Transposition NIS2 par pays : lois, dates et autorités

La transposition NIS2 par pays reste inégale. Au 4 novembre 2026, des lois nationales transposant NIS2 sont en vigueur dans 24 des 27 États membres ; la France, l'Irlande et l'Espagne n'ont pas encore adopté la leur. La loi applicable dépend surtout du pays où chaque entité est établie, et elle s'applique à partir de sa propre entrée en vigueur, pas du 18 octobre 2024.

La transposition de NIS2 désigne l'ensemble des actes par lesquels chaque État membre fait entrer la directive (UE) 2022/2555 dans son droit : champ d'application, entités essentielles et importantes, enregistrement, mesures de gestion des risques, notification des incidents, supervision et sanctions. NIS2 étant une directive, ce sont les lois nationales qui créent les obligations des organisations, pas le texte européen lui-même.

Ce calendrier donne, pour chaque État membre, la loi nationale, son statut, sa date d'entrée en vigueur, l'étape d'enregistrement des entités et l'autorité compétente. Il évolue souvent : chaque ligne a été vérifiée sur des sources officielles (journaux officiels, agences nationales de cybersécurité, Commission européenne). Lorsqu'un point n'a pas pu être confirmé, le tableau indique « à confirmer ».

Qu'exigeait l'Union européenne, et pour quand ?

• 27 décembre 2022 : publication de NIS2 au Journal officiel (L 333) ; entrée en vigueur le 16 janvier 2023.
• 17 octobre 2024 : date limite d'adoption et de publication des mesures nationales (article 41). Le même jour, la Commission adopte le règlement d'exécution (UE) 2024/2690, qui précise les mesures techniques et les seuils d'« incident important » pour certains fournisseurs numériques.
• 18 octobre 2024 : application des mesures nationales et abrogation de la première directive NIS (UE) 2016/1148 (article 44).
• 17 janvier 2025 : ces fournisseurs numériques (DNS, informatique en nuage, centres de données, services gérés, plateformes en ligne…) transmettent leurs informations à leur autorité pour le registre de l'ENISA (article 27).
• 17 avril 2025 : chaque État établit la liste de ses entités essentielles et importantes (article 3, paragraphe 3), à réexaminer au moins tous les deux ans.

Quels États membres la Commission a-t-elle poursuivis pour retard ?

La plupart des États ont manqué l'échéance. La Commission a ouvert des procédures d'infraction en trois temps :

La Belgique, la Croatie, l'Italie et la Lituanie n'ont reçu aucune lettre : elles avaient notifié leurs mesures de transposition à cette date. Les Pays-Bas ont mis leur loi en vigueur le 15 août 2026, environ cinq semaines après la saisine.

Où en est chaque État membre au 4 novembre 2026 ?

Les délais déjà échus restent utiles : une entité qui entre plus tard dans le champ s'enregistre dans le délai prévu par la loi nationale (par exemple trois mois en Allemagne, 60 jours en Tchéquie, 30 jours en Hongrie, en Roumanie et en Slovénie).

Prochaines échéances

• 29 novembre 2026 : élections générales en Espagne ; les nouvelles Cortes se réunissent le 23 décembre 2026 (décret royal 806/2026).
• 1er janvier 2027 : date limite du premier enregistrement en Autriche.
• Du 1er janvier au 28 février 2027 : fenêtre annuelle d'enregistrement en Italie.
• 8 mars 2027 (indicatif) : vote en plénière du Parlement européen sur la proposition de modification de NIS2.
• 3 avril 2027 : en Pologne, les entités essentielles et importantes doivent respecter les nouvelles obligations.

