# NIS2 et la loi Résilience : la cybersécurité devient une obligation légale personnelle pour les dirigeants

## Contexte : une directive européenne née de la multiplication des cyberattaques

En décembre 2022, l'Union européenne adopte un paquet de trois textes destinés à renforcer la résilience de ses infrastructures critiques et numériques : la directive REC sur la résilience des entités critiques, le règlement DORA pour la résilience opérationnique numérique du secteur financier, et la directive (UE) 2022/2555, dite « NIS2 » (Network and Information Security 2), qui succède à la première directive NIS de 2016. Ce dernier texte part d'un constat simple : la directive NIS1 couvrait un périmètre trop restreint — essentiellement les grands opérateurs d'importance vitale — alors que les attaques par rançongiciel, les compromissions de chaîne d'approvisionnement logicielle et les intrusions visant des collectivités locales, des hôpitaux ou des PME sous-traitantes se multipliaient. NIS2 élargit donc considérablement le champ d'application : 18 secteurs d'activité sont désormais concernés (énergie, santé, transport, eau, gestion des déchets, administration publique, espace, fabrication de dispositifs médicaux, services numériques, et bien d'autres), avec deux catégories d'assujettis selon la taille et le secteur : les « entités essentielles » (EE, en général plus de 250 salariés ou plus de 50 M€ de chiffre d'affaires dans un secteur sensible) et les « entités importantes » (EI, seuils plus bas). En France, cela représenterait environ 15 000 entités, contre quelques centaines d'opérateurs d'importance vitale sous le régime précédent.

Les États membres devaient transposer NIS2 en droit national avant le 17 octobre 2024. La France a pris du retard : au 1er janvier 2026, 20 des 27 États membres avaient déjà achevé leur transposition. Le véhicule législatif français est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « PJL Résilience » (texte n° 33, 2024-2025), qui transpose en un seul texte les trois directives REC, NIS2 et DORA. Déposé au Sénat le 15 octobre 2024, il y a été adopté en première lecture le 12 mars 2025, sous la défense de la ministre déléguée chargée de l'intelligence artificielle et du numérique, Clara Chappaz. Le texte a ensuite été examiné en commission spéciale à l'Assemblée nationale, qui l'a adopté à l'unanimité le 9 septembre 2025. Son examen en séance publique à l'Assemblée est attendu en juillet 2026, sous réserve d'une session extraordinaire, avec une promulgation espérée à l'été 2026.

## Ce que NIS2 change concrètement pour la sécurité

L'article 21 de la directive impose dix catégories de mesures minimales de gestion des risques cyber : politiques d'analyse de risques, gestion des incidents, plans de continuité d'activité et de reprise après sinistre, sécurité de la chaîne d'approvisionnement (y compris les relations avec les fournisseurs et prestataires), sécurité de l'acquisition et du développement des systèmes, politiques d'évaluation de l'efficacité des mesures (ce qui recouvre en pratique les audits de sécurité et les tests d'intrusion pour les entités essentielles), pratiques d'hygiène informatique de base et formation, politiques de cryptographie et de chiffrement, sécurité des ressources humaines et contrôle d'accès, et enfin usage de solutions d'authentification multifacteurs ou continue.

L'article 23 impose un régime de notification des incidents significatifs à l'autorité compétente — en France, l'ANSSI — en plusieurs étapes : une alerte précoce sous 24 heures après la prise de connaissance de l'incident, une notification détaillée sous 72 heures, et un rapport final dans un délai d'un mois. Ce n'est pas une option procédurale : l'absence de notification est sanctionnable indépendamment de la gravité de l'incident lui-même.

