Loi Résilience et NIS 2, êtes-vous concerné ?

C’est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il transpose trois textes européens, la directive sur la résilience des entités critiques, la directive NIS 2 sur la cybersécurité et la directive qui accompagne le règlement DORA pour le secteur financier. Son titre II, consacré à la cybersécurité, est celui qui concerne le plus grand nombre d’organisations.

Titres I à III du projet de loi

Le Sénat a adopté le projet en première lecture le 12 mars 2025. L’Assemblée nationale a achevé l’examen des articles le 10 novembre 2026 et le vote sur l’ensemble est annoncé pour le 17 novembre 2026. Le document dont nous partons est établi à titre provisoire par l’Assemblée. Les deux chambres n’ayant pas voté le même texte, une étape de conciliation reste possible avant la promulgation. Tant que la loi n’est pas promulguée, rien de ce qui suit n’est le droit en vigueur.

Texte résultant des délibérations de l’Assemblée nationale, séance du 10 novembre 2026

Après la promulgation, puis au rythme des décrets. Le texte renvoie à des décrets en Conseil d’État la liste des types d’entités par secteur, les objectifs de sécurité, le référentiel d’exigences, les modalités d’enregistrement et les critères des incidents importants. Une grande partie des obligations ne sera donc précise qu’à leur publication.

Articles 7, 12, 14 et 17

Les deux catégories doivent gérer leurs risques de cybersécurité et notifier leurs incidents importants. Elles diffèrent sur deux points. Le contrôle des entités importantes n’intervient que si l’autorité dispose d’éléments laissant penser à un manquement. Le plafond de l’amende est de 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, de 7 millions d’euros ou 1,4 % pour une entité importante.

Articles 29 et 37

L’autorité nationale de sécurité des systèmes d’information, c’est-à-dire l’ANSSI. Elle tient la liste des entités, reçoit les notifications d’incident, mène les contrôles et peut prononcer des mesures d’exécution. Les amendes sont prononcées par une commission des sanctions distincte, placée auprès du Premier ministre.

Articles 5, 12, 26, 31 et 35

Oui. Les opérateurs de services essentiels désignés avant l’entrée en vigueur de la loi deviennent des entités essentielles. Les opérateurs d’importance vitale le sont aussi pour leurs activités qualifiées de service essentiel.

Article 8, 8° et 9°

La directive REC, sur la résilience des entités critiques, vise la continuité des services essentiels face à tous les risques, physiques comme numériques. La directive NIS 2 vise la cybersécurité des réseaux et des systèmes d’information. La loi transpose la première dans le régime des opérateurs d’importance vitale du code de la défense, où l’entité critique est désignée par l’autorité administrative, sans test de secteur ni de taille. Ce régime impose notamment un plan de résilience et la notification à cette autorité, sous vingt-quatre heures, des incidents qui menacent la continuité des activités d’importance vitale. Les deux régimes se cumulent, et une entité critique est en outre entité essentielle pour les services essentiels qu’elle fournit.

Article 1er, articles L. 1332-2 à L. 1332-9 du code de la défense, et article 8, 8°

Non, pas automatiquement. Il est entité essentielle pour les activités que son acte de désignation qualifie de service essentiel, à l’exception des activités soumises à autorisation au titre de l’article L. 1333-2 du code de la défense. Pour ses autres activités, et même s’il n’en a aucune de ce type, le code de la défense l’oblige à appliquer les mesures de gestion des risques de la loi et à notifier ses incidents importants à l’ANSSI. Il est dispensé de ces mesures lorsqu’un texte européen sectoriel lui impose des exigences d’effet au moins équivalent. Une entité financière soumise au règlement DORA en est dispensée de plein droit, notification comprise.

Article 8, 8°, et article L. 1332-11 du code de la défense

Le texte en retient dix. L’énergie, les transports, les banques, les infrastructures des marchés financiers, la santé, la distribution d’eau potable, les eaux usées, l’infrastructure numérique, la gestion des services des technologies de l’information et de la communication, et l’espace.

Article 7, I

Le texte en retient huit. Les services postaux et d’expédition, la gestion des déchets, la chimie, les denrées alimentaires, la fabrication de certains biens, équipements et produits, la fourniture de certains services numériques, la facturation électronique par les plateformes agréées, et la recherche.

Article 7, II

Non. Il faut trois conditions réunies. Relever d’un type d’entités du secteur, que le décret d’application doit encore lister. Atteindre un seuil de taille. Ne pas relever d’une exclusion. Une entreprise qui fournit des acteurs d’un secteur sans exercer elle-même l’activité n’est pas visée à ce titre.

Articles 7, III, 8 et 9

Dans un secteur hautement critique, l’entreprise est entité essentielle si elle emploie au moins 250 personnes, ou si son chiffre d’affaires annuel dépasse 50 millions d’euros et son total de bilan 43 millions d’euros.

