NIS2 : l'État exigera des dirigeants le sérieux qu'il ne s'impose pas

Mercredi 4 novembre, l'Assemblée nationale a rejeté la première partie du projet de loi de finances pour 2027, celle qui porte sur les recettes. Ce vote a ouvert le créneau qu'attendait depuis septembre 2025 le texte qui transpose NIS2. La conférence des présidents avait acté le principe d'une inscription à partir du lundi 9 novembre, à une condition presque unique : que les députés rejettent cette première partie du budget et libèrent du temps de séance. Le ministère des Relations avec le Parlement et le rapporteur Éric Bothorel l'avaient confirmé à l'AFP. Le budget est tombé, le texte est entré dans l'ordre du jour.

La cybersécurité de quinze mille organisations françaises se discute donc entre la poire et le fromage, dans le temps que le budget a laissé libre, avec le projet de loi de finances de fin de gestion pour 2026 qui attend son tour dans la même semaine. La directive parle de leadership et de responsabilité des dirigeants. J'ai du mal à voir comment un chef d'entreprise prendrait au sérieux une loi que ceux qui nous gouvernent ont inscrite au calendrier par défaut. Au moins, on en parlera toute la semaine, ce qui reste une bonne nouvelle.

Un texte de cybersécurité glissé dans le creux du calendrier budgétaire

La directive NIS2 a été publiée au Journal officiel de l'Union européenne le 27 décembre 2022, et les États membres avaient jusqu'au 17 octobre 2024 pour l'inscrire dans leur droit. Le gouvernement a déposé son projet de loi au Sénat le 15 octobre 2024, deux jours avant l'échéance, en procédure accélérée, celle qui raccourcit les allers-retours entre les deux chambres. Le Sénat l'a adopté le 12 mars 2025, la commission spéciale de l'Assemblée en septembre 2025, à l'unanimité. Le texte a ensuite attendu la séance publique pendant plus d'un an.

Bruxelles, pendant ce temps, a perdu patience. Après une lettre de mise en demeure le 28 novembre 2024 et un avis motivé le 7 mai 2025, la Commission européenne a saisi la Cour de justice de l'Union le 8 juillet 2026, en réclamant une somme forfaitaire et des astreintes journalières jusqu'à transposition complète. Le 6 octobre dernier, la conférence des présidents a encore retiré le texte des séances des 7 et 9 octobre, parce que l'examen de la proposition de loi sur les violences sexistes et sexuelles débordait du calendrier.

Chaque report a eu sa justification : la dissolution de juin 2024, un gouvernement démissionnaire, un ordre du jour saturé, une querelle sur le chiffrement. Prises une à une, ces raisons se défendent. Mises bout à bout sur deux ans, elles dessinent un ordre de priorité dans lequel la sécurité numérique du pays passe après tout ce qui peut faire tomber un gouvernement.

La querelle sur le chiffrement explique une partie du blocage, et elle vient de se dénouer. L'article 16 bis, ajouté au Sénat, interdit d'imposer aux fournisseurs de services de chiffrement, messageries comprises, des portes dérobées, ces accès cachés qui permettraient à un service de l'État de lire des communications protégées. La DGSI en réclamait la suppression. Le 1er octobre, devant la commission spéciale, Anne Le Hénanff, ministre déléguée chargée de l'Intelligence artificielle et du Numérique, l'a qualifié de cavalier législatif, une disposition sans rapport avec l'objet du texte, et l'exécutif a annoncé qu'il soutiendrait sa suppression. Le débat sur les portes dérobées reste entier et se rejouera ailleurs. Le gouvernement, lui, soutient enfin son propre projet de loi.

Qu'est-ce que NIS2, et qui est vraiment concerné ?

