La France a retiré son projet de loi NIS2, avec presque deux ans de retard. Sa ligne sur les éditeurs de logiciels est contestée

Le mardi 6 octobre, la Conférence des présidents de l'Assemblée nationale, la réunion qui fixe l'ordre du jour de la chambre, a retiré un projet de loi des séances du mercredi 7 et du vendredi 9 octobre. Le relevé officiel de la réunion le dit en une ligne : « retrait du projet de loi, adopté par le Sénat, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. »

Ce projet de loi, c'est la transposition française de NIS2, la directive européenne (UE) 2022/2555 qui fixe des obligations de cybersécurité aux entités « essentielles » et « importantes » dans 18 secteurs. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer. Le relevé ne donne aucune raison au retrait. Il classe le changement parmi les « semaines du Gouvernement », les semaines réservées aux textes du Gouvernement.

La Conférence s'est réunie de nouveau le 13 octobre et n'a pas remis le texte à l'ordre du jour. Au moment où j'écris, le 19 octobre, il n'a pas de nouvelle date. La prochaine Conférence se réunit le 20 octobre.

Je suis CTO d'une LegalTech construite sur Claude, et j'ai construit BidForge, une IA qui lit les dossiers de marchés publics français pour les petites entreprises. Je lis donc ce texte depuis deux places : celle d'un éditeur de logiciel, et celle d'un développeur dont les utilisateurs vendent aux régions, aux départements et aux grandes villes que le texte vise. Voici ce que le changement d'ordre du jour ne dit pas.

Deux ans, en dates

Le Gouvernement a déposé le projet de loi au Sénat le 15 octobre 2024, deux jours avant la date limite de transposition, en procédure accélérée. Le Sénat l'a adopté le 12 mars 2025 et l'a transmis à l'Assemblée le lendemain. Là, une commission spéciale a reçu 505 amendements sur le texte du Sénat et a adopté sa propre version le 10 septembre 2025.

Ensuite, plus rien n'est arrivé en séance pendant un an. Le 22 septembre 2026, la Conférence des présidents a inscrit le texte au 7 octobre, la suite du débat au 9 octobre. Deux semaines plus tard, il avait disparu.

Bruxelles tient son propre calendrier. La Commission européenne a envoyé à la France une lettre de mise en demeure le 28 novembre 2024 et un avis motivé le 7 mai 2025. Le 8 juillet 2026, elle a saisi la Cour de justice de l'UE contre la France, l'Espagne, l'Irlande et les Pays-Bas pour défaut de notification d'une transposition complète. « Si la plupart se sont conformés », dit le communiqué, ces quatre-là ne l'ont pas fait. La Commission a demandé à la Cour d'imposer « une somme forfaitaire et des astreintes journalières jusqu'à la notification de la transposition complète ».

Un détail de plus rend la cible mouvante. Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS2 elle-même, pour apporter « plus de clarté juridique ». La France est en retard sur une directive qui est déjà en cours de révision.

Et la séance est chargée. Le calendrier fixé par la Conférence le 29 septembre place la seconde partie du projet de loi de finances pour 2027 en séance du 27 octobre au 16 novembre, avec un vote solennel le 17 novembre.

Ce que dit le texte en attente

Le texte que l'Assemblée devait débattre est la version de la commission spéciale du 10 septembre 2025. Quelques lignes comptent pour quiconque construit ou achète du logiciel.

Le périmètre, par la taille. Une entreprise d'un secteur « hautement critique » est une entité essentielle si elle emploie au moins 250 personnes, ou si son chiffre d'affaires annuel dépasse 50 millions d'euros et son total de bilan 43 millions d'euros. Une entreprise d'un secteur hautement critique ou critique devient une entité importante à 50 salariés, ou avec un chiffre d'affaires et un total de bilan supérieurs chacun à 10 millions d'euros. Le rapport de la commission cite l'étude d'impact du projet : 15 000 entités concernées.

