NIS2 en France : où en est (vraiment) la transposition ?

Loi votée, décrets en cascade, milliers d'entités concernées : la France déploie NIS2 par étapes. Point d'étape pratique.

Où en est la France de la transposition de NIS2, la directive qui fait changer d'échelle la cybersécurité réglementaire européenne ? Réponse en trois temps : le cadre est posé, les détails arrivent, les obligations s'échelonnent.

Le cadre légal est là

La loi de transposition — le volet cyber du paquet « résilience » — est adoptée, désignant l'ANSSI comme autorité de supervision et posant les catégories d'entités essentielles et importantes. Restent les décrets et arrêtés qui précisent référentiels de mesures, modalités de déclaration et calendrier des contrôles — publiés par vagues, avec des délais de mise en conformité étalés.

Ce que les entités doivent faire sans attendre

S'enregistrer auprès de l'ANSSI lorsqu'elles sont dans le champ, structurer la gouvernance (le dirigeant est responsable, et doit se former), tenir la mécanique de notification d'incidents (alerte précoce à 24 h, notification à 72 h), et engager les fondamentaux techniques — l'ANSSI répète que les premiers contrôles viseront la démarche, pas la perfection.

Le vrai risque : la conformité de papier

Le danger n'est pas la sanction précoce, mais la tentation de traiter NIS2 en classeur de conformité pendant que les attaquants exploitent les bordures. Le baromètre utile reste opérationnel : temps de détection, restauration testée, accès tiers maîtrisés. La directive n'est qu'un levier — le but, c'est de tenir un choc.