14 décembre 2022 — adoption européenne
La directive (UE) 2022/2555 est adoptée ; elle entre en vigueur le 16 janvier 2023.
État des lieux
Calendrier NIS 2 ce qui est acté, ce qui ne l'est pas
Beaucoup de pages annoncent une date d'entrée en vigueur française. Aucune n'est certaine, parce que la loi de transposition n'est pas promulguée. Voici l'état réel, avec sa source, et ce qu'il faut en conclure pour votre planning.
Vous préférez appeler ?+33 7 82 70 38 30
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Les étapes, dans l'ordre
17 octobre 2024 — échéance de transposition
Date limite fixée aux États membres pour transposer la directive en droit national. La France ne l'a pas tenue.
15 octobre 2024 — projet de loi français
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est présenté en Conseil des ministres. Il transpose trois directives à la fois : REC, NIS 2 et DORA.
Mars 2025 — adoption au Sénat
Le texte est adopté en première lecture par le Sénat.
Septembre 2025 — commission spéciale
La commission spéciale de l'Assemblée nationale adopte un texte amendé.
Au 30 août 2026 — non promulguée
La procédure parlementaire n'est pas achevée. Source : FAQ de l'ANSSI, « Avancement de la transposition de la directive NIS 2 ».
Ensuite — décrets et arrêtés
L'ANSSI précise que NIS 2 entrera en vigueur en France une fois l'ensemble des textes publiés — loi, décrets, arrêtés — et que la date d'entrée en vigueur ne se confond pas avec celle d'application de toutes les exigences.
Ce qu'il faut en conclure
Attendre la date pour commencer est le mauvais calcul. Les mesures de l'article 21 — MFA généralisé, sauvegardes testées, cloisonnement, procédure d'incident, évaluation des prestataires — demandent plusieurs mois et touchent à l'exploitation. Une entreprise qui démarre à la publication du décret sera en retard le jour même.
À l'inverse, rien n'oblige à tout traiter d'un coup. La bonne séquence est de mesurer l'écart maintenant, de traiter les trois ou quatre chantiers qui portent le risque réel, et de garder le reste pour le moment où les textes d'application préciseront le niveau attendu.
Où vérifier par vous-même
La référence juridique reste la directive (UE) 2022/2555 elle-même. Pour l'avancement français, l'ANSSI tient à jour un espace dédié et une foire aux questions — c'est la seule source à considérer comme fiable sur le calendrier, et elle rappelle elle-même que sa FAQ n'a pas force juridique.
Ce qu'on vous répond avant que vous demandiez.
Pourquoi certains sites annoncent-ils une date précise ?
Parce qu'ils reprennent des annonces de calendrier prévisionnel comme si elles étaient acquises. Tant que la loi n'est pas promulguée et ses décrets publiés, aucune date d'application n'est certaine.
Faut-il déjà s'enregistrer auprès de l'ANSSI ?
L'obligation d'enregistrement naîtra avec les textes d'application. L'ANSSI a ouvert un espace dédié pour préparer cette étape ; s'y familiariser à l'avance fait gagner du temps, mais ne vaut pas enregistrement.
Vous voulez savoir où vous en êtes vraiment ?
Trente minutes pour cadrer votre périmètre et vous dire ce qui manque en priorité. Sans engagement, et sans vous vendre un label qui n'existe pas.
Source : directive (UE) 2022/2555, et FAQ de l'ANSSI pour l'avancement de la transposition française. Cette page est informative et ne constitue pas un conseil juridique.