Calendrier de la directive NIS2 : toutes les dates cles
De l'adoption europeenne aux echeances de mise en conformite, voici la chronologie complete de la directive NIS2, l'etat de la transposition en France et les jalons a venir pour les entites concernees.
L'ANSSI a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026, structuré en 4 piliers : Gouvernance, Protection, Défense, Résilience. La loi Résilience (transposition NIS2) sera examinée en hémicycle en juillet 2026. La plateforme MonEspaceNIS2 est ouverte au pré-enregistrement des entités.
La chronologie de NIS2
La Commission presente sa proposition de directive NIS2 dans le cadre de sa strategie cyber globale. Le texte vise a corriger les limites de NIS1 en elargissant le perimetre et en harmonisant les obligations.
Adoption du texte en seance pleniere a Strasbourg avec une large majorite.
Le Conseil de l'Union europeenne adopte definitivement la directive (UE) 2022/2555.
La directive est publiee au JOUE, declenchant le compte a rebours pour la transposition.
Demarrage du delai de transposition de 21 mois pour les Etats membres.
Echeance fixee aux 27 Etats membres pour publier leurs textes nationaux. Plusieurs Etats, dont la France, ont pris du retard.
Date a partir de laquelle les obligations s'appliquent dans les Etats ayant transpose dans les delais. Les autres restent soumis a procedure d'infraction.
Examen en hémicycle de la loi Résilience prévu en juillet 2026. Enregistrement des entites aupres de l'ANSSI, demarrage des controles, premieres injonctions.
Date butoir indicative pour l'enregistrement des entites essentielles et importantes aupres de leurs autorites nationales.
La Commission devra remettre un rapport d'evaluation au Parlement europeen et proposer eventuellement des amendements.
Etat de la transposition en France
Le gouvernement francais a presente un projet de loi de resilience qui transpose simultanement la directive NIS2, la directive REC sur la resilience des entites critiques, et le reglement DORA pour le secteur financier. Le texte definit :
- Les autorites nationales competentes (l'ANSSI pour NIS2).
- Les seuils precis et les modalites d'identification des entites concernees.
- Le bareme des sanctions et les pouvoirs de controle.
- Les modalites d'enregistrement et de notification.
Le calendrier d'adoption a connu plusieurs reports lies a des considerations politiques. La promulgation est attendue dans les prochains mois, avec une application effective courant 2025.
Le retard de transposition n'exempte pas les entites de leurs obligations. La Commission europeenne a engage des procedures d'infraction contre les Etats defaillants, mais les entites concernees doivent deja se preparer. Un controle de l'ANSSI peut intervenir des l'entree en vigueur du texte national, avec des sanctions retroactives sur l'absence de mesures.
Etat de la transposition dans les autres Etats membres
Au 17 octobre 2024, seule une minorite d'Etats avait transpose dans les delais. La Belgique, la Croatie, l'Italie et la Lituanie figuraient parmi les premiers. La majorite des autres Etats, dont l'Allemagne, l'Espagne et la France, finalisaient leurs textes au moment de l'echeance. La Commission europeenne a engage 19 procedures d'infraction en novembre 2024.
Les jalons cles a anticiper pour votre entreprise
- T+0 : verifier votre eligibilite et commencer l'analyse d'ecart (voir qui est concerne).
- T+1 mois : presenter le projet a la direction et obtenir un budget.
- T+3 mois : finaliser l'analyse d'ecart et le plan de remediation.
- T+6 mois : deployer les mesures prioritaires (MFA, sauvegardes, gouvernance).
- T+12 mois : finaliser les mesures structurelles (PCA, formation, supply chain).
- T+18 mois : premier audit interne et ajustements.
- T+24 mois : conformite cible atteinte, demarche d'amelioration continue.
Pour engager cette demarche, consultez notre methodologie complete de mise en conformite NIS2.