NIS2 en France : quel référentiel suivre pour mettre sa PME en conformité ?
Au 28 octobre 2026, la loi française qui transpose NIS2 n'est toujours pas votée, et il n'existe pas de label officiel « conforme NIS2 ». Le référentiel à suivre est le Référentiel Cyber France (ReCyF) publié par l'ANSSI en version de travail : 20 objectifs, dont 15 pour les futures entités importantes. Pour démarrer sans frais, une PME peut demander un diagnostic MonAideCyber et s'appuyer sur les guides de l'ANSSI, puis choisir un prestataire labellisé ExpertCyber pour la mise en œuvre.
Le scénario en bref
Exemple, inventé pour illustrer. Une entreprise de distribution de 70 salariés lit partout que NIS2 arrive. Le dirigeant a déjà un antivirus, des sauvegardes et la double authentification. Il se pose deux questions : « Suis-je concerné ? Et si oui, quelle grille dois-je suivre pour être prêt ? »
La réponse française est moins simple qu'ailleurs, parce que la loi n'est pas encore votée. Mais les outils, eux, existent déjà. Voici où en est le texte, et par quoi commencer sans attendre.
Où en est la loi au 28 octobre 2026
NIS2 est une directive européenne : elle doit être inscrite dans la loi de chaque pays. En France, c'est le rôle du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». L'échéance européenne était le 17 octobre 2024.
| Date | Étape |
|---|---|
| 15 octobre 2024 | Dépôt du projet de loi au Sénat, en procédure accélérée |
| 12 mars 2025 | Adoption par le Sénat |
| 10 septembre 2025 | Texte adopté par la commission spéciale de l'Assemblée nationale |
| 6 octobre 2026 | Examen en séance prévu les 7 et 9 octobre retiré de l'ordre du jour |
| 27 octobre 2026 | Dernière conférence des présidents de l'Assemblée : le texte n'est toujours pas reprogrammé |
Concrètement : pas de loi votée, pas de décret, donc pas encore d'obligation NIS2 en droit français. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) l'écrit sur sa page NIS2 : la transposition « est en cours », et elle invite les futures entités concernées à renforcer leur sécurité dès maintenant. Le calendrier se suit sur les relevés de la conférence des présidents de l'Assemblée.
Qui sera concerné
Selon l'ANSSI, plusieurs milliers d'entités réparties sur 18 secteurs seront visées. Dans les secteurs listés, une entité importante compte au moins 50 salariés, ou un chiffre d'affaires et un bilan supérieurs à 10 millions d'euros ; une entité essentielle compte au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions de bilan. Le premier réflexe est le test « Suis-je concerné ? » de l'ANSSI, gratuit.
Pas de label officiel, mais un référentiel : le ReCyF
Il n'existe pas aujourd'hui de label d'État qui certifierait qu'une PME est « conforme NIS2 ». Le projet de loi ne prévoit pas de label : il prévoit un référentiel. D'après le texte adopté par le Sénat (article 15), une entité qui applique ce référentiel pourra s'en prévaloir lors d'un contrôle de l'ANSSI. Les autres devront démontrer que leurs propres mesures atteignent les mêmes objectifs.
Ce référentiel existe déjà en version de travail : le Référentiel Cyber France (ReCyF), mis à disposition par l'ANSSI le 17 mars 2026 sur sa page NIS 2. Il n'est pas définitif et pourra évoluer avec le débat parlementaire, mais l'ANSSI le présente comme le futur socle de la réglementation cyber française.
| Ce que contient le ReCyF | En clair |
|---|---|
| 20 objectifs de sécurité | Les résultats à atteindre, pas une liste d'outils à acheter |
| 15 objectifs communs | Ceux qui s'appliqueront aux entités importantes comme essentielles |
| 5 objectifs en plus | Réservés aux entités essentielles : analyse des risques, audit de sécurité, réglages sécurisés des systèmes, ordinateurs réservés aux tâches d'administration, surveillance en continu des alertes de sécurité |
| Des moyens acceptables de conformité | Pour chaque objectif, les mesures proposées par l'ANSSI pour y arriver |
Pour une PME de 50 à 250 salariés, ce sont donc les 15 objectifs communs qu'il faut regarder en premier. Le ReCyF suit un principe de proportionnalité : selon l'ANSSI, l'effort attendu est adapté à la maturité de l'entreprise et aux ressources dont elle dispose.