Belgique, France, Pays-Bas, Allemagne et Luxembourg : l'essentiel

• Belgique : la loi du 26 avril 2024 (publiée au Moniteur belge le 17 mai 2024) et son arrêté royal du 9 juin 2024 s'appliquent depuis le 18 octobre 2024. Les entités devaient s'enregistrer sur Safeonweb@work au plus tard le 18 mars 2025. Les entités essentielles doivent se soumettre à une évaluation périodique de conformité selon les CyberFundamentals (CyFun) ou l'ISO/IEC 27001 ; le CCB leur a fixé un premier jalon au 18 avril 2026. Autorité : Centre pour la Cybersécurité Belgique (CCB), CSIRT CERT.be.
• France : pas encore de loi NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (qui transpose aussi la directive REC et une partie de DORA) a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, avant d'être retiré de l'ordre du jour des séances des 7 et 9 octobre 2026 ; aucune nouvelle date n'était confirmée au 4 novembre 2026. L'ANSSI propose déjà un pré-enregistrement volontaire sur MonEspaceNIS2.
• Pays-Bas : la Cyberbeveiligingswet (loi du 8 juillet 2026, Stb. 2026, 187) est entrée en vigueur le 15 août 2026 et remplace la Wbni ; ses obligations s'appliquent depuis cette date. L'enregistrement dans le registre des entités du NCSC (mijn.ncsc.nl) est obligatoire depuis ce jour (Rijksoverheid). La formation des dirigeants doit être faite dans les deux ans. La supervision est sectorielle (RDI, ILT, IGJ, DNB…).
• Allemagne : la loi de transposition de NIS2 (dite NIS2UmsuCG, loi du 2 décembre 2025, BGBl. 2025 I n° 301) a été publiée le 5 décembre 2025 et est entrée en vigueur le 6 décembre 2025. Elle modifie la loi sur le BSI (BSIG). L'enregistrement auprès du BSI (portail du BSI, accès par « Mein Unternehmenskonto » avec un certificat ELSTER) devait être fait dans les trois mois, soit au plus tard le 6 mars 2026.
• Luxembourg : la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité s'applique depuis le 10 mai 2026. Les entités devaient s'auto-enregistrer auprès de l'Institut luxembourgeois de régulation (ILR) au plus tard le 10 juillet 2026 (communiqué du gouvernement). La CSSF est l'autorité compétente pour le secteur bancaire et les infrastructures des marchés financiers. CSIRT : GOVCERT.LU (État, entités critiques) et CIRCL (tous les autres cas).

Ma PME est-elle concernée par NIS2 ?

En général pas directement, sauf si elle est de taille moyenne ou exerce une activité visée quelle que soit sa taille. La règle du plafond de taille (article 2, paragraphe 1) fait entrer dans le champ les entités d'un type visé à l'annexe I ou II qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE :

Certaines entités sont visées quelle que soit leur taille (article 2, paragraphes 2 à 4) : fournisseurs de réseaux ou de services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine de premier niveau, fournisseurs de services DNS et services d'enregistrement de noms de domaine ; entités qu'un État identifie, par exemple parce qu'elles sont seules à fournir un service essentiel dans le pays ou parce qu'une perturbation aurait un impact important sur la sécurité ou la santé publiques ; entités critiques au sens de la directive REC (UE) 2022/2557 ; administrations centrales. Les États peuvent aussi viser les pouvoirs locaux et les établissements d'enseignement (article 2, paragraphe 5) : voir notre observatoire NIS2 des pouvoirs locaux.

Essentielle ou importante ? L'article 3 fixe la catégorie. Les obligations sont les mêmes (mesures de gestion des risques de l'article 21, notification des incidents de l'article 23, responsabilité des organes de direction de l'article 20). La différence tient à la supervision (proactive pour les entités essentielles, a posteriori pour les importantes) et au plafond des amendes, que la loi nationale doit fixer à au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé) pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les importantes (article 34). Notre article sur les entités essentielles et importantes détaille ces critères.

Deux points souvent oubliés par les petites structures :

• Les données du groupe comptent. Selon la recommandation, les effectifs et les chiffres des entreprises liées et partenaires s'additionnent : une filiale de 30 personnes d'un grand groupe peut être une « grande entreprise ». Le considérant 16 permet aux États de tenir compte de l'indépendance de l'entité (ses propres systèmes d'information et services) pour éviter un résultat disproportionné ; les lois nationales utilisent cette faculté de façon variable.
• Hors champ ne veut pas dire non concerné. Les clients soumis à NIS2 doivent maîtriser la sécurité de leur chaîne d'approvisionnement (article 21, paragraphe 2, point d) et répercutent des exigences sur leurs fournisseurs par contrat et questionnaire.

Quelles obligations NIS2 pour un groupe comptant plusieurs entités ?

En principe, chaque entité relève de la loi de l'État membre où elle est établie (article 26, paragraphe 1). Un groupe ayant des filiales en Belgique, aux Pays-Bas et en Allemagne applique donc trois lois nationales, enregistre chaque filiale sur trois portails différents et notifie ses incidents à trois séries d'autorités.

La règle de l'établissement principal (article 26, paragraphe 1, point b, et paragraphe 2) est l'exception. Elle vise les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les services d'enregistrement de noms de domaine, les fournisseurs d'informatique en nuage, de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés et de services de sécurité gérés, ainsi que les places de marché, moteurs de recherche et plateformes de réseaux sociaux en ligne. Ils relèvent du seul État de leur établissement principal dans l'Union : là où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité ; à défaut, là où les opérations de cybersécurité sont effectuées ; à défaut, l'établissement qui compte le plus de salariés dans l'Union. Les fournisseurs de communications électroniques publics relèvent de chaque État où ils fournissent leurs services, et les entités de l'administration publique de l'État qui les a créées.

