NIS2 : ce qui attend vraiment les sous-traitants industriels

Si vous êtes sous-traitant industriel, on vous a probablement déjà parlé de NIS2 — souvent avec un ton d’urgence, parfois avec des échéances précises. La réalité juridique est plus simple, et plus inconfortable : en France, le texte qui rendra ces obligations applicables n’est toujours pas voté.

Cela ne veut pas dire que le sujet peut attendre. Cela veut dire qu’il faut le prendre par le bon bout.

Où en est NIS2 en France : l’état réel du calendrier

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022. Elle fixait aux États membres une date limite de transposition : le 17 octobre 2024. La France ne l’a pas tenue.

Le véhicule choisi est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Son parcours :

• 15 octobre 2024 — présentation en Conseil des ministres ;
• 12 mars 2025 — adoption par le Sénat en première lecture ;
• 10 septembre 2025 — adoption d’un texte modifié par la commission spéciale de l’Assemblée nationale ;
• depuis, aucune inscription en séance publique, l’examen ayant été repoussé à plusieurs reprises.

Autrement dit : au 9 septembre 2026, la loi n’est ni adoptée définitivement ni promulguée. Les obligations françaises naîtront de ce texte et de ses décrets d’application — pas de la directive seule.

Ce qui est déjà là, en revanche, c’est l’outillage. L’ANSSI, désignée pour porter le sujet au niveau national, a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui décrit les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Elle met aussi à disposition un simulateur d’éligibilité, MonEspaceNIS2.

Sources : directive (UE) 2022/2555 (EUR-Lex) ; dossier législatif du projet de loi résilience (Assemblée nationale, Légifrance) ; FAQ et portail NIS2 de l’ANSSI (cyber.gouv.fr). État vérifié le 9 septembre 2026.

Pourquoi attendre la loi ne protège pas un sous-traitant

C’est le point que la plupart des articles manquent, et c’est celui qui vous concerne directement.

Une PME de rang 2 ou 3 n’attend pas d’être elle-même régulée pour subir l’exigence. Elle la reçoit par ses clients, sous une forme très concrète : un questionnaire de sécurité en amont d’un appel d’offres, une clause ajoutée au renouvellement d’un contrat-cadre, une demande d’engagement sur la localisation des données ou sur les délais de notification d’incident.

Les grands donneurs d’ordre qui se savent régulés se préparent depuis des mois. Sécuriser leur chaîne de fournisseurs fait partie de ce qu’ils doivent maîtriser — et la seule manière dont ils peuvent le faire, c’est de le demander à leurs fournisseurs. Contractuellement, pas réglementairement.

Conséquence pratique : la date qui vous concerne n’est pas celle de la promulgation, c’est celle de votre prochaine négociation commerciale. Elle est souvent plus proche.

Êtes-vous concerné ? Les deux questions à trancher

Le périmètre définitif dépendra de la loi et de ses décrets. Mais l’architecture, elle, est connue et ne devrait pas changer dans ses grandes lignes.

Première question : votre secteur. NIS2 élargit considérablement le champ de NIS1 — d’environ 6 secteurs à 18, et, en France, d’environ 500 entités régulées à près de 15 000. La fabrication de certains produits industriels, les services numériques, les transports, l’énergie et la gestion des déchets figurent parmi les domaines visés.

Seconde question : votre taille. La directive vise les entités à partir de la taille d’une entreprise moyenne — l’ordre de grandeur retenu étant de 50 salariés ou 10 millions d’euros. En dessous, une entreprise n’est en principe pas visée, sauf cas particuliers.

Les entités régulées se répartissent ensuite en deux catégories, essentielles et importantes, qui n’emportent ni les mêmes obligations ni les mêmes sanctions : jusqu’à 2 % du chiffre d’affaires annuel mondial pour les premières, 1,4 % pour les secondes.

Plutôt que d’interpréter ces critères seul, passez par le simulateur de l’ANSSI. Et notez le résultat quelque part : c’est la première pièce que demandera un auditeur.

Ce qu’on peut faire maintenant, sans attendre les décrets

L’erreur serait de lancer un chantier de conformité sur un texte qui n’existe pas encore. L’autre erreur serait de ne rien faire. Entre les deux, il y a un socle qui ne dépendra d’aucune rédaction finale.