NIS2 est une directive européenne, un texte qui fixe des objectifs que chaque État doit traduire dans sa loi nationale. Elle succède à une première directive de 2016 qui ne visait en France que quelques centaines d'opérateurs. La nouvelle version change d'échelle : dix-huit secteurs, les entreprises à partir de cinquante salariés ou de dix millions d'euros de chiffre d'affaires, une partie des administrations. L'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, passera de 500 à 700 organisations régulées à plus de 15 000. Elle compte 670 équivalents temps plein, quand son homologue allemand en aligne entre 1 800 et 2 000.

Pour le lecteur qui ne dirige rien, la liste des secteurs parle d'elle-même. Elle couvre l'hôpital où il se fait soigner, l'eau qui coule de son robinet, l'électricité, les trains et les aéroports, la poste et les colis, l'industrie agroalimentaire, les fabricants de médicaments, les fournisseurs de services en ligne. Elle couvre aussi sa mairie si sa commune dépasse 30 000 habitants, son département, sa région et sa métropole, que le texte de la commission classe parmi les entités essentielles, la catégorie la plus surveillée. Selon les estimations de l'ANSSI reprises par le Sénat, environ 2 000 entreprises privées et 1 489 collectivités, groupements et organismes sous leur tutelle relèveront de cette catégorie.

Les entités concernées devront appliquer dix familles de mesures, énumérées à l'article 21 de la directive : analyse des risques et politique de sécurité, gestion des incidents, continuité d'activité avec sauvegardes et gestion de crise, sécurité des fournisseurs, sécurité dans l'achat et la maintenance des systèmes, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, contrôle des accès, et authentification multifacteur, qui exige un second élément de preuve en plus du mot de passe. Elles devront s'enregistrer auprès de l'ANSSI et lui notifier leurs incidents importants. L'agence pourra les contrôler et les sanctionner, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante. Le même texte transpose la directive sur la résilience des entités critiques et des dispositions liées à DORA, le règlement européen sur la résilience numérique du secteur financier, d'où son nom de loi Résilience.

Je tiens le chiffre de 15 000 pour très inférieur à la réalité. Chaque entité devra maîtriser la sécurité de ses fournisseurs, et les exigences descendront par contrat sur des milliers de sous-traitants, prestataires et éditeurs qui ne figureront dans aucun registre de l'ANSSI mais recevront les questionnaires de leurs clients.

Les mesures existaient avant la loi, les sanctions viendront après elle

Aucune de ces dix familles de mesures n'avait besoin d'un vote pour être appliquée. L'ANSSI publie son guide d'hygiène informatique depuis 2017, la norme ISO 27001 existe depuis 2005, et l'agence a mis en ligne le 17 mars 2026 son référentiel pour NIS2, le ReCyF, que j'ai critiqué et qui a au moins le mérite de dire ce qu'elle viendra contrôler. Le 1er octobre, son directeur général, Vincent Strubel, a affirmé devant la commission spéciale que les mesures de ce référentiel auraient été efficaces contre la majorité des vols de données constatés en France ces derniers mois.

Il a dit autre chose, que les débats sur le calendrier ont presque effacé. Faute de règle stabilisée, des entreprises et des collectivités ont repoussé leurs budgets de cybersécurité à l'exercice suivant, ce qu'il a décrit comme un effet d'éviction. Le patron de l'agence chargée de la sécurité numérique du pays a donc constaté, devant les députés, que l'indécision de l'État avait fait reculer des investissements de sécurité. Deux ans d'atermoiements ont eu un prix, payé en budgets reportés d'une année sur l'autre.

Ce que le vote change tient en peu de choses : l'obligation de s'enregistrer, l'obligation de notifier, et la possibilité d'une sanction. Vincent Strubel a indiqué que l'ANSSI envisageait une conformité complète de toutes les entités d'ici fin 2028, avec des premiers contrôles conçus comme des répétitions pédagogiques avant la montée vers les sanctions. La sécurité des systèmes n'a jamais attendu ce vote. La loi y ajoute une sanction, et surtout quelqu'un pour la porter.