Les amendes. Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial de l'exercice précédent pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu, « proportionné à la gravité du manquement ». Le calcul est simple : les deux pourcentages rejoignent leur montant fixe à 500 millions d'euros de chiffre d'affaires. En dessous, le plafond est le montant fixe. Pour un éditeur à 2 millions d'euros de revenus, 2 % feraient 40 000 euros, mais le plafond est de 10 millions.

L'horloge des incidents. Après avoir pris connaissance d'un incident significatif, une entité envoie à l'ANSSI, l'agence nationale de cybersécurité, une première notification sous 24 heures, une notification intermédiaire sous 72 heures et un rapport final au plus tard un mois après. Elle informe aussi les destinataires de ses services, « sans retard injustifié », quand l'incident les touche directement.

Les fournisseurs. Les mesures de gestion des risques doivent protéger les réseaux et les systèmes d'information « y compris en cas de recours à la sous-traitance ». L'ANSSI s'attend à ce que les entités concernées soient surtout des entreprises moyennes et grandes, des collectivités territoriales et des administrations. Cette clause est le moyen par lequel une telle loi peut atteindre les petits fournisseurs qui leur vendent.

La ligne sur les éditeurs de logiciels

L'article 8 liste les entités essentielles. Dans la version du Sénat, le 6° disait : « Les fournisseurs de services de système de noms de domaine », les fournisseurs de services DNS. Dans la version de la commission de l'Assemblée, il dit : « Les fournisseurs de services de système de noms de domaine et les éditeurs de logiciels. » Les éditeurs de logiciels.

Le rapport de la commission dit d'où cela vient : un amendement de Véronique Riotton, adopté en commission, « incluant les entreprises éditrices de logiciels dans la liste des entités essentielles ».

Lis-le à côté du 1°. Les entreprises des secteurs hautement critiques deviennent essentielles à 250 salariés ou avec le test de chiffre d'affaires. La ligne sur les éditeurs de logiciels, comme celle sur le DNS à laquelle elle a été ajoutée, ne porte aucun seuil de taille propre.

Elle n'allait pas passer sans contestation. Parmi les amendements déposés pour le débat en séance, six suppriment purement et simplement « et les éditeurs de logiciels ». Ils viennent de Philippe Latombe, qui préside la commission spéciale, d'Éric Bothorel, son rapporteur général, des députés Horizons Vincent Thiébaut et Marie-Agnès Poussier-Winsback, de députés du Rassemblement National emmenés par Alexandre Sabatou, et du Gouvernement. L'amendement du Gouvernement, déposé le samedi 3 octobre, qualifie la ligne de « surtransposition manifeste de la directive NIS 2 ». Il fait valoir que la directive ne couvre qu'une partie de l'industrie (les fournisseurs de cloud, de services gérés et de services de sécurité gérés), sous les seuils de taille des articles 8 et 9, et que le règlement européen Cyber Resilience Act, qui selon lui entre en application en 2027, couvre la sécurité des produits que vendent les éditeurs. Le Gouvernement a depuis retiré cet amendement, mais celui de Bothorel fait la même suppression avec le même argument et reste en discussion. Le Rassemblement National a aussi déposé un amendement de repli qui appliquerait les seuils de taille du 1°. Et Véronique Riotton, dont l'amendement a créé la ligne, en a déposé un pour la remplacer par une désignation au cas par cas par le Premier ministre.

Je ne conclurais donc pas que toutes les entreprises de logiciel françaises seront des entités essentielles. La ligne doit survivre à ces amendements, à un accord avec le Sénat et aux décrets qui définissent les sous-secteurs et les types d'entités. Mais c'est le texte qui allait être débattu. Si tu édites du logiciel en France, c'est la ligne à surveiller.