Article 8, 1°

Dans un secteur hautement critique ou critique, l’entreprise qui n’est pas entité essentielle est entité importante si elle emploie au moins 50 personnes, ou si son chiffre d’affaires et son total de bilan dépassent chacun 10 millions d’euros.

Article 9, 1°

Oui, dans trois cas. Elle appartient à une catégorie visée sans seuil de taille, par exemple les prestataires de services de confiance ou les fournisseurs de services de noms de domaine. Elle est désignée par arrêté du Premier ministre, quelle que soit sa taille, parce qu’une interruption de son service aurait des effets importants. Ou ses clients assujettis lui imposent leurs propres exigences par contrat.

Articles 8, 9, 10 et 14

Le texte ne le précise que pour les établissements publics industriels et commerciaux et les régies, dont les critères financiers sont appréciés au niveau de la personne morale. Pour les entreprises, la règle de calcul reste à confirmer par les textes d’application. Si votre société appartient à un groupe, nous vous recommandons de faire le calcul des deux façons.

Articles 8, 2° et 9, 8°

Le texte s’applique aux entités établies sur le territoire national. Les opérateurs de communications électroniques sont visés dès qu’ils fournissent leurs services en France. Certains acteurs du numérique le sont s’ils ont en France leur établissement principal, ou leur représentant lorsqu’ils sont établis hors de l’Union européenne.

Article 11, adopté dans les mêmes termes par les deux chambres

Vous n’êtes pas assujettie pour cette seule raison. Vos clients, eux, doivent tenir une politique de sécurité de leur chaîne d’approvisionnement, identifier leurs fournisseurs directs, évaluer leur criticité et revoir cette évaluation au moins une fois par an. Attendez-vous à des questionnaires, des clauses contractuelles et des demandes de preuves.

Article 14, 2°

Dans le texte issu de l’Assemblée nationale, oui. Les éditeurs de logiciels y figurent parmi les entités essentielles, sans seuil de taille et sans définition de la catégorie. Cette mention a été ajoutée par amendement et n’existait pas dans le texte du Sénat. C’est l’un des points à suivre de près jusqu’au texte définitif.

Article 8, 6°

Oui, tous. Ils sont entités essentielles s’ils emploient au moins 50 personnes ou si leur chiffre d’affaires et leur total de bilan dépassent chacun 10 millions d’euros. En dessous, ils sont entités importantes.

Articles 8, 3° et 9, 2°

Oui, sans seuil de taille. Les prestataires qualifiés au sens du règlement eIDAS sont entités essentielles, les autres sont entités importantes. Leur délai de notification intermédiaire d’un incident est ramené à vingt-quatre heures.

Articles 8, 4°, 9, 3° et 17

Les offices d’enregistrement et les fournisseurs de services de système de noms de domaine sont entités essentielles sans seuil de taille. Les bureaux d’enregistrement et leurs agents sont soumis à des obligations propres de collecte, de conservation et de communication des données d’enregistrement.

Articles 8, 5° et 6°, et 18 à 22

Ils relèvent des secteurs de l’infrastructure numérique ou de la gestion des services des technologies de l’information, tous deux hautement critiques. Ils suivent donc la règle générale des entreprises, avec ses seuils de taille. Le décret dira quels types de prestataires sont visés. La directive européenne cite l’informatique en nuage, les centres de données, les réseaux de diffusion de contenu, les services gérés et les services de sécurité gérés.

Articles 7, I, 8, 1° et 9, 1°

Les plateformes agréées qui fournissent des services de facturation électronique forment un secteur critique à part entière, ajouté par l’Assemblée nationale. Seules ces plateformes sont visées, pas les entreprises qui les utilisent.

Article 7, II, 6° bis

Oui, comme entités essentielles, sans seuil de population. Leurs établissements publics administratifs le sont aussi lorsque leurs activités s’inscrivent dans un secteur hautement critique ou critique.

Article 8, 7°, b

Les communes de plus de 30 000 habitants sont entités essentielles. Les communes moins peuplées ne figurent pas dans la liste, mais elles peuvent être touchées par l’intermédiaire de leur intercommunalité ou d’un syndicat.

Article 8, 7°, b

Oui. Les métropoles, les communautés urbaines et les communautés d’agglomération sont entités essentielles. Les communautés de communes sont entités importantes. Leurs établissements publics administratifs suivent le même classement lorsque leurs activités s’inscrivent dans un secteur visé.

Articles 8, 7°, e et 9, 4°

Les syndicats de communes et les syndicats mixtes sont entités essentielles si leurs activités s’inscrivent dans un secteur hautement critique ou critique et si leur population dépasse 30 000 habitants.