L'article 20, ou le devoir de diligence des dirigeants

L'enjeu de la loi se loge dans un article que la plupart des commentaires survolent. L'article 20 de la directive impose aux organes de direction, conseil d'administration, direction générale, gérant, d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de suivre une formation, et il prévoit qu'ils puissent être tenus responsables des manquements. Pour les entités essentielles, l'article 32 va plus loin. Quand les mesures imposées par l'autorité restent sans effet, elle peut demander qu'un dirigeant exerçant au niveau de la direction générale ou de la représentation légale soit temporairement interdit d'exercer des fonctions de direction.

Les juristes anglo-saxons appellent cela un duty of care, un devoir de diligence : le dirigeant doit pouvoir démontrer qu'il a pris les précautions raisonnables que sa fonction exige. NIS2 installe ce devoir en cybersécurité, avec une autorité pour le contrôler et une sanction personnelle au bout.

Vu depuis un comité de direction, le calcul est vite fait. D'ici fin 2028, l'ANSSI tiendra un pistolet sur la tempe des dirigeants des entités essentielles, avec un argument tout trouvé pour s'en servir : la directive était publiée depuis 2022, le référentiel depuis 2026, et vous n'avez rien approuvé. La manière dont le texte français écrira cette responsabilité personnelle, et les conditions auxquelles il permettra l'interdiction d'exercer, se jouent cette semaine. En commission, des amendements cherchaient déjà à en resserrer les conditions.

J'ai défendu ici même, le mois dernier, que le Parlement n'a jamais été votre RSSI et que la responsabilité du dirigeant existait avant la loi, la loi se contentant d'y attacher une sanction. Je n'en retire rien. Une responsabilité qu'on ne rappelle que par la menace produit pourtant ce que produit toujours la menace : des politiques signées, des registres, des procès-verbaux de comité, un dossier présentable le jour du contrôle. J'appelle ce phénomène l'illusion de conformité, et je l'ai observé chez les organisations qui avaient attendu la loi pour bouger. Un devoir de diligence devient une culture quand ceux qui l'exigent le pratiquent eux-mêmes.

L'État qui exigera ce sérieux s'en dispense

Sur ce terrain, l'exemple venu d'en haut va dans l'autre sens. L'article 37 du texte de la commission exclut des amendes administratives les administrations de l'État, les collectivités territoriales, leurs groupements et leurs établissements publics administratifs. Les 1 489 collectivités et organismes classés en entités essentielles devront appliquer les mêmes mesures que les entreprises, sans encourir la même sanction. Le prestataire informatique de taille moyenne qui assure la maintenance d'un département pourra être frappé d'une amende, et le département qui lui imposera par contrat les exigences de NIS2 n'en risquera aucune.

La directive autorise ce choix, son article 34 laissant chaque État décider si les amendes s'appliquent à son administration publique. Le droit des données personnelles avait déjà ouvert la voie : la loi Informatique et Libertés interdit à la CNIL d'infliger une amende lorsque le traitement est mis en œuvre par l'État, et la CNIL contrôle depuis septembre la DGFiP après les intrusions de l'été sans pouvoir la sanctionner financièrement. Le projet de loi reprend cette logique et l'étend aux collectivités.

Le Conseil d'État avait pourtant prévenu. Dans son avis du 6 juin 2024 sur le projet de loi, il écrivait que l'exemption des collectivités « ne peut être admise », leur exclusion du champ des sanctions méconnaissant à la fois le principe d'égalité et les objectifs de la directive. Le gouvernement l'a maintenue, le Sénat aussi, la commission de l'Assemblée aussi. Le 1er octobre, la ministre a résumé la doctrine devant les députés : « L'État ne peut pas sanctionner financièrement l'État ». Elle a ajouté que le gouvernement préférait clarifier les responsabilités et envisageait d'autres formes de sanction, sans en nommer aucune.