Sur le plan des sanctions, les articles 32 et 33 de la directive fixent des planchers que les États membres doivent au moins garantir : jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé étant retenu) pour une entité essentielle, et jusqu'à 7 M€ ou 1,4 % pour une entité importante. La transposition française peut aller au-delà de ces planchers. Mais la rupture la plus significative par rapport au régime antérieur tient à l'article 20, qui impose aux organes de direction d'approuver eux-mêmes les mesures de gestion des risques, de suivre des formations dédiées et de superviser activement leur mise en œuvre — et à l'article 32(5), qui prévoit, en cas de manquement grave d'une entité essentielle, des mesures directement applicables aux personnes physiques responsables : suspension temporaire de l'exercice de fonctions dirigeantes, et publication de la décision de sanction avec identification nominative du responsable. Un directeur général d'un opérateur d'énergie ou d'un établissement de santé non conforme peut ainsi, concrètement, se voir temporairement interdire de diriger son entreprise, et voir son nom rendu public dans la décision de sanction.

## Le cas concret : l'adoption du 9 septembre 2025 et l'amendement anti-porte dérobée

Le cas le plus tangible et le plus récent de ce dossier n'est pas encore une décision de justice — le texte n'est pas promulgué — mais un événement législatif daté et vérifiable : l'adoption à l'unanimité, en commission spéciale de l'Assemblée nationale, le 9 septembre 2025, du projet de loi Résilience. Le président de cette commission, le député Philippe Latombe, a fait adopter un amendement élargissant l'article 16 bis du texte. Celui-ci interdit désormais aux fournisseurs de services de chiffrement, y compris les prestataires de services de confiance qualifiés, l'intégration de « clés de déchiffrement maîtresses » ou de tout autre « processus » permettant un accès non consenti aux données protégées. Autrement dit, la commission a choisi de sanctuariser le chiffrement de bout en bout dans le même texte qui, par ailleurs, muscle très sensiblement les obligations de cybersécurité imposées aux entreprises. Ce point de blocage n'est pas anodin : plusieurs observateurs relèvent qu'il contrarierait les services de renseignement intérieur, qui auraient souhaité conserver une marge de manœuvre sur l'accès aux communications chiffrées — un débat qui, en France, avait déjà resurgi lors de l'examen de la loi « narcotrafic », où un amendement de porte dérobée avait finalement été retiré avant le vote.

Le calendrier parlementaire, déjà chargé (textes budgétaires, projet de loi sur l'IA et les données, suspension des travaux pour les élections municipales de mars 2026), explique en partie le retard pris par la France par rapport à ses partenaires européens sur la transposition de NIS2. L'examen en séance publique à l'Assemblée nationale, désormais annoncé pour juillet 2026, sera l'occasion de vérifier si l'article 16 bis résiste aux débats en hémicycle, et si le régime de sanctions personnelles des dirigeants est conservé ou modifié par rapport au texte de la commission.

## Pourquoi cette évolution compte pour un professionnel de la sécurité

Pour un chercheur en cybersécurité ou un consultant en automatisation offensive, NIS2 change la nature même de la relation entre sécurité technique et droit : ce n'est plus seulement l'entreprise cliente qui est exposée, mais potentiellement son dirigeant à titre personnel, ce qui change radicalement l'écoute d'un comité de direction face à un rapport d'audit ou de test d'intrusion. Les dix catégories de mesures de l'article 21 offrent par ailleurs une grille de lecture directement actionnable pour structurer une offre d'audit de conformité : gestion des risques, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, authentification forte, tests d'intrusion documentés. Le Référentiel Cyber France (ReCyF), publié par l'ANSSI le 17 mars 2026 dans sa version 2.5, donne une déclinaison très concrète et outillée de ces objectifs de sécurité, non obligatoire à ce stade mais opposable en cas de contrôle si l'entité choisit de s'y référer.