1. Inventoriez. Quels systèmes portent réellement votre activité ? Si l’un d’eux s’arrête demain, que se passe-t-il ? La plupart des PME industrielles découvrent à ce stade que leur planning de charge et leur suivi des temps sont critiques, sans avoir jamais été traités comme tels.
2. Cartographiez les accès. Qui accède à quoi, avec quel niveau de droits, et que se passe-t-il quand quelqu’un quitte l’entreprise. Une réponse floue ici bloque un dossier plus sûrement qu’une absence de certification.
3. Listez vos prestataires et la localisation des données. C’est la question la plus fréquente des questionnaires de sécurité, et celle qui prend le plus de temps à reconstituer après coup.
4. Écrivez la procédure d’incident. Qui décide, qui prévient, dans quel délai. Deux pages suffisent au départ.
5. Lisez le ReCyF. Il vous donne la cible telle que l’ANSSI la formule, avant que la loi ne la rende opposable.

Aucun de ces cinq points ne vous coûte une licence logicielle. Tous seront demandés.

Le lien avec le pilotage opérationnel

Il n’est pas évident au premier regard, et il est pourtant direct.

Trois des questions ci-dessus — la criticité des systèmes de production, le cloisonnement des accès, la localisation des données — portent sur les outils qui font tourner l’atelier et le terrain : le planning, le suivi des temps, la traçabilité des interventions. Ce sont rarement les outils que l’on inspecte en premier, et ce sont ceux dont l’arrêt bloque la production le jour même.

C’est là que le choix d’un outil de pilotage cesse d’être une question de confort. Un éditeur capable de dire où résident les données, comment les accès sont cloisonnés et sous quelle forme vous pouvez récupérer vos données vous fait gagner des semaines dans un dossier. Un éditeur qui esquive ces questions vous en fait perdre autant.

Nous détaillons ce que recouvrent ces engagements sur notre page sécurité, et ce que la souveraineté signifie concrètement pour un éditeur français sur la page souveraineté.

En résumé

NIS2 n’est pas applicable en France aujourd’hui, et il faut le dire clairement plutôt que d’entretenir une urgence artificielle. La loi de transposition est en attente d’examen depuis septembre 2025.

Mais pour un sous-traitant, la question n’a jamais été de savoir quand la loi entrerait en vigueur. Elle est de savoir quand son principal client lui enverra son questionnaire de sécurité. Ce jour-là, ce qui comptera, ce n’est pas d’être conforme à un texte — c’est de pouvoir répondre précisément à des questions simples sur ses propres systèmes.

Ce travail-là peut commencer aujourd’hui, et il ne sera perdu dans aucun scénario.

Pour aller plus loin

Pour approfondir le sujet :

• Logiciel souverain : le guide complet — le guide de référence sur SecNumCloud, le RGPD et l’extraterritorialité.
• SecNumCloud est-il obligatoire pour un sous-traitant défense ? — ce que dit vraiment la réglementation sur l’hébergement.
• Défense et industrie sensible — les contraintes propres à cette chaîne de sous-traitance.
• Glossaire — les définitions des termes employés ici.
• Nous contacter — pour obtenir notre questionnaire de sécurité pré-rempli.

FAQ

La directive NIS2 est-elle applicable en France aujourd’hui ?

Non, pas encore. Au 9 septembre 2026, le projet de loi qui la transpose n’a pas été adopté définitivement ni promulgué. Les obligations françaises naîtront de cette loi et de ses décrets d’application, pas de la directive elle-même.

Pourquoi s’en préoccuper si la loi n’est pas votée ?

Parce que l’exigence n’arrive pas seulement par la loi. Les donneurs d’ordre qui se préparent répercutent leurs attentes par contrat, dans les questionnaires de sécurité et les clauses de leurs marchés, bien avant que le texte soit publié.

Comment savoir si mon entreprise sera concernée ?

Deux critères se combinent : appartenir à l’un des secteurs visés, et dépasser la taille d’une petite entreprise. L’ANSSI met à disposition un simulateur, MonEspaceNIS2, qui permet de tester son éligibilité. Le périmètre définitif sera fixé par la loi de transposition et ses décrets.

Quelles sanctions la directive prévoit-elle ?

Des amendes administratives pouvant atteindre 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 1,4 % pour les entités importantes. Les montants applicables en France seront précisés par la loi de transposition.

Par quoi commencer concrètement ?

Par un inventaire : quels systèmes portent votre activité, qui y accède, où sont hébergées les données et quels prestataires interviennent. C’est le socle de toute démarche, il ne dépend d’aucun texte, et il sera demandé quelle que soit la rédaction finale de la loi.