L'argument comptable se comprend, puisqu'une amende versée par l'État au Trésor public déplace de l'argent d'une poche à l'autre. Il laisse entière la question de la responsabilité. Plusieurs des fuites de données les plus graves de ces dernières années en France ont eu une adresse publique, de France Travail en 2024 à la DGFiP cet été, et le directeur général de l'ANSSI reconnaissait lui-même devant la commission que le numérique de l'État était devenu trop complexe, ce qui complique sa sécurisation. L'exécutif s'est fixé de consacrer 5 % du budget numérique des ministères à la cybersécurité en 2027, puis 10 % en 2030. Personne ne pourra être sanctionné si l'objectif n'est pas tenu.

Le chef d'entreprise à qui l'on demandera, d'ici fin 2028, la preuve de son devoir de diligence aura sous les yeux un État qui a mis deux ans à inscrire le texte, qui l'a fait entrer dans l'hémicycle par la porte du budget et qui s'est exempté de la sanction. Il en tirera la conclusion la plus simple : la cybersécurité est une contrainte que l'on fait peser sur les autres. La loi existe précisément pour empêcher cette conclusion.

NIS2 aurait-elle changé quelque chose pour Arkéa ?

L'actualité de la semaine fournit un cas d'école. Le 4 novembre au soir, le Crédit Mutuel Arkéa a reconnu une cyberattaque : environ 100 millions d'euros détournés sur le compte propre de la banque, aucun compte client touché, par des attaquants passés par la plateforme d'un prestataire dont le nom n'a pas été rendu public. Une partie des fonds a été bloquée. L'enquêteur indépendant ZachXBT, qui avait signalé des retraits suspects dès le 1er novembre, chiffre le vol à 133 millions de dollars et affirme que l'absence de communication publique a laissé blanchir plus de 30 millions de dollars. Ces deux chiffres relèvent de son enquête, et la banque n'a pas confirmé le montant exact.

NIS2 n'y aurait rien changé. Les banques figurent bien parmi les secteurs de la directive, mais son article 4 s'efface devant les textes européens sectoriels équivalents, et pour la finance ce texte s'appelle DORA, applicable depuis le 17 janvier 2025. DORA se montre d'ailleurs bien plus exigeant que NIS2 envers les fournisseurs : registre de tous les contrats informatiques, clauses contractuelles obligatoires sur l'audit, la notification des incidents et la réversibilité, stratégies de sortie, et surveillance directe par les autorités européennes des prestataires technologiques jugés critiques. NIS2 consacre à la chaîne d'approvisionnement une ligne parmi ses dix familles de mesures.

Pour le prestataire, la réponse dépend de ce qu'il est. S'il s'agit d'un fournisseur de services informatiques de taille moyenne ou grande, NIS2 l'aurait soumis à ses propres obligations sous le contrôle de l'ANSSI, en plus des clauses que la banque doit lui imposer au titre de DORA. Tant que son identité reste inconnue, l'hypothèse ne va pas plus loin.

Arkéa rappelle surtout qu'aucune loi n'empêche un braquage. Les lois désignent qui en répond. DORA dispose déjà, à son article 5, que l'organe de direction d'une entité financière porte la responsabilité ultime de la gestion du risque informatique. Le devoir de diligence que NIS2 veut installer dans 15 000 organisations existe donc depuis près de deux ans dans les banques, et la manière dont les superviseurs traiteront ce dossier dira assez vite s'il a des dents.

Ce qu'il faudra regarder d'ici vendredi

Les débats doivent courir jusqu'au 13 novembre, hors jour férié du 11, et plusieurs points peuvent encore bouger avant le vote.

La suppression de l'article 16 bis vient en tête. Si l'Assemblée la vote comme l'exécutif le souhaite, le principal verrou politique tombe, et plus rien ne justifiera un nouveau report du texte.

L'article 37 mérite la même attention. Des députés ont tenté en commission d'instaurer un mécanisme de sanction pour les collectivités, en s'appuyant sur l'avis du Conseil d'État. Si l'exemption survit à la séance publique, elle aura été assumée par un vote, et chacun saura qui l'a voulue.

