NIS2 : l'Assemblée reporte encore la loi Résilience, sans nouvelle date

Un retrait décidé la veille de la séance

Le texte était inscrit à l'ordre du jour des séances des 7 et 9 octobre, indique Clubic. Selon Next, la décision de le retirer a été prise le 6 octobre par la conférence des présidents, le motif avancé étant un calendrier parlementaire saturé, en particulier par l'examen de la loi intégrale contre les violences sexistes et sexuelles. Le rapporteur Éric Bothorel dit espérer un réexamen « dans quinze jours ou trois semaines », sans qu'aucune date soit arrêtée à ce stade.

Ce n'est pas le premier blocage. Le dossier législatif de l'Assemblée nationale fait état d'un dépôt au Sénat le 15 octobre 2024, d'une adoption en première lecture par le Sénat le 12 mars 2025 — par 181 voix contre 134 selon Silicon.fr — puis de l'adoption d'un texte par la commission spéciale de l'Assemblée en septembre 2025, après l'examen de 472 amendements. Depuis, le texte attendait son passage en séance publique. Clubic rappelle qu'un point de friction subsiste sur l'article 16 bis, introduit au Sénat, qui interdirait d'imposer des portes dérobées aux messageries chiffrées.

Un périmètre élargi, mais pas encore applicable

D'après Silicon.fr, le texte porterait de 6 à 18 le nombre de secteurs régulés, en y ajoutant notamment la santé, l'industrie manufacturière, la chimie, la recherche, les services postaux et les infrastructures numériques. Environ 15 000 entités seraient concernées, dont près de 1 500 collectivités, et quelque 14 500 relèveraient du contrôle de l'ANSSI. Le projet distingue « entités essentielles » et « entités importantes », avec des obligations proportionnées à leur criticité. Les sanctions pourraient atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, et une alerte devrait être transmise sous 24 heures, rapporte Clubic.

Tant que la loi, puis ses décrets et arrêtés, ne sont pas publiés, ces obligations ne s'appliquent pas en droit français. La Commission européenne a pour sa part annoncé le 8 juillet 2026 le renvoi de la France, de l'Irlande, de l'Espagne et des Pays-Bas devant la Cour de justice de l'Union européenne pour défaut de notification des mesures de transposition, en demandant des sanctions financières sous forme de somme forfaitaire et d'astreinte. Le délai de transposition était fixé au 17 octobre 2024.

Pourquoi c'est important

Pour une PME ou une ETI industrielle, ce report crée une situation inconfortable. Le périmètre probable est connu depuis l'automne 2025, mais aucune date d'entrée en vigueur n'est opposable. Beaucoup d'entreprises de taille moyenne de l'industrie manufacturière, de la chimie ou de la logistique entreront pour la première fois dans le champ d'une régulation de cybersécurité. Attendre la promulgation pour agir expose à un calendrier contraint une fois les décrets publiés, alors que les travaux de fond — cartographie du système d'information, gestion des accès, journalisation, plan de réponse à incident — se comptent en trimestres. À l'inverse, engager des investissements lourds sur un texte non voté comporte un risque d'ajustement : le débat sur l'article 16 bis montre que la rédaction finale n'est pas figée.

Ce que ça change pour votre projet ERP

Si vous choisissez ou déployez un ERP en ce moment, traitez les exigences de sécurité comme un critère de sélection, pas comme un chantier ultérieur. Demandez à chaque éditeur et intégrateur candidat ce qu'il documente déjà : authentification multifacteur, traçabilité des accès et des modifications, journaux exploitables et conservés, chiffrement des sauvegardes, localisation des données, et délais contractuels de notification en cas d'incident chez l'hébergeur. Faites inscrire ces engagements au contrat plutôt qu'en annexe commerciale : les renégocier après la promulgation coûtera plus cher. Sur le volet données, notre guide sur la gouvernance et la qualité des données dans l'ERP et le guide de cadrage d'un projet ERP détaillent les points à verrouiller dès le cahier des charges.