La directive européenne NIS2 est entrée en vigueur en octobre 2024 au niveau de l’UE, mais la France n’a toujours pas voté sa loi de transposition en 2026. Ce décalage entre le cadre réglementaire européen et son application nationale crée une zone grise pour les entreprises françaises. Mesurer l’écart entre les obligations théoriques et la réalité opérationnelle permet de comprendre où se situent les véritables risques en matière de cybersécurité pour les entreprises.
NIS2 et transposition française : le décalage réglementaire chiffré
Le tableau ci-dessous résume l’état du cadre réglementaire européen et sa transposition en France, deux réalités qui ne coïncident pas.
| Critère | Directive NIS2 (UE) | Transposition française (loi Résilience) |
|---|---|---|
| Entrée en vigueur | Octobre 2024 | Non votée (adoption Sénat mars 2025, commission spéciale Assemblée septembre 2025) |
| Sanctions entités importantes | Jusqu’à 10 M€ ou 2 % du CA mondial | Pas encore opposables juridiquement |
| Sanctions entités importantes | Jusqu’à 7 M€ ou 1,4 % du CA | Pas encore opposables juridiquement |
| Autorité de contrôle | Prévue par la directive | Aucune autorité ne peut sanctionner un manquement NIS2 en France |
Les grandes entreprises anticipent déjà le texte en intégrant des clauses contractuelles et des référentiels internes alignés sur NIS2. Les PME, à l’inverse, restent largement en retrait faute de contrainte juridique immédiate.
Cette asymétrie crée un risque concret : le jour où les décrets seront publiés, les entreprises non préparées devront se mettre en conformité dans des délais probablement courts, avec des ressources limitées.
Cybersécurité des PME : un déficit de préparation face aux menaces
L’ANSSI a recensé plus de 4 400 incidents de cybersécurité en 2024, soit une hausse de 15 % par rapport à l’année précédente. Cette progression touche toutes les tailles d’organisations, mais les TPE et PME concentrent une part disproportionnée des dégâts.
Plusieurs facteurs expliquent cette vulnérabilité accrue des petites structures :
- L’absence fréquente de responsable dédié à la sécurité des systèmes d’information, les décisions étant prises par le dirigeant ou un prestataire externe peu impliqué au quotidien
- Un budget cybersécurité souvent inexistant ou marginal, là où les obligations NIS2 exigeront des investissements en gestion des correctifs, en protection des données et en plans de continuité
- Une méconnaissance des vecteurs d’attaque les plus courants (piratage de compte, hameçonnage, rançongiciel), qui rend la sensibilisation des équipes d’autant plus difficile
Le cas d’Octave, entreprise liquidée en mars 2025 après une attaque par rançongiciel survenue un week-end d’août, illustre les conséquences irréversibles d’un manque de préparation. Les bases de données chiffrées ont paralysé l’activité, et la mobilisation n’a pas suffi à sauver la structure.
Gestion des correctifs de sécurité : une obligation technique déjà en vigueur
Même sans transposition complète de NIS2, certaines exigences techniques s’appliquent déjà aux fournisseurs de services numériques au niveau européen. La gestion des correctifs de sécurité figure parmi les mesures les plus surveillées.
Appliquer les mises à jour critiques dans un délai raisonnable après leur publication n’est pas un luxe de grande entreprise. C’est un prérequis technique que les audits de conformité vérifieront en priorité lorsque la loi française sera promulguée.
Protection des données et cloud : les angles morts de la conformité européenne
La protection des données dans les environnements cloud constitue un point de friction croissant. Les entreprises migrent massivement vers des infrastructures externalisées, mais les politiques de sécurité ne suivent pas toujours.
Le cloud ne transfère pas la responsabilité de la protection des données au prestataire. L’entreprise cliente reste juridiquement responsable de la sécurité de ses systèmes, du chiffrement de ses données et de la conformité avec le cadre réglementaire européen, qu’il s’agisse du RGPD ou de NIS2.
Trois zones de risque méritent une attention particulière :
- La gestion des accès et des identités dans les environnements multi-cloud, où la multiplication des comptes et des permissions augmente la surface d’attaque
- Le chiffrement des données au repos et en transit, souvent activé par défaut mais rarement vérifié ou testé en conditions réelles
- La localisation des données sur le sol européen, un critère qui prend une dimension stratégique avec le renforcement des exigences de souveraineté numérique
Intelligence artificielle et cybersécurité : un double tranchant pour les entreprises
L’intelligence artificielle modifie le paysage des menaces autant que celui des défenses. Les cybercriminels utilisent l’IA pour automatiser les campagnes de phishing, générer des messages plus convaincants et identifier les vulnérabilités plus rapidement.
En face, les équipes de sécurité exploitent les mêmes technologies pour détecter les comportements anormaux sur les réseaux et accélérer la réponse aux incidents. La différence de résultat tient moins à la technologie qu’aux ressources humaines capables de piloter ces outils.
La filière aéronautique française illustre cette dynamique. Le secteur a annoncé vouloir renforcer sa cyberdéfense pour faire face à l’essor des menaces, reconnaissant que la maturité cyber progresse mais reste insuffisante face à la sophistication des attaques.
Conformité NIS2 et stratégie de renforcement : ne pas attendre la loi
Les entreprises qui attendent la publication des décrets français pour agir prennent un pari risqué. La préparation à NIS2 exige plusieurs mois de travail sur les référentiels internes, la cartographie des risques et la formation des équipes.
Le texte européen prévoit des obligations précises en matière de gestion des risques, de notification des incidents et de gouvernance de la sécurité numérique. Se familiariser avec ces exigences dès maintenant permet d’étaler l’effort et d’éviter une mise en conformité précipitée.
Le décalage entre le cadre européen NIS2 et son application française reste la donnée structurante de la cybersécurité des entreprises en 2026. Les sanctions ne sont pas encore opposables, mais les menaces, elles, n’attendent pas de transposition législative.
