La directive NIS2 devait être transposée dans chaque État membre avant le 17 octobre 2024. Deux ans plus tard, ni la France ni l’Espagne n’ont adopté leur loi. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre ces deux pays, ainsi que contre l’Irlande et les Pays-Bas, en demandant des sanctions financières.
Pour les organisations concernées, ce retard n’est pas une raison d’attendre. Les exigences de la directive sont publiques depuis 2022 et les lois nationales devront les reprendre. Ce qui prend du temps, ce n’est pas de lire le texte : c’est d’organiser le travail qui permet d’y répondre.
Où en est-on ?
En France
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience », a été adopté par le Sénat le 12 mars 2025. La commission spéciale de l’Assemblée nationale a adopté son texte le 10 septembre 2025, mais l’examen en séance n’a toujours pas eu lieu : prévu les 7 et 9 octobre 2026, il a été retiré de l’ordre du jour le 6 octobre. Au moment où nous écrivons, aucune nouvelle date n’est annoncée. L’ANSSI, qui sera l’autorité de référence, accompagne déjà la préparation des entités concernées.
En Espagne
Le Conseil des ministres a approuvé en première lecture, le 14 janvier 2025, l’avant-projet de loi de coordination et de gouvernance de la cybersécurité, qui transpose NIS2 et crée un Centre national de cybersécurité. Le texte n’est pas encore publié au Bulletin officiel de l’État. Pour le secteur public et ses fournisseurs, le Schéma national de sécurité (ENS, décret royal 311/2022) s’applique déjà.
Ce que la directive demande déjà
Les lois nationales préciseront le périmètre, les autorités et les procédures. Le fond, lui, est fixé par la directive (UE) 2022/2555 :
- Des mesures de gestion des risques (article 21) : analyse des risques, gestion des incidents, continuité d’activité et gestion de crise, sécurité de la chaîne d’approvisionnement, sécurité de l’acquisition, du développement et de la maintenance des systèmes, gestion des actifs et contrôle d’accès, formation, authentification multifacteur.
- Des délais de notification (article 23) : une alerte précoce dans les 24 heures après avoir pris connaissance d’un incident important, une notification dans les 72 heures, un rapport final dans un délai d’un mois.
- Une responsabilité de la direction (article 20) : les organes de direction approuvent les mesures, supervisent leur mise en œuvre et suivent une formation.
- Des sanctions (article 34) : un plafond d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.
Ce que vous pouvez préparer sans attendre
Ces chantiers seront utiles quelle que soit la rédaction finale des lois. Ils améliorent aussi la gestion de vos services, indépendamment de toute obligation.
1. Savoir ce que vous avez à protéger
Sans inventaire à jour des systèmes, des applications et de leurs dépendances, il est impossible d’évaluer l’impact d’un incident ou de justifier une analyse des risques. Commencez par les services essentiels à votre activité et par les éléments dont ils dépendent.
2. Dater chaque incident dès sa détection
Le délai de 24 heures court à partir du moment où vous avez connaissance de l’incident. Il faut donc pouvoir dire quand il a été détecté, par qui, qui l’a qualifié et quelles décisions ont été prises. Un incident traité par messagerie et par téléphone laisse rarement cette trace.
3. Préparer la gestion de crise avant la crise
Qui prend la direction des opérations ? Qui informe la direction, les clients, l’autorité ? Écrivez ces rôles et entraînez-vous : un incident majeur n’est pas le moment de les inventer.
4. Connaître vos fournisseurs
La sécurité de la chaîne d’approvisionnement suppose de savoir quels fournisseurs interviennent sur quels systèmes, avec quels contrats et quelles échéances. Un registre des contrats relié aux éléments qu’ils couvrent répond déjà à une bonne partie de la question.
5. Encadrer les changements
Beaucoup d’incidents suivent une modification mal évaluée. Une demande, une évaluation de l’impact, une approbation et un bilan pour chaque changement : c’est aussi la preuve que vos mesures sont appliquées.
6. Associer la direction
La directive rend la direction responsable. Présentez-lui l’état de préparation, les risques retenus et les décisions à prendre, et gardez la trace de ses validations.
Ce qu’un outil peut faire, et ce qu’il ne fait pas
Aucun logiciel ne rend une organisation conforme à NIS2 : la conformité tient à vos décisions, à vos procédures et à la façon dont elles sont appliquées. Un outil de gestion des services aide en revanche à réunir les preuves au même endroit : l’inventaire, l’historique des incidents, les décisions sur les changements, les contrats des fournisseurs.
C’est le rôle d’Ecaldima. La CMDB et le suivi des actifs décrivent ce que vous avez à protéger. Le Service Desk donne à chaque ticket son délai, son responsable et son historique. La gestion des incidents majeurs organise la réponse de crise, avec un responsable aux commandes et des parties prenantes tenues informées. La gestion des changements garde la décision et le bilan de chaque évolution. Le registre des contrats rassemble fournisseurs, échéances et engagements.
Vous voulez voir comment vos propres processus d’incident et de changement s’y organisent ? Parlons-en.