Avec deux ans de retard sur le calendrier européen, les député·e·s français·e·s vont examiner le projet de loi Résilience en séance publique à partir du mercredi 7 octobre 2026. Ce projet de loi comprend la transposition de la directive européenne NIS 2 dans le droit français.

Voté par le Sénat en mars 2025, puis par la commission spéciale de l’Assemblée nationale en septembre 2025, le texte était resté en jachère jusqu’à présent. La Commission européenne a fini par saisir la Cour de justice de l’Union européenne (la CJUE) contre la France le 8 juillet dernier, pour défaut de transposition. Cette procédure expose la France à de lourdes sanctions financières tant que la législation sur la cybersécurité n’est pas promulguée.

Avec la transposition de NIS 2 dans le droit français, environ 15.000 organisations devraient être désignées entités essentielles ou importantes. Les entreprises concernées auront de nouvelles obligations en termes de gestion des risques, de reporting sur les incidents et de divulgation des vulnérabilités.

« Pour elles, un enjeu concret se dessine : comment intégrer ces nouvelles exigences cyber à ce qu’elles ont déjà bâti pour le RGPD, en matière de gouvernance, d’encadrement des sous-traitants ou de notification des incidents », souligne Alessandro Fiorentino, expert en protection des données personnelles chez Adequacy. « Trop longtemps, ces obligations ont été traitées en silos. Les juristes pilotaient la conformité, les RSSI les risques, les DPO les données personnelles, les auditeurs les contrôles, les métiers leurs processus. Cette fragmentation devient intenable. Les nouvelles réglementations appellent au contraire une gouvernance unifiée ». Quelle que soit l’issue des débats, l’éditeur Adequacy précise qu’il va, pour sa part, étendre sa plateforme de conformité RGPD aux obligations de cybersécurité de NIS 2, du ReCyF de l’Anssi et de DORA.

Une fois transposée dans le droit français, la directive NIS 2 élargira les pouvoirs des autorités de contrôle par les autorités françaises. Elle renforcera les sanctions en cas de non-respect des obligations. Toute entreprise contrevenante s’exposera alors à une amende jusqu’à 10 millions d’euros ou représentant jusqu’à 2% de son chiffre d’affaires annuel mondial. La responsabilité de la direction pourra également être engagée.

Nos lecteurs ont lu ensuite