Conformité NIS2 en 2026 : le mode d'emploi clair pour PME et ETI

La directive NIS2 (Network and Information Security 2, règlement UE 2022/2555) n'est plus un sujet d'experts : elle se traduit désormais en obligations très concrètes. Bruxelles avait posé une butée au 17 octobre 2024 pour transposer le texte ; cette date a filé sans que plusieurs États, dont la France et le Luxembourg, ne s'y conforment. En France, la Loi Résilience avance pas à pas, avec un examen attendu en séance publique à l'Assemblée nationale en juillet 2026 et une promulgation espérée pour l'été. Au Luxembourg, le projet de loi 8364 est passé en séance publique le 28 avril 2026, sa publication au Journal officiel suivant de quelques semaines. La note, en cas de défaillance, peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle.

Je rédige ce dossier à l'intention des dirigeants, DSI, RSSI et DPO qui pilotent des PME et des ETI exposées à la directive, aussi bien côté français que luxembourgeois. J'y aborde, dans l'ordre : le champ d'application précis avec ses seuils, les exigences techniques de l'article 21, l'état d'avancement de chaque transposition nationale, la démarche pas à pas, les enveloppes budgétaires à anticiper et les écueils que je croise réellement en intervention. Tout repose sur des références accessibles à tous : ANSSI (cyber.gouv.fr), HCPN, ILR, CSSF, Légifrance, Légilux et la Chambre des députés luxembourgeoise.

Par rapport à NIS1, NIS2 fait exploser le périmètre : la France bascule de 500 organisations à 10 000 à 15 000 entreprises. L'assujettissement tient à deux conditions qui jouent ensemble : figurer dans un secteur inscrit aux annexes de la directive, et dépasser les seuils de taille.

Deux familles d'entités

Dès qu'une entreprise coche les critères, elle relève de plein droit de NIS2, qu'une notification officielle lui soit parvenue ou non. Si aucun courrier ne lui est adressé, c'est à elle de se déclarer spontanément. Autrement dit, ne pas avoir reçu de lettre de l'ANSSI n'exonère en rien de l'obligation de conformité.

Cas à part : sous-traitants et fournisseurs

Même sous les seuils NIS2, une entreprise peut subir un effet ricochet : les entités essentielles et importantes sont tenues de verrouiller leur chaîne d'approvisionnement. En pratique, un prestataire qui délivre un service numérique critique à une EE ou à une EI se verra évalué à l'aune des critères NIS2, sans pour autant y être directement soumis. Tout l'écosystème des sous-traitants IT finira ainsi par s'aligner sur ce niveau d'exigence.

NIS2 confie à chaque pays le soin de nommer ses régulateurs et de bâtir son propre dispositif de contrôle. France et Luxembourg n'ont pas fait les mêmes choix d'organisation, et l'un comme l'autre finalisaient encore leur transposition quand j'ai rédigé ce dossier.

France : ANSSI au centre, Loi Résilience attendue 2026

Côté français, tout converge vers l'ANSSI (Agence nationale de la sécurité des systèmes d'information, cyber.gouv.fr) : c'est elle qui orchestre la transposition, fait tourner le guichet d'auto-évaluation MonEspaceNIS2, conduira les contrôles et qualifiera les sanctions. Le projet de Loi Résilience (relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité) a franchi le Sénat les 11-12 mars 2025, avant un passage en commission spéciale à l'Assemblée nationale le 10 septembre 2025. La séance publique est espérée en juillet 2026, sous réserve d'une session extraordinaire, pour une promulgation visée à l'été 2026 ; viendront ensuite les décrets et arrêtés techniques.

Le 17 mars 2026, l'ANSSI a dévoilé une version de travail du ReCyF (Référentiel Cyber France). Encore dépourvu de valeur contraignante, ce référentiel décrit concrètement comment répondre aux objectifs de sécurité de NIS2 ; sa mouture définitive paraîtra une fois la Loi Résilience promulguée. C'est sur ce document que je m'appuie pour charpenter une démarche de conformité française.

Luxembourg : architecture tripartite HCPN / ILR / CSSF

Le Luxembourg, lui, a réparti les rôles sur trois épaules. Le HCPN (Haut-Commissariat à la Protection nationale) tient le pilotage stratégique national et porte la voix du pays à Bruxelles (l'équivalent régalien de l'ANSSI). L'ILR (Institut luxembourgeois de régulation) surveille la plupart des secteurs et exploite l'unique portail d'auto-enregistrement. Enfin, la CSSF (Commission de surveillance du secteur financier) prend en charge les acteurs de la finance.

Déposé à la Chambre des députés le 13 mars 2024, le projet de loi n° 8364 a été débattu en séance publique le 28 avril 2026, à l'issue de plusieurs réunions de la Commission des Institutions (décembre 2024, puis février, mars et avril 2026). Promulgation et parution au Journal officiel devraient suivre sous quelques semaines. Le portail d'auto-enregistrement de l'ILR s'ouvre en avril 2026, avec une inscription rendue obligatoire pour chaque entité visée, tandis que les contrôles de gouvernance à part entière commenceront en janvier 2027. Au total, de 6 000 à 8 000 organisations luxembourgeoises sont dans le viseur.