Concrètement, pour un groupe :

1. Lister chaque entité juridique, son pays, son secteur NIS2 et sa taille calculée avec les données du groupe.
2. Vérifier si l'une d'elles fournit un service soumis à la règle de l'établissement principal, et documenter où se prennent les décisions de cybersécurité.
3. Enregistrer chaque entité dans chaque pays concerné, selon le délai de ce pays (voir le tableau).
4. Construire un socle commun au groupe (par exemple ISO/IEC 27001, CyberFundamentals ou, pour les fournisseurs numériques, le règlement d'exécution (UE) 2024/2690), puis ajouter les spécificités nationales : portails de notification, évaluation de conformité, délais locaux.
5. Garder en tête que les amendes se calculent sur le chiffre d'affaires mondial de l'entreprise à laquelle appartient l'entité, ce qui peut viser le chiffre d'affaires du groupe.

Les entités financières soumises à DORA suivent DORA pour la gestion du risque informatique et la notification des incidents (article 4 de NIS2, lex specialis) : voir DORA ou NIS2.

Que faire maintenant ?

1. Repérer, pour chacune de vos entités, le pays (ou les pays) dont la loi s'applique, à l'aide du tableau.
2. Vérifier le champ et la catégorie avec l'outil ou le guide de ce pays, puis vous enregistrer si ce n'est pas fait.
3. Noter les échéances nationales qui suivent l'enregistrement (évaluation de conformité, formation des dirigeants, premiers rapports).
4. Préparer la notification des incidents au bon CSIRT sous 24 heures, 72 heures et un mois (article 23) : voir notre guide de notification des incidents NIS2.
5. Évaluer vos mesures de l'article 21. L'autoévaluation NIS2 gratuite de ResiPlan (7 questions) donne un premier score ; la page NIS2 résume la directive.

Questions fréquentes

NIS2 s'applique-t-elle dans un pays qui ne l'a pas encore transposée ?

Pas directement aux entreprises : une directive s'adresse aux États. Tant que la loi nationale n'est pas en vigueur, les organisations restent soumises aux règles nationales qui avaient transposé la première directive NIS, pour les opérateurs désignés à ce titre. Les obligations NIS2 commencent avec l'entrée en vigueur de la loi nationale.

La saisine de la Cour de justice change-t-elle quelque chose pour les entreprises en France, en Irlande ou en Espagne ?

Non. Une saisine de la Cour de justice peut aboutir à des sanctions financières contre l'État, pas contre les entreprises. Elle accroît la pression pour adopter la loi nationale, qui fixera ensuite les obligations et les délais.

Mon délai d'enregistrement est dépassé : que faire ?

Vous enregistrer sans attendre et conserver une trace de votre analyse de périmètre. Plusieurs autorités, comme le CCB en Belgique, ont indiqué qu'elles recherchent les entités non enregistrées et peuvent prendre des mesures d'exécution.

Les règles NIS2 vont-elles encore changer ?

C'est possible. En janvier 2026, la Commission a proposé une modification ciblée de NIS2 (COM(2026) 13, procédure 2026/0012(COD)) pour la simplifier et l'aligner sur la révision du règlement sur la cybersécurité. Au 4 novembre 2026, le texte est encore en commission au Parlement européen ; les lois nationales actuelles s'appliquent tant qu'il n'est pas adopté et transposé.

Sources

• Directive (UE) 2022/2555 (NIS2), EUR-Lex : articles 2, 3, 20, 21, 23, 26, 27, 34, 41 et 44, considérant 16
• Règlement d'exécution (UE) 2024/2690 de la Commission, EUR-Lex
• Recommandation 2003/361/CE (définition des PME), EUR-Lex
• Directive (UE) 2022/2557 (REC), EUR-Lex
• Commission européenne, transposition de NIS2 par État membre
• Commission européenne : mises en demeure du 28 novembre 2024 ; avis motivés du 7 mai 2025 ; saisine de la Cour de justice du 8 juillet 2026
• ENISA, guide de mise en œuvre technique de NIS2 (juin 2025, en anglais)
• Parlement européen, Observatoire législatif, 2026/0012(COD)
• Sources nationales, en plus des journaux officiels liés dans le tableau : page de la Commission sur NIS2 en Belgique ; Sénat, dossier législatif du projet de loi Résilience ; Rijksoverheid, 7 juillet 2026 ; gouvernement luxembourgeois, 6 juillet 2026 ; portail autrichien des entreprises (USP) ; ministère polonais du Numérique ; NCSC suédois