TL;DR — La loi Résilience transpose NIS2, REC et DORA en droit français. Son examen en séance publique est inscrit au 9 novembre 2026. Plus de 15 000 entités seront concernées. Le référentiel ReCyF de l’ANSSI fixe déjà les objectifs de sécurité. Gouvernance, inventaire des actifs, incidents et fournisseurs : les preuves se préparent maintenant.
La loi Résilience oblige votre DSI à prouver sa maîtrise du risque cyber. Pas à la déclarer : à la prouver. Ce texte transpose la directive NIS2 en droit français. Selon l’Assemblée nationale, sa discussion en séance publique est programmée au 9 novembre 2026. Pourtant, l’échéance européenne de transposition tombait le 17 octobre 2024. Deux ans de retard, donc.
Soyons clairs : ce retard n’a fait gagner de temps à personne. En effet, l’ANSSI a déjà publié son référentiel technique. Les objectifs de sécurité sont connus. Seule la date des premiers contrôles reste ouverte. Cet article détaille donc ce que la loi Résilience exigera, qui elle vise et comment constituer vos preuves.
La loi Résilience a connu un parcours parlementaire chaotique. Le texte a d’abord été déposé au Sénat le 15 octobre 2024 en procédure accélérée, puis adopté par le Sénat le 12 mars 2025. Ensuite, la commission spéciale de l’Assemblée a rendu son texte en septembre 2025. Depuis, il attendait la séance publique.
| Date | Étape de la loi Résilience |
|---|---|
| Dépôt au Sénat | |
| Adoption par le Sénat | |
| Texte de la commission spéciale (Assemblée) | |
| Publication du ReCyF par l’ANSSI | |
| Retrait de l’ordre du jour du 7 octobre | |
| Séance publique inscrite à l’Assemblée |
Le dernier report date du mois dernier. Le 6 octobre 2026, l’Assemblée a retiré le texte prévu pour le lendemain, sans fixer de nouvelle date. Entre-temps, la pression européenne s’est accrue. La France fait en effet l’objet d’une procédure d’infraction de l’UE, avec renvoi devant la Cour de justice.
Par ailleurs, le texte est plus large que NIS2. Il transpose trois directives européennes de décembre 2022 : REC, NIS2 et DORA. Un point a notamment cristallisé les débats. Le projet bute sur la sanctuarisation du chiffrement des données, prévue à l’article 16 bis. Après le vote, il faudra encore attendre les décrets d’application.
La loi Résilience change d’échelle le contrôle cyber en France. D’après Alliancy, le périmètre couvrira plus de 15 000 entités réparties dans 18 secteurs. L’ANSSI passera ainsi de 500 à 700 entités régulées à plus de 15 000 organisations.
La directive NIS2 distingue deux catégories :
Le secteur public n’y échappe pas. Le texte vise notamment des acteurs de la chaîne d’approvisionnement, des administrations centrales et 1 500 collectivités locales, dont 300 communes de plus de 30 000 habitants.
En pratique, le périmètre réel dépasse la liste officielle. Les fournisseurs de services managés (MSP) et de sécurité managée (MSSP) figurent eux-mêmes dans l’annexe I de la directive. De plus, NIS2 impose de sécuriser la chaîne d’approvisionnement. Autrement dit, une PME hors périmètre recevra quand même les exigences NIS2 de ses clients assujettis. Par contrat, et rarement avec un délai confortable.
Le ReCyF est la clé de lecture opérationnelle de la loi Résilience. L’ANSSI le diffuse depuis le 17 mars 2026 comme document de travail. Il correspond au référentiel visé à l’article 14 du projet de loi. Surtout, il n’est pas obligatoire par défaut, mais les entités qui l’appliquent pourront s’en prévaloir lors d’un contrôle de l’ANSSI.
Son architecture est simple. Selon Le Monde Informatique, il fixe 15 objectifs de sécurité pour toutes les entités, et 5 de plus pour les entités essentielles. Par ailleurs, il applique un principe de proportionnalité : l’effort attendu dépend de la maturité et des ressources de chaque entité.