La rédaction de la responsabilité des dirigeants dira jusqu'où va la loi : à quelles conditions l'interdiction temporaire d'exercer pourra être demandée, contre qui, et après quelles étapes. C'est la disposition que les comités de direction liront en premier, et ils auront raison.

Reste le calendrier. Le Conseil d'État relevait en 2024 que le projet ne prévoyait ni dispositions transitoires ni entrée en vigueur différée. L'horizon de fin 2028 a été annoncé par le directeur général de l'ANSSI devant les députés. Qu'il figure dans la loi ou qu'il reste à l'appréciation du régulateur change beaucoup pour un dirigeant, qui gagne à pouvoir opposer une date plutôt qu'une intention.

Après le vote, le texte passera en commission mixte paritaire, sept députés et sept sénateurs chargés d'accorder les deux versions, puis attendra ses décrets d'application.

Le 17 octobre 2024, la France devait avoir transposé NIS2. Le 9 novembre 2026, le texte entre dans l'hémicycle parce que le budget en est sorti. D'ici fin 2028, l'ANSSI demandera aux dirigeants la preuve de leur sérieux, et l'État restera dispensé d'amende.

À lire également

• Le Parlement n'a jamais été votre RSSI
• ReCyF, backdoors et clés USB : la France en cybersécurité, entre lucidité et anachronisme
• DGFiP : ils le savaient depuis fin juin, vous l'apprenez le 13 août
• La cybersécurité ne doit pas devenir un enjeu de la présidentielle
• Free : l'amende se discute au Conseil d'État, le hameçonnage continue
• Les gestes pratiques, sans jargon, sur etrecyber.fr

Sources

• Assemblée nationale, Rejet, en première lecture, du projet de loi de finances pour 2027, 4 novembre 2026 ; dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, texte de la commission spéciale n° 1779 du 10 septembre 2025, articles 8, 9 et 37, et amendements déposés en commission sur l'article 37.
• Projet Arcadie, NIS 2 en hémicycle en cas de rejet du budget, novembre 2026, pour l'inscription conditionnelle confirmée à l'AFP par le ministère des Relations avec le Parlement et Éric Bothorel ; Leto, NIS 2 : le projet de loi Résilience revient à l'Assemblée nationale le 9 novembre, d'après Silicon.fr du 5 novembre 2026 ; La Gazette des communes, Les rendez-vous parlementaires de la semaine du 9 novembre 2026.
• Alliancy, Fiona Slous, « Numérique pourri, cyber impossible », derrière NIS2, le procès de la dette IT française, 7 octobre 2026, compte rendu des auditions du 1er octobre 2026 de Vincent Strubel et d'Anne Le Hénanff devant la commission spéciale.
• Conseil d'État, avis sur le projet de loi relatif à la résilience des activités d'importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier, assemblée générale du 6 juin 2024, n° 408329.
• Sénat, rapport de la commission spéciale n° 393 (2024-2025) sur le projet de loi, pour les estimations de l'ANSSI sur les entités essentielles.
• Commission européenne, saisine de la Cour de justice de l'Union contre l'Irlande, l'Espagne, la France et les Pays-Bas pour défaut de transposition, communiqué du 8 juillet 2026 (mise en demeure du 28 novembre 2024, avis motivé du 7 mai 2025).
• Directive (UE) 2022/2555 du 14 décembre 2022, dite NIS2, JOUE L 333 du 27 décembre 2022, articles 4, 20, 21, 32 et 34 ; règlement (UE) 2022/2554, dit DORA, articles 5 et 28 à 44, applicable depuis le 17 janvier 2025.
• Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 20 ; Leto, Piratage du fisc : la CNIL va contrôler la DGFiP, sans pouvoir lui infliger d'amende, septembre 2026.
• Crédit Mutuel Arkéa, communiqué et foire aux questions du 4 novembre 2026, rapportés par JeChange, Crédit Mutuel Arkéa piraté, 5 novembre 2026, et Presse-citron ; messages de ZachXBT du 1er au 4 novembre 2026, rapportés par The Block et Cointribune.