Introduction
Le 6 octobre 2026, la conférence des présidents de l'Assemblée nationale retirait une nouvelle fois de l'ordre du jour l'examen du projet de loi sur la résilience des infrastructures critiques. Ce texte devait transposer en droit français trois directives européennes : NIS2, DORA et la directive sur la résilience des entités critiques (REC). Résultat : toujours pas de date fixée. Le rapporteur Éric Bothorel évoque une réinscription « d'ici quinze jours ou trois semaines » — formule déjà entendue lors des précédents reports.
Derrière ce nouveau glissement se cache une arithmétique embarrassante. La France aurait dû transposer NIS2 avant le 17 octobre 2024. Deux ans de retard, une procédure ouverte devant la Cour de justice de l'Union européenne depuis le 8 juillet 2026, et environ 15 000 organisations françaises qui naviguent à vue.
Un calendrier législatif en morceaux
Le texte n'en est pas à son coup d'essai. La dissolution de l'Assemblée nationale en juin 2024 avait interrompu une première tentative. La loi a ensuite franchi l'étape du Sénat début 2025, puis été adoptée en commission spéciale en septembre 2025 — pour se retrouver de nouveau bloquée depuis lors en séance publique.
Le calendrier parlementaire n'est pas le seul coupable. Un point de friction plus politique paralyse également les débats : l'article 16 bis du texte, qui interdit explicitement l'intégration de dispositifs techniques affaiblissant délibérément la sécurité des systèmes — autrement dit, les portes dérobées dans les outils de chiffrement. Cette disposition se heurte à la résistance de services de renseignement souhaitant conserver des capacités d'accès aux communications chiffrées. La Commission supérieure du numérique et des postes avait d'ailleurs identifié cette question comme un point de division politique structurant.
Ce que ça coûte, concrètement
La Commission européenne ne s'est pas contentée d'attendre. Après une mise en demeure formelle en novembre 2024 et un avis motivé en mai 2025, elle a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 — aux côtés de l'Espagne, de l'Irlande et des Pays-Bas. Les sanctions demandées combinent une somme forfaitaire et des astreintes journalières calculées jusqu'à notification de la transposition complète.
Pour les organisations françaises, les conséquences sont plus immédiates et moins médiatisées. NIS2 couvre plus de 15 000 entités : toute organisation de plus de 50 salariés ou 10 millions d'euros de chiffre d'affaires opérant dans l'un des 18 secteurs critiques visés. Ces entités sont classées en deux catégories — essentielles et importantes — avec des obligations graduées en matière de gouvernance cyber, de gestion des risques, de notification d'incidents et de sécurité de la chaîne d'approvisionnement.
Sans texte national adopté, ces organisations se retrouvent dans un vide juridique inconfortable : les principes directeurs de la directive sont publics depuis des mois, mais les modalités précises d'application nationale, les seuils exacts, les délais de mise en conformité et les conditions de supervision par l'ANSSI restent suspendus dans l'incertitude.
Attendre n'est pas une stratégie
Ce retard législatif ne suspend pas les risques cyber que NIS2 entendait adresser. Les organisations qui ont attendu le texte national pour démarrer leur diagnostic de conformité ont déjà perdu deux ans d'avance. Celles qui ont anticipé — en cartographiant leurs systèmes critiques, en renforçant leur gouvernance des incidents, en auditant leurs fournisseurs clés — seront en mesure de s'ajuster rapidement dès que la loi sera promulguée.
Pour les DSI et RSSI, le message est pragmatique : le cadre européen existe, les obligations de la directive sont accessibles. Structurer sa démarche sur la base du texte de la directive, quitte à l'affiner lors de la transposition nationale, reste bien plus raisonnable que de suspendre tout effort en attendant l'Assemblée nationale.
La procédure devant la CJUE est une mauvaise nouvelle pour la France. Ce serait une erreur supplémentaire de la transformer en bonne excuse pour continuer d'attendre.