L’ANSSI outille aussi la démarche. Elle propose un outil de comparaison entre le ReCyF et d’autres référentiels, normes ou réglementations existants. Une organisation certifiée ISO 27001 peut donc mesurer rapidement son écart. En complément, une collection de fiches « ReCyF en pratique », publiée le 7 septembre 2026, détaille les principales mesures de gestion des risques.
L’ANSSI outille aussi la démarche. Elle propose un outil de comparaison entre le ReCyF et d’autres référentiels, normes ou réglementations existants. Une organisation certifiée ISO 27001 peut donc mesurer rapidement son écart. En complément, une collection de fiches « ReCyF en pratique », publiée le 7 septembre 2026, détaille les principales mesures de gestion des risques.
Un contrôle NIS2 ne vérifie pas des intentions. Il vérifie des traces. L’article 21 de la directive liste les mesures de gestion des risques attendues. Voici leur traduction en preuves concrètes, et les briques IT qui les produisent.
| Exigence NIS2 (art. 21) | Preuve attendue | Brique IT qui la produit |
|---|---|---|
| Gouvernance et analyse de risques | Politique SSI validée par la direction, analyse de risques datée | GRC, comités documentés |
| Gestion des actifs | Inventaire à jour des actifs et des systèmes critiques | ITAM, CMDB |
| Gestion des incidents | Processus de détection, qualification et notification | ITSM, SOC |
| Continuité d’activité | Sauvegardes testées, PCA/PRA éprouvés | Rapports de tests de restauration |
| Chaîne d’approvisionnement | Évaluation des fournisseurs, clauses de sécurité | Registre fournisseurs, SAM |
| Contrôle d’accès | MFA, gestion des comptes à privilèges | IAM, revues de droits |
Le maillon faible est souvent le même. En pratique, le chantier le plus long n’est pas technique. C’est l’inventaire. Sans CMDB fiable, impossible de qualifier un incident en quelques heures. Impossible aussi de prouver que les actifs critiques sont protégés.
Or la notification d’incident ne laisse aucune marge. La directive impose une alerte précoce sous 24 heures. Elle exige ensuite une notification sous 72 heures, puis un rapport final sous un mois. Ces délais supposent un processus ITSM déjà rodé, pas improvisé en pleine crise.
Attendre la promulgation semble prudent. En réalité, c’est un pari perdant. Voici pourquoi.
D’abord, les délais projet sont incompressibles. Fiabiliser une CMDB prend des mois. Renégocier des contrats fournisseurs suit leur cycle de renouvellement. Former les équipes au processus de notification demande des exercices répétés.
Ensuite, la responsabilité remonte à la direction. L’article 20 de la directive engage les organes de direction. Ils approuvent les mesures de sécurité et en supervisent l’application. Ils doivent aussi suivre une formation. Le sujet sort donc du périmètre exclusif de la DSI.
Enfin, les sanctions sont dissuasives. Elles peuvent atteindre 2 % du chiffre d’affaires mondial pour les entités essentielles, et 1,4 % pour les entités importantes. Le montant final dépendra toutefois du texte adopté.
frenchweb
Un dernier piège guette : la conformité papier. Une politique SSI signée mais jamais appliquée ne résistera pas à un contrôle. L’ANSSI cherchera des preuves d’exécution. Des journaux, des tickets, des comptes rendus de tests.
Ce plan vise un objectif précis : être capable de démontrer sa trajectoire de conformité à la loi Résilience. Il ne remplace pas un programme complet. En revanche, il pose les fondations vérifiables.
Jours 1 à 30 : qualifier et gouverner
Jours 31 à 60 : inventorier et mesurer l’écart
Jours 61 à 90 : opérer et tester
À l’issue des 90 jours, la DSI dispose d’un dossier de preuves daté. C’est exactement ce qu’un contrôleur demandera en premier.
La loi Résilience n’invente presque rien. Elle rend opposables des pratiques que tout DSI connaît déjà. Inventaire, gestion des incidents, sauvegardes testées, maîtrise des fournisseurs. La différence tient en un mot : la preuve.
Les organisations qui partent maintenant auront un avantage net. Elles négocieront leurs contrats fournisseurs sereinement. Elles répondront aussi plus vite aux questionnaires NIS2 de leurs propres clients.