Article 8, 7°, f

Oui. Les centres de gestion de la fonction publique territoriale et les services départementaux d’incendie et de secours sont entités essentielles, sans condition de taille.

Article 8, 7°, c et d

Oui, avec leurs établissements publics administratifs, comme entités essentielles. Les administrations qui exercent dans les domaines de la sécurité publique, de la défense, de la sécurité nationale et de la répression pénale ne reçoivent pas cette qualification, mais elles doivent tout de même appliquer les mesures de gestion des risques.

Articles 8, 7°, a et 14

Non. Les collectivités territoriales, leurs groupements et leurs établissements publics administratifs sont exclus des amendes. En cas de manquement, la commission des sanctions peut leur enjoindre d’établir un plan de remédiation sous trois mois, puis de le présenter à leur assemblée délibérante et de le rendre public. Pour les organismes publics, un défaut grave de réaction à une mise en demeure peut aussi engager la responsabilité des gestionnaires devant la Cour des comptes.

Articles 37 et 37 ter

Le plan communal de sauvegarde devra prendre en compte le risque d’incident informatique ayant un impact important sur les services à la population, à l’occasion de sa prochaine actualisation. La stratégie nationale doit par ailleurs prévoir des outils et un soutien pour les collectivités qui ne sont pas assujetties.

Articles 5 bis A et 5 bis

Oui, selon leur taille. Les établissements publics de santé, les établissements de santé privés d’intérêt collectif et les établissements sociaux et médico-sociaux qui délivrent des soins sont entités essentielles à partir de 250 personnes, ou si leurs produits d’exploitation dépassent 50 millions d’euros et leur bilan 43 millions d’euros. Ils sont entités importantes à partir de 50 personnes, ou de 10 millions d’euros de produits d’exploitation et de bilan.

Articles 8, 7°, g bis, 8, 11°, 9, 6° bis et 6° ter

Elles suivent la règle générale des entreprises du secteur de la santé, avec les mêmes seuils de 250 et de 50 personnes, exprimés en chiffre d’affaires et non en produits d’exploitation.

Articles 8, 1° et 9, 1°

Les établissements d’enseignement qui mènent des activités de recherche sont entités importantes. Le Premier ministre peut en désigner certains comme entités essentielles, et en exclure d’autres en raison du faible impact de leur activité.

Articles 8, 10° et 9, 5°

La qualification d’entité essentielle ou importante demeure. En revanche, les obligations de gestion des risques et de notification ne s’appliquent pas à une entité déjà soumise, par un texte européen sectoriel, à des exigences d’effet au moins équivalent. L’équivalence suppose que l’ANSSI ait un accès immédiat aux notifications d’incident. Le texte cite expressément le règlement DORA comme équivalent pour les entités financières qui sont opérateurs d’importance vitale.

Article 13 et article L. 1332-11 du code de la défense

À son autorité de supervision, l’Autorité de contrôle prudentiel et de résolution ou l’Autorité des marchés financiers. Si elle est aussi entité essentielle ou importante, elle transmet la même déclaration à l’ANSSI. Pour les entités suivies par l’Autorité de contrôle prudentiel et de résolution, un document unique est adressé aux deux autorités en même temps.

Articles 43 A et 45 bis

Il touche à la charge de la preuve. Lorsqu’un sinistre résulte d’une atteinte à un système de traitement automatisé de données et que le contrat exclut la guerre étrangère, c’est à l’assureur de prouver que le sinistre en résulte.

Article 58 bis

Oui. L’ANSSI établit la liste des entités essentielles et importantes à partir des informations que celles-ci lui communiquent, et la met à jour au moins tous les deux ans. Un décret fixera les informations à transmettre et les délais. L’ANSSI a déjà ouvert un pré-enregistrement volontaire.

Article 12

Des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées au risque. Elles poursuivent quatre objectifs. Une gouvernance portée par les organes de direction. La protection des réseaux et des systèmes, y compris chez les sous-traitants. La défense et la gestion des incidents. La résilience des activités. Un référentiel d’exigences, adapté à la taille et à l’exposition de chaque entité, sera publié par décret.

Article 14

Les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité. Leurs membres doivent être formés à la cybersécurité, tout comme les personnes exposées aux risques. Le choix d’un logiciel au code source non vérifiable pour un système critique doit faire l’objet d’une analyse de risques présentée à la direction.

Article 14, 1°

Un incident important se notifie à l’ANSSI en trois temps. Une notification initiale dans les vingt-quatre heures après en avoir eu connaissance. Une notification intermédiaire dans les soixante-douze heures, avec une première évaluation de la gravité et de l’impact. Un rapport final au plus tard un mois après, ou un rapport d’avancement si l’incident n’est pas clos.

