NIS 2 : mon entreprise est-elle concernée avant le vote ?

Cela dépend du secteur et de la taille. Une entreprise est visée si son activité figure dans la directive NIS 2 et si ses effectifs ou ses chiffres atteignent certains seuils. Le texte français n’était pas voté à la date des sources consultées.

Nous séparons ici ce qui est établi, ce qui dépend de votre situation et ce qu’il faut vérifier avec votre avocat, votre prestataire et vos clients. Blink conçoit des automatisations et des applications sur mesure, mais ne délivre aucune attestation de conformité. Ce texte ne remplace pas une qualification juridique.

Le texte est-il déjà en vigueur en France ?

Non, pas à la date des sources consultées. Le projet de loi a été adopté par le Sénat le 12 mars 2025 et devait être discuté en séance à l’Assemblée nationale le 7 octobre 2026, selon l’analyse de Maître Reda Kohen. La directive, elle, fixait au 17 octobre 2024 la date limite de transposition.

Les sources ne concordent pas sur le calendrier. Le guide d’AdevWeb indique qu’aucune date n’était publiée au 16 septembre 2026 pour l’examen du texte. Un suivi en anglais de la transposition constate, lui, qu’aucun régime national n’était opérationnel au 6 août 2026.

Passer en séance ne suffit pas. Le texte doit encore être voté, promulgué et publié au Journal officiel. Vérifiez donc le dossier législatif de l’Assemblée nationale, puis le Journal officiel, plutôt que de vous fier à un calendrier de presse.

Quelles entreprises sont visées par la taille et le secteur ?

Une entreprise entre dans le périmètre si son activité relève de l’un des 18 secteurs listés et si elle atteint certains seuils, selon le guide de YMHB Web. Certaines activités sont visées sans condition de taille, par exemple les prestataires de services de confiance ou les fournisseurs de services DNS.

Pour les entités importantes, le guide retient un effectif d’au moins 50 personnes, ou un chiffre d’affaires et un bilan supérieurs à 10 M€. Pour les entités essentielles, le seuil d’effectif monte à 250 personnes, avec des montants annuels au-delà de 50 M€ de chiffre d’affaires et de 43 M€ de bilan. Les deux critères se lisent ensemble : ni le seul effectif ni le seul secteur ne tranchent.

L’ANSSI propose un simulateur en ligne sur MesServicesCyber pour faire ce premier tri. Dès demain, notez votre activité principale, votre effectif, votre chiffre d’affaires et votre bilan, puis comparez-les à la liste des secteurs. Ne concluez pas trop vite que vous êtes hors champ parce que vous êtes petit : une entreprise industrielle ou de transport de 50 personnes peut entrer dans le champ.

Mes clients peuvent-ils exiger des garanties avant le vote ?

Oui, et cette demande passe par le contrat, sans attendre le vote. Le guide de YMHB Web indique que les fournisseurs informatiques de ces entités, même modestes, devront s’engager par écrit sur la sécurité de leur prestation et la notification des incidents.

Pour un éditeur ou un infogérant, ces engagements se traduisent par des points précis : accès personnels, double authentification et suppression des accès à la fin d’une mission. Il faut y ajouter la liste des hébergeurs et services tiers, avec leur localisation. Chez Blink, la question « où vont les données ? » se pose avant la première ligne de code : services utilisés, lieux d’hébergement et conditions se vérifient projet par projet.

Une clause de sécurité inscrite au contrat peut valoir obligation contractuelle, même si NIS 2 n’est pas transposée, comme le montre cette analyse juridique. Une attestation de conformité à un texte non voté ne vaut pas grand-chose : demandez à votre client quel texte précis il vise.

Quelles obligations existent déjà, sans attendre le vote ?

Plusieurs obligations ne dépendent pas du texte en préparation. Selon cette analyse juridique, les règles déjà écrites dans le code de la défense et le code pénal continuent de s’appliquer dans leur champ propre.

Le code de la défense vise d’abord des établissements, installations ou ouvrages désignés par l’autorité administrative. Une entreprise qui participe aux systèmes d’un opérateur déjà désigné peut aussi être concernée, sans avoir reçu elle-même de désignation.

Un opérateur désigné doit prévenir le Premier ministre sans délai des incidents touchant le fonctionnement ou la sécurité de ses systèmes. Ce point ne dépend pas du vote, car il découle d’une obligation déjà écrite pour le champ concerné.

Pour les données personnelles, le code pénal ne subordonne pas la répression de ces traitements à la loi NIS 2. Subir une intrusion ne suffit pas à établir une faute, mais l’entreprise devra montrer les mesures qu’elle avait mises en place. Dressez donc la liste de vos traitements et des systèmes qui les portent, puis écrivez qui alerte qui en cas d’incident.

Que faire dès cette semaine, sans attendre le vote ?

Commencez par des actions qui ne dépendent pas du Journal officiel. Elles servent quel que soit le calendrier, et elles préparent les demandes de vos clients.

• qualifiez votre situation à partir de votre secteur, de votre effectif et de vos chiffres ;
• listez vos prestataires, leurs accès et leurs hébergeurs ;
• demandez à votre conseil juridique si une désignation ou un contrat vous concerne déjà ;
• désignez une personne de la direction qui valide tout engagement envoyé au client.

Si aucune notification ne vous est parvenue, le guide d’AdevWeb rappelle qu’il revient à l’entreprise de s’auto-déclarer. Une décision qui engage l’entreprise, comme une déclaration, une attestation ou un engagement envoyé au client, reste validée par une personne désignée. L’automatisation peut préparer le dossier et rassembler les pièces, mais elle ne signe rien et ne décide pas de votre conformité.

Quelle étape prendre avant toute discussion de conformité ?

Commencez par cartographier vos flux, vos données et vos accès avant de parler de conformité. Un audit de processus montre où circulent les informations entre vos outils et vos prestataires, et quelles étapes restent sous la responsabilité d’une personne.

Blink peut vous aider à cadrer l’audit de processus, en complément de votre avocat et de votre prestataire, sans se substituer à eux. Pour préparer l’échange, réunissez la liste de vos logiciels, de vos prestataires et de vos traitements de données personnelles.