Recoupement avec l'AI Act au Luxembourg

Particularité luxembourgeoise : l'ILR endosse un rôle supplémentaire en surveillant les déployeurs de systèmes d'IA à haut risque (au sens de l'AI Act) lorsqu'ils sont par ailleurs opérateurs de services essentiels selon NIS2. Une entreprise prise dans les deux régimes dispose donc d'un seul interlocuteur sur l'axe IA / résilience cyber — une simplification que ne connaît pas le modèle français, où ces dossiers se répartissent entre plusieurs autorités (ANSSI pour NIS2, CNIL et consorts pour l'AI Act).

Phase 1 : Qualification et audit (3 à 6 semaines)

Je commence par trancher la question de l'assujettissement (croisement seuils / secteur) et par situer l'entreprise dans sa catégorie, EE ou EI. On passe l'auto-évaluation, sur MonEspaceNIS2 en France ou sur le portail ILR au Luxembourg, puis je conduis l'audit de maturité cyber au regard des 10 mesures de l'article 21, en m'appuyant sur le ReCyF côté français ou les guidelines ILR côté luxembourgeois. Le livrable est un rapport d'écarts qui distingue l'acquis, le manquant et ce qui reste à mettre par écrit. Compter 8 000 à 20 000 € HT, selon l'ampleur du SI.

Phase 2 : Cadrage et plan d'action (2 à 4 semaines)

Vient le temps des arbitrages. Je classe les chantiers en trois niveaux : les gains immédiats (MFA, sauvegardes vérifiées, journalisation minimale), les travaux structurants (réponse à incident, PCA/PRA, verrouillage de la supply chain) et les chantiers de longue haleine (culture cyber, chiffrement généralisé). En sortie : une feuille de route calée sur l'entrée en vigueur des textes nationaux, un budget détaillé et des indicateurs de pilotage. La direction s'engage formellement à ce stade.

Phase 3 : Mise en œuvre (3 à 8 mois selon maturité)

Place à l'exécution : déploiement des briques techniques et organisationnelles, formation des collaborateurs, rédaction des politiques et procédures, essais de restauration, exercices de crise et simulations d'attaque, activation du canal de notification ANSSI. Comme plusieurs chantiers avancent de front, cette étape exige une coordination très serrée.

Phase 4 : Validation et documentation (2 à 4 semaines)

On clôt par une revue de conformité, menée en interne ou par un auditeur indépendant, la constitution du dossier de preuve réclamable lors d'un contrôle ANSSI, et la validation finale de la direction. L'entreprise entre alors en régime de croisière — supervision continue, audits annuels, procédures tenues à jour : la conformité quitte le mode projet pour devenir un état permanent.

Côté durée, je table sur 4 à 7 mois pour une PME classée EI, et plutôt 8 à 14 mois pour une ETI ou un grand compte EE doté d'un SI touffu. C'est précisément pourquoi je conseille d'attaquer le cadrage sans attendre la publication des textes : l'audit et l'analyse d'écarts ne dépendent en rien du calendrier parlementaire et font gagner de précieux mois.

1. La chaîne d'approvisionnement est sous-estimée

Sécuriser sa supply chain, concrètement, c'est passer en revue chacun de ses fournisseurs numériques sensibles : hébergeurs, éditeurs SaaS, intégrateurs, prestataires de développement. Il faut rédiger les clauses contractuelles, suivre les incidents survenant chez ces tiers et prévoir un plan B si l'un d'eux décroche de la conformité. À lui seul, ce chantier mobilise volontiers 2 à 4 mois.

2. La notification sous 24h est un vrai sujet opérationnel

Tenir les 24 heures relève de l'exploit sans procédure écrite ni équipe préparée. Il faut une astreinte (ou un SOC managé), une grille de décision pour caractériser l'incident significatif et une ligne directe avec le régulateur national (ANSSI en France, ILR au Luxembourg). Et tout cela se répète en exercice, régulièrement.

3. La responsabilité de la direction est juridique, pas cosmétique

Une simple ligne dans le rapport annuel ne suffira pas. La direction doit garder la trace écrite de ses revues de risques, de ses choix et de ses validations de plans de conformité. Le jour d'un contrôle, on réclamera ces pièces. Mon conseil : les formaliser dès la phase 2.

4. Tension sur les profils RSSI et cybersécurité

Les 10 à 15 000 organisations visées partent toutes à la chasse aux mêmes compétences, au même instant. Les RSSI internes deviennent une denrée rare et les consultants chevronnés des cabinets se remplissent au fil de 2026. Arriver tard, c'est affronter un marché plus rare en disponibilités et des tarifs journaliers gonflés au quatrième trimestre 2026.

5. Les sanctions vont graduellement monter en puissance

La première année suivant l'entrée en vigueur, je m'attends à ce que l'ANSSI comme l'ILR misent d'abord sur l'accompagnement et la mise en demeure plutôt que sur l'amende maximale. Mais la pression montera ensuite, année après année, pour donner du poids à la directive. Temporiser n'est donc pas une option viable — d'autant que la menace cyber, elle, n'a que faire du calendrier réglementaire.