NIS 2 et les collectivités : ce qui est voté, ce qui ne l'est pas

L'état du texte au 8 octobre 2026

La directive européenne NIS 2 a été publiée en décembre 2022, avec une transposition attendue des États membres pour le 17 octobre 2024. La France ne l'a pas respectée, et ne l'a toujours pas transposée.

Le véhicule législatif est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Son parcours, à ce jour :

• déposé au Sénat le 15 octobre 2024, avec engagement de la procédure accélérée ;
• adopté par le Sénat en première lecture le 12 mars 2025 ;
• déposé à l'Assemblée nationale le 13 mars 2025, texte de la commission spéciale publié le 10 septembre 2025 ;
• examen en séance publique reporté à plusieurs reprises. Le texte a été retiré de l'ordre du jour des séances des 7 et 9 octobre 2026, sans nouvelle date arrêtée à ce jour.

Autrement dit : rien n'est applicable aujourd'hui, et personne ne peut annoncer honnêtement une date d'entrée en vigueur. Méfiez-vous des échéanciers précis que l'on vous présentera cette année — ils sont construits sur des hypothèses, pas sur du droit.

Qui serait concerné, dans le texte tel qu'adopté par le Sénat

Le périmètre peut encore changer à l'Assemblée. En l'état du texte voté par le Sénat le 12 mars 2025, les collectivités entrent dans le dispositif selon un seuil de population de 30 000 habitants :

• Entités essentielles : les régions, les départements, et les communes de plus de 30 000 habitants ; les communautés d'agglomération comprenant au moins une commune de plus de 30 000 habitants, les communautés urbaines et les métropoles ; les syndicats dont la population dépasse 30 000 habitants.
• Sans condition de seuil : les centres de gestion de la fonction publique territoriale et les services départementaux d'incendie et de secours.
• Entités importantes : les communautés d'agglomération qui ne comprennent aucune commune de plus de 30 000 habitants, et les communautés de communes.

Une commune de 8 000 habitants n'est donc pas visée directement — mais elle peut l'être indirectement, par l'intercommunalité à laquelle elle appartient, ou parce qu'un syndicat mutualise son informatique.

Le point que l'on vous dira rarement : pas d'amende

L'argument de vente habituel sur NIS 2, ce sont les sanctions financières. Le texte adopté par le Sénat exclut explicitement les collectivités territoriales, leurs groupements et leurs établissements publics administratifs du champ des amendes administratives, pour les entités essentielles comme pour les entités importantes.

Cela ne veut pas dire qu'il n'y a pas d'enjeu. Les obligations de sécurité et de notification d'incident, elles, s'appliqueraient. Et le risque réel d'une collectivité n'a jamais été l'amende : c'est l'état civil à l'arrêt, la paie qui ne part pas, les données des administrés publiées. Mais si l'on vous vend NIS 2 avec un montant d'amende en gras, vous savez désormais que l'argument ne tient pas pour vous.

Ce que l'ANSSI publie déjà

Le 17 mars 2026, l'ANSSI a mis à disposition le Référentiel Cyber France (ReCyF), document de travail qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. Il est non obligatoire par défaut. Son intérêt est ailleurs : une entité qui l'applique pourra s'en prévaloir lors d'un contrôle, le moment venu.

C'est le signal utile. Plutôt que d'attendre le vote, l'autorité invite les futures entités concernées à engager dès maintenant une démarche cohérente avec la directive.

Par quoi commencer, sans rien parier

Le pari raisonnable n'est pas sur le calendrier, il est sur le contenu : les exigences de NIS 2 sont des mesures d'hygiène informatique qui seront utiles à votre collectivité que la loi passe en janvier, en juin ou l'an prochain. Dans l'ordre où nous les engageons chez nos clients :

1. L'inventaire. Vous ne protégez pas ce que vous ne savez pas détenir. Serveurs, applications métier, prestataires qui ont un accès distant, comptes à privilèges. C'est fastidieux, c'est le socle de tout le reste, et c'est ce qui manque presque toujours.
2. Les sauvegardes, et surtout leur restauration. Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde, c'est une hypothèse. Testez une restauration complète, chronométrez-la, écrivez le résultat.
3. Les accès distants. Authentification à double facteur sur les accès d'administration et sur ceux de vos prestataires. C'est la porte d'entrée de la majorité des incidents que nous traitons.
4. La journalisation. Sans journaux conservés, un incident ne s'analyse pas et ne se notifie pas sérieusement. La notification d'incident est au cœur de NIS 2.
5. La procédure d'incident. Qui appelle qui, à quelle heure, avec quel numéro, et qui décide d'isoler. Une page suffit. Elle doit exister sur papier, parce qu'un incident commence souvent par la perte de la messagerie.

Aucun de ces cinq points ne dépend du vote. Tous seront exigibles sous une forme ou une autre. Et chacun réduit le risque dès qu'il est fait.

Notre position

Nous ne vendons pas de « mise en conformité NIS 2 », parce que l'on ne se met pas en conformité avec un texte qui n'est pas voté. Nous faisons de la cybersécurité opérationnelle : durcissement, gestion des vulnérabilités, journalisation, sauvegardes vérifiées — et l'exploitation quotidienne qui fait que ces mesures tiennent dans le temps au lieu de figurer dans un classeur.

Si votre collectivité prépare une consultation sur ce périmètre, notre page marchés publics détaille nos modes de réponse, en direct comme en cotraitance.

Sources

• Dossier législatif du projet de loi — Assemblée nationale
• Texte adopté par le Sénat le 12 mars 2025 (T.A. n° 78)
• La directive NIS 2 et le Référentiel Cyber France — ANSSI

L'état du texte évolue : nous mettons cet article à jour à chaque étape parlementaire, et la date de mise à jour figure en haut de page.