NIS2, Cyber Resilience Act, Référentiel Cyber France (ReCyF) : trois textes souvent cités ensemble, mais de nature très différente. L’un est une directive européenne que la France n’a toujours pas transposée, l’autre un règlement européen déjà partiellement applicable, le troisième un référentiel de l’ANSSI. Résultat : beaucoup de dirigeants ne savent plus ce qui est obligatoire, pour qui, et à partir de quand. Point de situation au 24 octobre 2026.
L’essentiel en 30 secondes
- NIS2 : obligations de sécurité pour plus de 15 000 entités en France, mais la loi de transposition n’est pas encore adoptée ; son examen à l’Assemblée a été retiré de l’ordre du jour le 6 octobre 2026, sans nouvelle date. Tant qu’elle n’est pas votée, NIS2 ne s’applique pas en droit français.
- Cyber Resilience Act (CRA) : règlement directement applicable aux fabricants de produits numériques ; les obligations de signalement s’appliquent depuis le 11 septembre 2026, l’ensemble au 11 décembre 2027.
- ReCyF : référentiel de mesures de l’ANSSI (version 2.5 de mars 2026), proposé pour répondre aux futures exigences de NIS2. C’est une recommandation aujourd’hui, et une excellente feuille de route pour tous.
Trois textes, trois natures
| NIS2 | Cyber Resilience Act | ReCyF | |
|---|---|---|---|
| Nature | Directive européenne (UE) 2022/2555, à transposer | Règlement européen (UE) 2024/2847, directement applicable | Référentiel de l’ANSSI |
| Qui est visé | Entités essentielles et importantes de 18 secteurs, y compris de nombreuses collectivités | Fabricants, importateurs et distributeurs de produits comportant des éléments numériques | Les entités NIS2, et toute organisation qui veut un cadre structuré |
| Objet | Sécurité de l’organisation : gouvernance, mesures, signalement des incidents | Sécurité des produits : conception, vulnérabilités, mises à jour, SBOM | Mesures concrètes de sécurité organisées en objectifs |
| Statut en France | Projet de loi Résilience adopté au Sénat en mars 2025, en attente à l’Assemblée | En vigueur ; signalements depuis le 11 septembre 2026 ; application complète le 11 décembre 2027 | Version 2.5 publiée le 17 mars 2026 |
| Sanctions | Jusqu’à 10 M€ ou 2 % du CA mondial (entités essentielles), 7 M€ ou 1,4 % (entités importantes) | Jusqu’à 15 M€ ou 2,5 % du CA mondial | Aucune en soi |
NIS2 : où en est la France ?
La directive devait être transposée avant le 17 octobre 2024. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat en octobre 2024 et adopté par celui-ci le 12 mars 2025, transpose aussi les directives REC et DORA. La commission spéciale de l’Assemblée nationale a adopté son texte en septembre 2025, mais l’examen en séance a été plusieurs fois reporté. Programmé les 7 et 9 octobre 2026, il a été retiré de l’ordre du jour le 6 octobre ; le rapporteur espérait une réinscription sous quelques semaines. Le principal point de blocage politique porte sur un article ajouté au Sénat interdisant d’imposer des « portes dérobées » aux services de chiffrement. La Commission européenne a par ailleurs engagé une procédure devant la Cour de justice de l’Union européenne pour défaut de transposition.
Selon la Commission supérieure du numérique et des postes, plus de 15 000 entités seraient concernées, dont près de 1 000 intercommunalités et 300 communes de plus de 30 000 habitants. Pour savoir si vous l’êtes, l’ANSSI propose le service en ligne MonEspaceNIS2. Voir aussi NIS2 : suis-je concerné ?
Le CRA : déjà là pour les fabricants
Si vous concevez ou vendez un produit comportant du logiciel (objet connecté, logiciel installé, équipement réseau, application), le CRA vous concerne directement :
- depuis le 11 septembre 2026 : signalement des vulnérabilités activement exploitées et des incidents graves via la plateforme unique de l’ENISA, avec alerte précoce sous 24 heures, notification sous 72 heures et rapport final (le CSIRT national, en France le CERT-FR, est destinataire) ;
- au 11 décembre 2027 : exigences essentielles de sécurité, gestion des vulnérabilités, mises à jour pendant la durée de support, documentation technique avec SBOM, marquage CE.
Si vous êtes seulement utilisateur de ces produits, le CRA joue en votre faveur : il impose aux fabricants des mises à jour de sécurité pendant une durée de support définie. Détails dans le Cyber Resilience Act pour les entreprises françaises.
ReCyF : la feuille de route
Le Référentiel Cyber France structure les mesures attendues en objectifs : 15 objectifs pour les entités importantes, auxquels s’ajoutent 5 objectifs pour les entités essentielles. Il couvre la gouvernance, la cartographie, la gestion des accès, la protection, la détection, la réponse aux incidents et la continuité. Même si votre organisation n’est pas concernée par NIS2, il constitue un excellent cadre pour bâtir un plan d’action, et vos clients soumis à NIS2 vous demanderont probablement des garanties comparables au titre de leur chaîne d’approvisionnement.
Obligation ou recommandation : que faire maintenant ?
| Votre situation | Statut juridique aujourd’hui | Action recommandée |
|---|---|---|
| Fabricant ou éditeur de produit numérique | CRA obligatoire (signalements déjà applicables) | Processus de gestion et de signalement des vulnérabilités, SBOM, plan pour décembre 2027 |
| Entité probablement visée par NIS2 | Pas encore d’obligation légale en France | Vérifier son statut, désigner un responsable, démarrer le ReCyF, préparer le processus de signalement |
| PME fournisseur d’entités NIS2 | Exigences contractuelles probables | S’aligner sur les mesures essentielles et documenter |
| TPE, association, petite commune | Ni NIS2 ni CRA en général | Appliquer le socle d’hygiène (voir les 12 mesures prioritaires et le plan sur 90 jours) |
Dans tous les cas, deux obligations s’appliquent déjà : la sécurité des données personnelles et la notification des violations à la CNIL sous 72 heures prévues par le RGPD.
Questions fréquentes
Faut-il attendre la loi pour agir ?
Non. Les mesures attendues sont connues, et elles répondent à des risques réels. Attendre, c’est se priver de mois de préparation et rester exposé.
Le ReCyF deviendra-t-il obligatoire ?
Ce sont la loi et ses décrets d’application qui fixeront les obligations. Le ReCyF est présenté par l’ANSSI comme le moyen d’y répondre ; l’appliquer dès maintenant est donc un investissement sûr.
Une entreprise de services cloud est-elle concernée par le CRA ?
Le CRA vise les produits ; les services purement en ligne relèvent plutôt de NIS2. Un logiciel installé chez le client ou un produit connecté y entre en revanche.
Qui contacter pour être accompagné ?
L’ANSSI (MonEspaceNIS2), les CSIRT régionaux, votre fédération professionnelle et un prestataire de confiance pour la mise en œuvre.
Sources
- Leto, l’Assemblée nationale reporte l’examen du projet de loi Résilience, 6 octobre 2026.
- Banque des Territoires, la CSNP presse le Parlement d’examiner le projet de loi, mars 2026.
- EUR-Lex, directive (UE) 2022/2555 (NIS2).
- EUR-Lex, règlement (UE) 2024/2847 (Cyber Resilience Act).
- ANSSI, MonEspaceNIS2.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous aidons à évaluer votre situation et à bâtir votre plan d’action lors d’un audit. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
