NIS2 en octobre 2026 : où en est la transposition

Publié le 19 octobre 2026 · Par Dazr

Deux ans après l'échéance, quatre États membres sont devant la Cour de justice de l'UE, tandis que l'Allemagne, les Pays-Bas et l'Autriche appliquent NIS2.

Les États membres avaient jusqu'au 17 octobre 2024 pour transposer la directive NIS2 en droit national. Deux ans plus tard, la plupart l'ont fait, quelques-uns y travaillent encore, et la Commission européenne en a saisi la Cour pour quatre d'entre eux.

Quatre pays devant la Cour de justice

Le 8 juillet 2026, la Commission a saisi la Cour de justice de l'UE contre l'Irlande, l'Espagne, la France et les Pays-Bas, faute de notification d'une transposition complète de NIS2. Elle demande des sanctions financières : une somme forfaitaire et des astreintes journalières jusqu'à la transposition complète. La procédure avait commencé par des lettres de mise en demeure le 28 novembre 2024, suivies d'avis motivés le 7 mai 2025.

Les lois qui s'appliquent désormais

Allemagne : la loi de transposition de NIS2 a été publiée au Journal officiel fédéral le 5 décembre 2025 (BGBl. 2025 I Nr. 301) et s'applique depuis le 6 décembre 2025. Les entités avaient trois mois pour s'enregistrer auprès du BSI, qui indique que ce délai est écoulé et invite celles qui ne l'ont pas encore fait à s'enregistrer sans attendre.
Pays-Bas : la Cyberbeveiligingswet (Cbw) est entrée en vigueur le 15 août 2026, après la saisine de la Cour, avec la loi sur la résilience des entités critiques (Wwke). Elle remplace la Wbni, et les entités doivent s'enregistrer auprès du NCSC.
Autriche : la NISG 2026 (BGBl. I Nr. 94/2025) s'applique depuis le 1er octobre 2026 et remplace la NISG 2018.
Italie : le décret législatif 138/2024 s'applique depuis le 16 octobre 2024.

Encore en cours

France : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2 avec la directive REC et la directive DORA, a été adopté en première lecture par le Sénat le 12 mars 2025. La commission spéciale de l'Assemblée nationale a adopté son texte le 10 septembre 2025, et l'examen parlementaire n'est pas encore achevé.
Espagne : le Conseil des ministres a approuvé le 14 janvier 2025 l'avant-projet de loi de coordination et de gouvernance de la cybersécurité. Tant qu'aucune nouvelle loi n'est publiée au BOE, le Real Decreto-ley 12/2018, qui transposait la première directive NIS, reste en vigueur.
Irlande : le General Scheme du National Cyber Security Bill a été publié en août 2024. La loi n'est pas encore adoptée.

Des modifications proposées

Le 20 janvier 2026, la Commission a proposé, dans un paquet cybersécurité, des modifications ciblées de NIS2 : des règles plus simples sur l'État compétent, une collecte simplifiée des données sur les attaques par rançongiciel et une nouvelle catégorie de petites entreprises de taille intermédiaire. Selon la Commission, elles faciliteraient la conformité de 28 700 entreprises. Ce sont des propositions : la directive actuelle et les lois nationales s'appliquent jusqu'à leur adoption.

Ce que cela signifie en pratique

Vérifiez chaque pays où vous êtes présent. Obligations d'enregistrement, autorités, délais et sanctions sont fixés au niveau national et diffèrent.
Commencez par l'enregistrement. Là où une loi s'applique, l'enregistrement auprès de l'autorité nationale est généralement la première échéance, et souvent une échéance courte.
N'attendez pas une loi tardive. Vos obligations découlent de la loi nationale et commencent quand elle s'applique. Les clients et les acheteurs publics demandent déjà les mesures de l'article 21 et des garanties sur les fournisseurs, et le règlement d'exécution (UE) 2024/2690 détaille ces mesures pour les fournisseurs de services numériques.

Pour la situation en France : NIS2 en France.

Sources

À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 19 octobre 2026.

Thèmes: NIS2, UE, Transposition

Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål