Le 23 septembre 2026, Next.ink publie un brief confirmant l'inscription de la Loi Résilience à l'ordre du jour de l'Assemblée nationale pour le mercredi 7 octobre 2026 (source : Next.ink, 23 septembre 2026). Le texte transpose trois directives européennes : NIS2, la directive REC sur la résilience des entités critiques, et les dispositions DORA pour le secteur financier. Il a attendu dix-huit mois en commission depuis son adoption par le Sénat en mars 2025.
Ce que ce texte transpose
La Loi Résilience ne couvre pas NIS2 seule. Elle intègre simultanément la transposition de la directive REC et des obligations DORA pour les acteurs du secteur financier. Ce périmètre élargi explique en partie la durée des travaux parlementaires.
Pour NIS2 seul, environ 15 000 entités françaises entrent dans le champ d'application de la directive (source : ANSSI, mars 2026). Ces organisations, réparties dans dix-huit secteurs d'activité, ont des obligations actives depuis octobre 2024. La France n'a pas respecté l'échéance. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne d'un renvoi en infraction, incluant la possibilité de sanctions financières journalières jusqu'à notification complète de la transposition.
Ce qui peut encore changer
Une deuxième lecture peut modifier le texte. Trois points concentrent les attentes des parties prenantes.
L'article 16 bis en premier lieu. Introduit au Sénat, il interdit d'imposer aux fournisseurs de services de chiffrement l'intégration de mécanismes permettant un accès non consenti aux données. Ce dispositif cristallise le débat entre protection des données et accès judiciaire. Les débats à l'Assemblée rouvriront ce point.
Les seuils de classification ensuite. Certains secteurs ont demandé des ajustements sur les critères définissant les entités importantes et essentielles. Des amendements sectoriels sont attendus.
Les délais d'entrée en vigueur enfin. Plusieurs fédérations ont plaidé pour une mise en conformité progressive selon la taille des organisations. Des dispositions de calendrier différencié pourraient être introduites.
Ce qui ne peut pas changer, en revanche : les obligations fondamentales définies par la directive elle-même. Gestion des risques, notification des incidents, sécurité de la chaîne d'approvisionnement, gouvernance : ces exigences sont figées au niveau européen. Aucun amendement national n'en réduira le périmètre sans créer une nouvelle infraction au droit de l'Union.
L'erreur à éviter : attendre le texte final
L'adoption de la Loi Résilience crée une tentation. Attendre le texte publié au Journal officiel avant d'ajuster le programme. Cette logique est une erreur pour trois raisons précises.
Première raison : la directive est applicable depuis octobre 2024. En France, l'absence de loi nationale ne crée pas d'immunité. La saisine de la CJUE le confirme : les obligations européennes existent indépendamment de la transposition nationale. Une organisation qui n'a pas engagé de programme en 2026 ne plaidera pas la nouveauté du cadre légal lors d'un contrôle en 2027.
Deuxième raison : les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles. Ces montants s'appliquent à des manquements constatés et documentés. Les premières décisions européennes montrent que les autorités documentent la persistance des lacunes dans le temps : une défaillance identifiée en 2026 et non corrigée devient un élément à charge plus lourd en 2027.
Troisième raison : la durée réelle d'un programme NIS2 structuré est de six à neuf mois. Les organisations qui attendent la publication pour démarrer seront en retard structural dès les premières campagnes de contrôle de l'ANSSI.
Ce que ces douze jours permettent de finaliser
Entre le 25 septembre et le 7 octobre, quatre actions concrètes n'attendent pas le texte final.
La déclaration d'assujettissement à l'ANSSI est le prérequis à tout contrôle. Si ce formulaire n'est pas soumis, c'est le premier point à traiter. Le portail MonEspaceNIS2 de l'ANSSI est en ligne depuis mars 2026.
L'analyse de risques alignée sur le ReCyF v2.5 est le second. Le référentiel publié par l'ANSSI en mars 2026 détaille les fiches pratiques opposables lors d'un contrôle. Les organisations qui ont travaillé sur d'autres référentiels doivent vérifier la correspondance.
Le plan de notification est le troisième. Les pièges opérationnels de la notification d'incident en 24 heures sont identiques que la loi soit publiée ou non. Un playbook simulé vaut plus qu'une procédure théorique non testée.
La contractualisation avec les fournisseurs ICT critiques est le quatrième. NIS2 exige des clauses spécifiques dans les contrats avec les prestataires exposés à vos systèmes essentiels. Ce travail ne dépend pas du texte final.
Ce que l'adoption changera
Une fois le texte publié, l'ANSSI disposera des instruments légaux pour ouvrir des procédures formelles de mise en demeure et imposer des mesures contraignantes. Les délais et conditions seront précisés par décret. Le mécanisme REACTIV, expérimenté sur les ministères depuis 2025, a vocation à s'étendre aux entités assujetties une fois la loi en vigueur.
L'adoption changera également la position des assureurs. Plusieurs contrats cyber conditionnent leur renouvellement à une conformité NIS2 attestée. Ce critère deviendra auditable dès publication du cadre légal stabilisé. Les organisations qui ne peuvent pas produire de documentation de conformité verront leurs conditions de couverture se dégrader.
La question qui fixe les priorités
Est-ce que votre programme NIS2 pourrait passer un contrôle documentaire aujourd'hui ? Pas dans six mois : aujourd'hui. Déclaration d'assujettissement soumise, analyse de risques tracée, plan de notification testé, fournisseurs contractualisés. Si la réponse à l'un de ces quatre points est non, le 7 octobre n'est pas une bonne nouvelle. C'est un signal que les semaines à venir exigent une mise en priorité claire et une exécution sans attendre.