur demande et rapport final au plus tard un mois après la notification intermédiaire. Si l’incident se poursuit, un rapport d’avancement remplace le rapport final à cette échéance ; le rapport final suit dans le mois à compter du traitement de l’incident (voir le guide notification des incidents). Le texte ne fixe pas de date d’entrée en vigueur unique pour le titre « Cybersécurité » : la portée pratique dépendra des décrets. Le titre consacré au secteur financier (adaptation à DORA) entrerait en vigueur le lendemain de la promulgation (article 62).
Pour les violations des articles 21 ou 23, l’article 34 impose des plafonds d’amende d’au moins 10 M€ ou 2 % pour les entités essentielles, et 7 M€ ou 1,4 % pour les importantes, en retenant le montant le plus élevé dans chaque comparaison. Les pourcentages portent sur le chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle appartient l’entité. Ce sont des minimums à prévoir par les États. Ils ne s’appliquent pas en France tant que la loi n’est pas promulguée.
Trois calendriers à ne pas mélanger
Le calendrier juridique dépend du Parlement, du Conseil d’État et du Journal officiel. Celui de votre sécurité dépend de vos risques : un compte de télémaintenance mal documenté se corrige sans attendre un décret. Celui de votre mission est contractuel. Une échéance « avant la date limite » dans un devis doit citer cette date et son texte. Sans texte, demandez une reformulation en calendrier de projet interne.
Ce qu’une entreprise peut faire maintenant
- Rédiger la note de périmètre par personne morale, avec le calcul de taille et les activités rattachées aux annexes.
- Décider si l’entité se pré-enregistre auprès de l’ANSSI (démarche volontaire, sans valeur de conformité) et désigner la personne qui la réalisera.
- Recenser les activités, services et systèmes d’information : c’est l’objectif 1 du ReCyF, et la base de toute la suite.
- Fixer la gouvernance : un membre de la direction désigné, le calendrier de formation des dirigeants (article 20, paragraphe 2, de la directive).
- Écrire la procédure de notification sur la base des délais de 24 heures, 72 heures et un mois, avec les coordonnées à renseigner quand l’ANSSI les publiera.
- Rassembler les preuves existantes : politiques, comptes rendus, résultats d’audit datés.
- Recenser les clauses de sécurité à renégocier avec les fournisseurs critiques.
Une proposition de la Commission du 20 janvier 2026 prévoit des modifications ciblées de NIS 2, dont une catégorie d’entreprises de taille intermédiaire (« small mid-cap »). Elle n’est pas adoptée : elle ne change pas l’analyse actuelle, mais elle justifie de dater chaque note de périmètre. Pour cadrer ces sept chantiers avec un calendrier réaliste, vous pouvez demander mon devis et obtenir une proposition adaptée à vos systèmes et à votre taille.
Suivre les sources, dans cet ordre
- Le Journal officiel, pour la promulgation et les décrets.
- Le dossier législatif du projet de loi, à l’Assemblée nationale et au Sénat.
- La page NIS 2 et le service de pré-enregistrement de l’ANSSI.
- Les communiqués de la Commission sur la procédure d’infraction.
Liens officiels du dossier
- Directive (UE) 2022/2555, article 41
- Sénat : dossier législatif du projet de loi
- Assemblée nationale : dossier législatif du projet de loi
- Texte de la commission spéciale de l’Assemblée nationale, n° 1779
- Commission européenne : décision de saisir la justice, juillet 2026
- ANSSI : page NIS 2 en France
- ANSSI : pré-enregistrement NIS 2
- Notre méthode
Questions sur le calendrier
Peut-on reprendre une échéance annoncée par un cabinet ?
Seulement si elle cite un texte publié. Le 17 octobre 2024 est la date limite imposée aux États, pas une date de conformité pour les entreprises françaises. Une date de campagne commerciale ou de prestation n’est pas une échéance légale.
Le texte sera-t-il voté le 7 octobre ?
L’examen en séance est inscrit à partir de cette date, sans garantie sur la durée des débats ni sur l’issue du vote. Un vote de l’Assemblée ne termine pas la procédure : une commission mixte paritaire peut intervenir, puis la promulgation et les textes d’application restent à suivre selon la procédure effectivement retenue.
Faut-il attendre tous les textes pour agir ?
Non. Le recensement des systèmes, la gouvernance, la procédure d’incident et les preuves se préparent avant la publication des décrets. Il faudra les ajuster aux textes définitifs, avec une révision des travaux déjà engagés si leur contenu ou leur périmètre doit évoluer.
Le pré-enregistrement prouve-t-il la conformité ?
Non. L’ANSSI le présente comme une démarche pour anticiper l’enregistrement obligatoire, qui viendra avec les textes réglementaires. Il ne remplace ni l’analyse de périmètre ni les mesures de sécurité.
Quelle est la date d’entrée en vigueur de la directive NIS 2 ?
La directive est entrée en vigueur le 16 janvier 2023, vingt jours après sa publication au Journal officiel de l’Union européenne. L’article 41 fixait la limite de transposition au 17 octobre 2024 et l’application des mesures nationales à partir du 18 octobre 2024. Ces dates européennes se distinguent des étapes de la transposition française. Directive, articles 41 et 45.