Les outils gratuits pour démarrer
Le ReCyF est un document dense, écrit pour des responsables sécurité. Pour une PME, le plus simple est de monter les marches dans l'ordre :
| Outil | Pour qui | Ce que ça apporte |
|---|---|---|
| Test « Suis-je concerné ? » (ANSSI) | Toute entreprise | Savoir si vous serez entité essentielle, importante ou hors champ |
| MonAideCyber (ANSSI) | Entreprises et organismes publics qui débutent, hors micro-entreprises | Un diagnostic gratuit et 6 mesures prioritaires |
| Guide « La cybersécurité pour les TPE/PME en 13 questions » (ANSSI) | Dirigeants de petites structures | Les bases, sans jargon |
| Guide d'hygiène informatique en 42 mesures (ANSSI) | Le responsable informatique ou le prestataire | Une liste de mesures concrètes, par ordre de maturité |
| ReCyF (ANSSI) | Futures entités essentielles et importantes | Le référentiel qui servira lors des contrôles |
MonAideCyber : le diagnostic gratuit de l'ANSSI
MonAideCyber met une entreprise en relation avec un Aidant cyber, une personne formée par l'ANSSI. Selon la charte des Aidants, le diagnostic est gratuit, se fait si possible en présence de la direction et du prestataire informatique, et couvre la gouvernance, les accès, les postes, l'infrastructure, la sensibilisation et la réaction à une attaque.
Vous repartez avec 6 mesures prioritaires à mettre en œuvre dans les 6 mois, et un point de suivi peut être fait 6 mois plus tard. L'Aidant s'engage à ne faire aucune démarche commerciale : c'est un regard neutre, pas un devis déguisé.
L'ANSSI a aussi annoncé un référentiel de mesures basiques, sous-ensemble du ReCyF centré sur les mesures les moins coûteuses et les plus efficaces, prévu dans le cadre de son dispositif Cyber Départ. À surveiller : ce sera sans doute la porte d'entrée la plus adaptée aux petites entreprises.
Choisir un prestataire : le label ExpertCyber
Le label ne porte pas sur votre entreprise, mais sur celui qui vous aide.
- Qui le délivre : Cybermalveillance.gouv.fr, après un audit d'AFNOR Certification.
- Ce qu'il vérifie : les compétences du prestataire en sécurisation, maintenance et assistance en cas d'incident.
- Comment trouver un prestataire : le service Mon ExpertCyber, selon vos besoins et votre zone.
- Ce qu'il ne fait pas : il ne rend pas votre entreprise conforme à NIS2.
Les gestes à faire lundi matin
- Faire le test de l'ANSSI sur MesServicesCyber et noter le résultat, avec la date.
- Demander un diagnostic MonAideCyber, en conviant votre prestataire informatique et un membre de la direction.
- Traiter les 6 mesures prioritaires du diagnostic avant de viser plus loin. Par exemple, souvent : double authentification, sauvegardes hors site testées, mises à jour, comptes d'administration séparés.
- Si vous êtes dans le champ, comparer votre situation aux 15 objectifs communs du ReCyF et lister les écarts en trois colonnes : ce mois-ci, ce trimestre, cette année.
- Garder les preuves au fur et à mesure : procédures écrites, comptes rendus de tests de restauration, liste des accès. C'est ce qui permettra de montrer, le jour venu, que vous appliquez le référentiel.
- Suivre l'avancée de la loi : quand elle sera votée, les délais de mise en conformité seront fixés par le texte et ses décrets.
Attendre le vote pour commencer n'a pas de sens : les mesures du ReCyF sont celles qui protègent déjà contre les attaques courantes. Le jour où la loi s'appliquera, vous aurez de l'avance au lieu d'un retard.
Faire le point sur votre conformité NIS2→
Questions fréquentes
NIS2 s'applique-t-elle déjà en France ?
Pas encore. Au 28 octobre 2026, le projet de loi Résilience, qui transpose NIS2, a été adopté par le Sénat mais n'a pas été examiné en séance à l'Assemblée nationale. Sans loi promulguée ni décrets, les obligations NIS2 ne s'appliquent pas en droit français.
Existe-t-il une certification « conforme NIS2 » en France ?
Non. Le projet de loi prévoit un référentiel, le ReCyF de l'ANSSI, qu'une entité pourra invoquer lors d'un contrôle. Méfiez-vous d'une offre qui vend une « certification NIS2 » : elle ne repose sur aucun dispositif officiel à ce jour.
Le ReCyF est-il obligatoire ?
Pas par défaut. C'est une version de travail, publiée par l'ANSSI le 17 mars 2026. Selon le texte adopté par le Sénat, les entités qui l'appliquent pourront s'en prévaloir en cas de contrôle ; les autres devront prouver que leurs propres mesures atteignent les mêmes objectifs.
MonAideCyber est-il vraiment gratuit ?
Oui. La charte des Aidants cyber prévoit la gratuité du diagnostic et de l'accompagnement, ainsi qu'une interdiction de démarchage commercial pendant et après le diagnostic.
Le label ExpertCyber rend-il mon entreprise conforme ?
Non. ExpertCyber est attribué au prestataire informatique, pas à votre entreprise. Il garantit que ses compétences ont été auditées par AFNOR Certification. C'est un critère utile pour choisir qui vous accompagne.