Le 6 octobre 2026, la conférence des présidents de l'Assemblée nationale a retiré la Loi Résilience de l'ordre du jour des séances des 7 et 9 octobre, sans fixer de nouvelle date (source : procès-verbal de la conférence des présidents de l'Assemblée nationale, 6 octobre 2026). Le texte, qui transpose en droit français la directive NIS2, la directive CER et les dispositions DORA pour les institutions financières, était attendu par des milliers d'entités depuis plus de deux ans. Ce troisième report ne déplace pas seulement un calendrier. Il prolonge un vide juridique dont les conséquences pratiques pour vos programmes de conformité sont immédiates.
Ce qui bloque la loi : l'article 16bis et la question du chiffrement
Le point d'achoppement est l'article 16bis, introduit par le Sénat lors de l'adoption du texte le 12 mars 2025. Cet article interdit d'imposer aux fournisseurs de solutions de chiffrement l'affaiblissement volontaire de leurs produits, que ce soit par l'insertion d'une clé maîtresse ou par tout autre mécanisme permettant un accès contourné. La Commission supérieure du numérique et des postes soutient cette rédaction. Une partie des services de renseignement, dont la DGSI, y voit un obstacle aux interceptions légales ciblées.
Ce débat n'est pas propre à la France. Il reproduit, à l'échelle nationale, une tension documentée au niveau européen entre la protection des communications et les prérogatives des forces de l'ordre. Ce qui est spécifique à la situation française, c'est que ce désaccord bloque la transposition d'une directive de cybersécurité dont l'échéance était fixée au 17 octobre 2024. Le rapporteur Éric Bothorel a déclaré espérer une réinscription du texte d'ici quinze à vingt jours (source : déclaration de presse, 6 octobre 2026). Aucune date n'est confirmée à ce jour.
Le statut juridique à ce jour
La directive NIS2 (règlement UE 2022/2555) est en vigueur dans l'Union européenne. Elle ne l'est pas en droit français. Les obligations qu'elle impose : gouvernance de la sécurité des systèmes d'information, notification d'incident dans les délais prescrits, sécurité de la chaîne d'approvisionnement numérique, ne sont pas encore opposables en France. Aucune entité ne peut aujourd'hui être sanctionnée sur le fondement du droit NIS2 par une autorité française, faute de texte de transposition adopté.
Cette situation ne dispense pas d'agir pour autant. Certaines obligations NIS2 recoupent des exigences déjà applicables en droit français : le RGPD pour les incidents impliquant des données personnelles, les référentiels sectoriels dans le domaine de la santé ou de l'énergie, les obligations contractuelles vis-à-vis des administrations publiques. Et l'ANSSI a publié le 7 septembre 2026 les fiches pratiques du Référentiel Cyber France (ReCyF) v2.5 sur MesServicesCyber. Ces documents traduisent les 20 objectifs du référentiel en actions concrètes et en pièces justificatives attendues. Ce n'est pas encore une obligation juridique : c'est le cadre que l'autorité de contrôle utilisera dès l'adoption de la loi. L'analyse de ce que ces fiches pratiques changent pour vos programmes est disponible dans notre article sur le ReCyF v2.5 et la mise en oeuvre NIS2.
Ce que la CJUE impose à la France
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour non-transposition de NIS2, avec une demande de sanctions financières (source : communiqué de la Commission européenne, 8 juillet 2026). Cette procédure suit une mise en demeure du 28 novembre 2024 et un avis motivé du 7 mai 2025. La France était l'un des quatre États membres renvoyés ce jour-là, avec l'Irlande, l'Espagne et les Pays-Bas.
La Cour peut imposer un montant forfaitaire et des astreintes journalières jusqu'à la notification complète d'une transposition. Les spécialistes du droit public européen évoquent des astreintes de plusieurs dizaines de milliers d'euros par jour. Chaque report du vote parlementaire prolonge la période d'exposition à ces sanctions potentielles. Pour comprendre les obligations qui s'appliqueront aux entités concernées dès la promulgation, notre analyse du renvoi devant la CJUE et ses conséquences pour les entités NIS2 détaille le périmètre attendu.
Ce que votre programme NIS2 doit faire dans ce vide
Prenons un exemple concret. Une collectivité territoriale de plus de 30 000 habitants sait qu'elle sera dans le périmètre NIS2 dès l'adoption de la loi. Depuis un an, son directeur des systèmes d'information attend le texte définitif pour soumettre le budget de mise en conformité. Résultat : aucune mesure supplémentaire, aucune formation des équipes, aucune révision contractuelle avec les prestataires informatiques. Ce report devient opérationnel dans six mois, quand la loi sera adoptée avec un délai de mise en conformité court et que le travail préparatoire n'aura pas été effectué.
Ce scénario est commun. L'incertitude juridique sert d'argument pour différer des dépenses de sécurité. C'est précisément l'inverse qui est rationnel.
Enregistrez votre organisation sur MesServicesCyber. L'ANSSI a ouvert ce portail pour permettre aux entités potentiellement concernées de se déclarer volontairement et d'accéder aux fiches pratiques ReCyF. Cet enregistrement n'est pas encore une obligation. Il vous donne accès aux ressources de préparation et établit une relation avec l'autorité compétente avant que la contrainte légale s'impose.
Réalisez un diagnostic d'écart sur le périmètre ReCyF. Le référentiel v2.5 est structuré en 20 objectifs répartis sur cinq domaines : gouvernance, identification, protection, défense, résilience. Pour chaque objectif, les fiches pratiques décrivent les preuves attendues. Un diagnostic de maturité sur ces 20 objectifs vous donne une mesure de l'effort restant et un plan de travail indépendant du calendrier législatif. Si la loi est adoptée prochainement, vous savez où vous en êtes. Si elle est reportée encore une fois, vous avez progressé.
Intégrez les clauses de sécurité chaîne d'approvisionnement dans vos contrats. L'article 21 de la directive NIS2 imposera aux entités concernées d'inclure des exigences de sécurité dans leurs relations avec les fournisseurs critiques. Anticiper la révision contractuelle avec vos prestataires informatiques les plus exposés, en particulier ceux ayant accès direct à vos systèmes, est une mesure que vous pouvez démarrer maintenant, avant que le délai de mise en conformité commence à courir. Pour aller plus loin, découvrez nos prestations d'accompagnement à la conformité NIS2.
Ce que le troisième report révèle
Le retrait de la Loi Résilience le 6 octobre n'est pas un incident de parcours isolé. Il révèle une tension structurelle entre deux légitimités : la protection des communications chiffrées, soutenue par l'ANSSI et les acteurs du numérique, et les prérogatives d'interception légale, défendues par les services de renseignement. Ce désaccord ne date pas d'octobre 2026. Il retarde le texte depuis la commission spéciale de l'Assemblée, et il a déjà provoqué deux reports précédents.
La question pour votre organisation n'est pas de savoir quand la loi sera adoptée. C'est de savoir si, quelle que soit la date, vous serez prêt à démontrer votre conformité dans les délais qui seront fixés. Un programme de préparation engagé maintenant sur la base du ReCyF vous place dans une position très différente d'un programme qui attend le texte définitif. Dans le premier cas, vous gérez un calendrier. Dans le second, vous gérez une urgence.