Brief — Ransomware raté, PDG interdit de gérer : la loi NIS2 arrive cet été en France
Thème : droit du numérique — cybersécurité (NIS2, loi Résilience)
La directive (UE) 2022/2555 dite « NIS2 » impose à environ 15 000 entités françaises (18 secteurs d'activité) des mesures minimales de cybersécurité — authentification forte, chiffrement, audits et tests d'intrusion pour les entités essentielles — sous peine d'amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires mondial, et engage pour la première fois la responsabilité personnelle des dirigeants (suspension temporaire de fonctions, publication nominative). Sa transposition française, le projet de loi « Résilience » porté par la ministre Clara Chappaz, a été adoptée à l'unanimité en commission spéciale le 9 septembre 2025 ; son président Philippe Latombe y a fait ajouter l'article 16 bis, qui interdit toute porte dérobée dans le chiffrement. L'examen en séance publique à l'Assemblée nationale est attendu en juillet 2026, pour une promulgation visée à l'été — alors que 20 États membres sur 27 avaient déjà transposé la directive au 1er janvier 2026.
Sources
- ANSSI — La directive NIS 2
- Sénat — Résilience des infrastructures critiques et renforcement de la cybersécurité (dossier législatif, PJL n° 33, 2024-2025)
- Entropy avocats — Projet de loi résilience (NIS2, Dora, REC) : adoption en commission et chiffrement renforcé (9 septembre 2025)
- EUR-Lex — Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2)