Calendrier de la directive NIS2 : toutes les dates cles
De l'adoption europeenne aux echeances de mise en conformité, voici la chronologie complete de la directive NIS2, l'état de la transposition en France et les jalons a venir pour les entités concernees.
L'ANSSI a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026, structuré en 4 piliers : Gouvernance, Protection, Défense, Résilience. La loi Résilience (transposition NIS2) sera examinée en hémicycle en juillet 2026. La plateforme MonEspaceNIS2 est ouverte au pré-enregistrement des entités.
La chronologie de NIS2
La Commission présente sa proposition de directive NIS2 dans le cadre de sa strategie cyber globale. Le texte vise a corriger les limites de NIS1 en elargissant le périmètre et en harmonisant les obligations.
Adoption du texte en seance pleniere a Strasbourg avec une large majorite.
Le Conseil de l'Union europeenne adopte définitivement la directive (UE) 2022/2555.
La directive est publiée au JOUE, declenchant le compte a rebours pour la transposition.
Demarrage du délai de transposition de 21 mois pour les États membres.
Echeance fixee aux 27 États membres pour publiér leurs textes nationaux. Plusieurs États, dont la France, ont pris du retard.
Date à partir de laquelle les obligations s'appliquent dans les États ayant transpose dans les délais. Les autres restent soumis a procédure d'infraction.
Examen en hémicycle de la loi Résilience prévu en juillet 2026. Enregistrement des entités aupres de l'ANSSI, demarrage des contrôles, premières injonctions.
Date butoir indicative pour l'enregistrement des entités essentielles et importantes aupres de leurs autorites nationales.
La Commission devra remettre un rapport d'évaluation au Parlement europeen et proposer eventuellement des amendements.
État de la transposition en France
Le gouvernement français a présente un projet de loi de résilience qui transpose simultanement la directive NIS2, la directive REC sur la résilience des entités critiques, et le reglement DORA pour le secteur financier. Le texte définit :
- Les autorites nationales competentes (l'ANSSI pour NIS2).
- Les seuils precis et les modalites d'identification des entités concernees.
- Le bareme des sanctions et les pouvoirs de contrôle.
- Les modalites d'enregistrement et de notification.
Le calendrier d'adoption a connu plusieurs reports lies à des considerations politiques. La promulgation est attendue dans les prochains mois, avec une application effective courant 2025.
Le retard de transposition n'exempte pas les entités de leurs obligations. La Commission europeenne a engage des procédures d'infraction contre les États defaillants, mais les entités concernees doivent déjà se préparer. Un contrôle de l'ANSSI peut intervenir des l'entree en vigueur du texte national, avec des sanctions retroactives sur l'absence de mesures.
État de la transposition dans les autres États membres
Au 17 octobre 2024, seule une minorite d'États avait transpose dans les délais. La Belgique, la Croatie, l'Italie et la Lituanie figuraient parmi les premiers. La majorite des autres États, dont l'Allemagne, l'Espagne et la France, finalisaient leurs textes au moment de l'echeance. La Commission europeenne a engage 19 procédures d'infraction en novembre 2024.
Les jalons cles a anticiper pour votre entreprise
- T+0 : vérifier votre éligibilité et commencer l'analyse d'écart (voir qui est concerne).
- T+1 mois : présenter le projet à la direction et obtenir un budget.
- T+3 mois : finaliser l'analyse d'écart et le plan de remediation.
- T+6 mois : déployér les mesures prioritaires (MFA, sauvegardes, gouvernance).
- T+12 mois : finaliser les mesures structurelles (PCA, formation, supply chain).
- T+18 mois : premier audit interne et ajustements.
- T+24 mois : conformité cible atteinte, démarche d'amelioration continue.
Pour engager cette démarche, consultez notre méthodologie complete de mise en conformité NIS2.