Enfin, l'article 16 bis s'inscrit dans une trajectoire plus large de la jurisprudence et de la loi françaises et européennes sur le chiffrement : la Cour européenne des droits de l'homme avait déjà jugé, dans l'arrêt Podchasov c. Russie du 13 février 2024, qu'il n'existe pas de porte dérobée « ciblée » sans affaiblir la sécurité de tous les utilisateurs ; le Conseil constitutionnel avait, le 12 juin 2025, censuré l'extension non ciblée des « boîtes noires » du renseignement dans la loi narcotrafic, après le retrait d'un amendement de porte dérobée sur les messageries chiffrées. L'article 16 bis du PJL Résilience vient ainsi consolider, au niveau législatif cette fois et non plus seulement jurisprudentiel, une ligne rouge déjà tracée par les juges.

## Sources

- [ANSSI — La directive NIS 2](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/)
- [EUR-Lex — Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), texte consolidé](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555)
- [Sénat — Dossier législatif, PJL n° 33 (2024-2025) relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité](https://www.senat.fr/dossier-legislatif/pjl24-033.html)
- [Entropy avocats — Projet de loi résilience (NIS2, Dora, REC) : adoption en commission et chiffrement renforcé, 9 septembre 2025](https://www.entropy.law/articles/projet-de-loi-resilience-nis2-dora-rec-adoption-en-commission-et-chiffrement-renforce)
- [NIS2facile — Sanctions NIS2 dirigeants et amendes PME 2026](https://nis2facile.fr/blog/sanctions-nis2-dirigeant)

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisis l'angle qui correspond le mieux à ce que tu veux explorer aujourd'hui — chacun peut être collé tel quel dans le champ de personnalisation de NotebookLM.

**Angle 1 — Audit offensif et points de contrôle techniques.** Concentre-toi sur les dix catégories de mesures de l'article 21 de NIS2 (gestion des risques, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, MFA, tests d'intrusion) comme grille d'audit concrète : pour chaque catégorie, identifie les preuves techniques qu'un pentester ou un auditeur devrait pouvoir produire pour démontrer la conformité d'une entité essentielle ou importante face à un contrôle de l'ANSSI.

**Angle 2 — Architecture de la notification d'incident sous 24h/72h.** Explore le pipeline technique et organisationnel qu'une entité essentielle doit mettre en place pour respecter les délais de l'article 23 (alerte précoce à 24h, notification détaillée à 72h, rapport final à un mois) : détection, qualification de la significativité de l'incident, chaîne de décision interne, et interface avec l'ANSSI via MonEspaceNIS2.

**Angle 3 — Comparaison avec les régimes de sanction déjà traités dans le dépôt.** Mets en regard le régime de sanctions de NIS2 (jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial, plus la responsabilité personnelle des dirigeants) avec la sanction CNIL de 42 M€ infligée à Free et Free Mobile pour manquement à l'article 32 du RGPD (8 janvier 2026, déjà traité dans ce dépôt) : montre en quoi ces deux logiques de sanction — protection des données personnelles d'un côté, résilience des systèmes d'information de l'autre — se recoupent ou diffèrent dans leur application à un même incident de sécurité.

**Angle 4 — Prospective réglementaire et contentieuse sur l'article 16 bis.** Explore ce qui pourrait se passer lors de l'examen en séance publique à l'Assemblée nationale en juillet 2026 : l'article 16 bis interdisant les portes dérobées de chiffrement survivra-t-il aux débats, en s'appuyant sur les précédents déjà tranchés dans ce dépôt (arrêt Podchasov c. Russie de la CEDH, censure des boîtes noires du narcotrafic par le Conseil constitutionnel) pour évaluer la solidité juridique de cette disposition face à d'éventuelles pressions sécuritaires.

**Angle 5 — Construire une veille réglementaire automatisée sur NIS2.** Réfléchis à la conception d'un pipeline de veille automatisée suivant l'avancement du PJL Résilience (calendrier parlementaire, amendements, publication au Journal officiel), les mises à jour du Référentiel Cyber France par l'ANSSI, et les premières décisions de sanction NIS2 une fois le texte promulgué — avec alerting structuré pour un cabinet de conseil en sécurité offensive devant anticiper les obligations de ses clients.