Article 17, II

Un incident qui a causé ou peut causer une perturbation opérationnelle grave des services ou des pertes financières significatives pour l’entité, ou des dommages matériels, corporels ou moraux considérables pour d’autres personnes. Un décret en précisera les critères.

Article 17, I et VI

Oui, sans retard injustifié, lorsque l’incident a un impact direct sur eux. Il faut aussi leur indiquer les mesures qu’ils peuvent appliquer face à une vulnérabilité importante. L’ANSSI peut exiger que le public soit informé.

Article 17, II et III

En appliquant le référentiel d’exigences prévu par le texte, ou un référentiel reconnu équivalent par l’ANSSI. Un label de confiance approuvé par l’ANSSI vaut présomption de conformité jusqu’à preuve du contraire. À défaut, l’entité doit démontrer elle-même que ses mesures atteignent les objectifs.

Article 15

Dans sa version issue de l’Assemblée nationale, il demande de recourir en priorité à des prestataires qualifiés par l’ANSSI et assujettis à l’impôt sur les sociétés en France pour l’externalisation de services informatiques. Il prévoit aussi le recours à des solutions à l’abri des législations étrangères à portée extraterritoriale. Ces dispositions, ajoutées par amendement, peuvent encore évoluer.

Articles 14 et 14 bis

Les entités elles-mêmes. Le texte précise que les mesures sont mises en œuvre à leurs frais. Les contrôles menés par l’ANSSI sont à sa charge, les audits confiés à un prestataire qualifié sont en principe à la charge de l’entité contrôlée.

Articles 14 et 29

Des inspections sur place, des contrôles à distance, des audits de sécurité menés par l’ANSSI ou par un prestataire qualifié choisi par l’entité, et des scans de sécurité. L’entité contrôlée doit coopérer et le secret professionnel ne peut pas être opposé aux contrôleurs.

Articles 27 à 29

L’ANSSI peut prononcer un avertissement ou enjoindre à l’entité de se mettre en conformité dans un délai qui ne peut dépasser douze mois pour engager les mesures, sauf prolongation. L’injonction peut être assortie d’une astreinte allant jusqu’à 5 000 euros par jour de retard et être rendue publique. La commission des sanctions n’est saisie que si l’entité ne s’y conforme pas.

Articles 31 et 33

Pour une entité essentielle, 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour une entité importante, 7 millions d’euros ou 1,4 %. L’amende est proportionnée à la gravité du manquement. L’État, les collectivités et leurs établissements publics administratifs en sont exclus.

Article 37, I

Si les mesures d’exécution restent sans effet, la commission des sanctions peut interdire à un dirigeant d’une entité essentielle d’y exercer des responsabilités dirigeantes jusqu’à ce que l’entité ait remédié au manquement. Cette mesure ne s’applique pas aux administrations.

Article 37, V

Non pour l’amende. Si les mêmes manquements constituent une violation du règlement général sur la protection des données sanctionnée par une amende de la CNIL, la commission des sanctions ne peut pas prononcer d’amende à son tour.

Article 37, I

Oui, au niveau national. La stratégie nationale de cybersécurité doit comporter des indicateurs de performance, dont une mesure de l’exposition au risque exprimée en termes financiers, pour la situation actuelle et projetée, et une appréciation de l’efficacité des mesures au regard du risque résiduel. Cette exigence vise l’État. Elle ne crée pas d’obligation de chiffrage pour chaque entité.

Article 5 bis, 6°

À justifier la proportion. Le texte demande des mesures proportionnées au risque et tient compte, pour le référentiel, de la probabilité des incidents et de leur gravité, y compris leurs conséquences économiques. Une quantification du risque cyber, notre méthode QRC, exprime ces deux grandeurs en euros. Elle éclaire la décision que le texte confie aux organes de direction, c’est-à-dire approuver les mesures et arbitrer leur budget.

Article 14

Par ce qui ne dépend pas du texte définitif. Déterminer si vous êtes dans le champ et à quel titre. Désigner qui porte le sujet devant la direction. Recenser vos systèmes, vos fournisseurs directs et vos procédures d’incident. Ces travaux resteront utiles quelle que soit la rédaction finale.

L’ANSSI met à disposition un test en ligne sur son espace consacré à NIS 2. Nous préparons de notre côté un prédiagnostic fondé sur le texte tel que voté, qui précisera la règle appliquée, les points restant à confirmer et l’exposition indirecte par vos clients. Dans l’intervalle, vous pouvez nous écrire.

C’est une lecture du texte en cours d’examen, tenue à jour par nos soins. Elle ne constitue ni un avis juridique ni une position de l’administration. Chaque réponse indique l’article sur lequel elle s’appuie, afin que vous puissiez la vérifier.