Ce que le retard change, et ce qu'il ne change pas

Il change la date. Tant qu'une loi n'est pas promulguée et que ses décrets ne sont pas publiés, les obligations de ce projet ne sont pas du droit français. Le portail NIS2 de l'ANSSI le dit sans détour : « La transposition de la directive NIS 2 en France est en cours. »

Il ne change pas la direction. Le même portail invite les futures entités essentielles et importantes à commencer « dès à présent », et propose un test en ligne pour savoir si une organisation est concernée ainsi qu'un service de pré-enregistrement. L'ANSSI a aussi publié une version de travail de son Référentiel Cyber France (ReCyF), la liste des mesures qu'elle recommande pour atteindre les objectifs de NIS2. L'ANSSI dit qu'il est destiné à devenir « le socle de la réglementation cyber française » et qu'il peut être ajusté pour tenir compte du débat parlementaire.

Les deux premiers objectifs du ReCyF n'ont rien d'exotique. Recenser toutes les activités et tous les services, nommer un responsable pour chacun, et lister les systèmes d'information qui les portent. Rendre le dirigeant responsable de la sécurité numérique. Rien de cela n'attend un vote.

Ce que je ferais ce mois-ci

Passe deux fois le test d'éligibilité de l'ANSSI : une fois pour ta propre entreprise, une fois pour tes trois plus gros clients. S'ils sont concernés, la clause de sous-traitance te fera entrer dans leur conformité, et un client qui se prépare maintenant n'a pas besoin du vote pour te le demander.

Écris le parcours des 24 heures. Qui remarque un incident, qui décide qu'il est significatif, qui écrit aux clients, et à partir de quelle liste. Si tu fournis une entité concernée, ses 24 heures commencent quand elle prend connaissance de l'incident, donc je voudrais que ma propre promesse de notification à un client se compte en heures, pas en jours.

Compare ce que tu fais déjà à la version de travail du ReCyF, en commençant par l'inventaire et le responsable nommé. Ne polis pas la rédaction : l'ANSSI dit que le texte peut encore bouger. Si tu es fournisseur de cloud, de services gérés ou de DNS, le texte de la commission te renvoie plutôt au règlement d'exécution européen 2024/2690.

Si tu édites du logiciel, lis l'article 8 du texte de la commission et les amendements déposés dessus, et consulte chaque mardi le relevé de la Conférence des présidents sur le site de l'Assemblée. C'est là que le projet de loi réapparaîtra.

Bruxelles a demandé à la Cour de compter le retard de la France en jours. Le projet de loi, quand il passera, comptera le tien en heures.

Sources

• Assemblée nationale, « Relevé de conclusions de la Conférence des présidents du mardi 6 octobre 2026 » (6 octobre 2026)
• Assemblée nationale, « Relevé de conclusions de la Conférence des présidents du mardi 22 septembre 2026 » (22 septembre 2026)
• Assemblée nationale, « Relevé de conclusions de la Conférence des présidents du mardi 29 septembre 2026 » (29 septembre 2026)
• Assemblée nationale, « Relevé de conclusions de la Conférence des présidents du mardi 13 octobre 2026 » (13 octobre 2026)
• Assemblée nationale, « Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », dossier législatif (consulté le 19 octobre 2026)
• Assemblée nationale, « Texte de la commission, n° 1779-A0 » (10 septembre 2025)
• Assemblée nationale, « Rapport n° 1779 fait au nom de la commission spéciale » (10 septembre 2025)
• Assemblée nationale, « Projet de loi adopté par le Sénat, n° 1112 » (13 mars 2025)
• Assemblée nationale, amendements de séance sur le texte n° 1779, article 8 (déposés les 2 et 3 octobre 2026) : n° 272, Gouvernement, retiré, n° 213, Éric Bothorel, n° 135, Philippe Latombe, n° 188, Vincent Thiébaut, n° 197, Marie-Agnès Poussier-Winsback, n° 311, Alexandre Sabatou, n° 312, Alexandre Sabatou, n° 65, Véronique Riotton
• Sénat, « Résilience des infrastructures critiques et renforcement de la cybersécurité », dossier législatif (consulté le 19 octobre 2026)
• Commission européenne, « Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity » (8 juillet 2026)
• ANSSI, « Directive NIS 2 », MonEspaceNIS2 (consulté le 19 octobre 2026)