NIS2 — Loi Résilience attendue à la rentrée 2026 · contrôles 2027Loi Résilience attendue à l’Assemblée à la rentrée 2026 · ReCyF publié · premiers contrôles 2027 → Où en êtes-vous ?
Conformité & cybersécurité — NIS2 · ReCyF · assureurs
La loi française n’est pas votre calendrier réel. Votre calendrier, ce sont les questionnaires de vos donneurs d’ordre et le renouvellement de votre contrat cyber. Je traduis le référentiel de l’ANSSI en plan d’action, comme un plan HACCP.
Réponse sous 48 h ouvrées. Sans engagement.
~15 000
entités concernées en France, contre 500 sous NIS1
20 / 15
objectifs ReCyF selon que vous êtes entité essentielle ou importante
2027
premiers contrôles annoncés par l’ANSSI
L’annexe II de la directive NIS2 liste la production, la transformation et la distribution de denrées alimentaires. Une entreprise de plus de 50 salariés ou 10 M€ de chiffre d’affaires dans ce secteur entre dans le périmètre des entités importantes. Au-delà de 250 salariés, entité essentielle.
Vous n’êtes pas dans la liste ? L’article 21 impose aux entités régulées de sécuriser leur chaîne d’approvisionnement. Concrètement : votre donneur d’ordre vous envoie un questionnaire de 60 lignes, et votre commercial vous demande d’y répondre pour la semaine prochaine. C’est ce questionnaire — pas le Journal officiel — qui déclenche la plupart des projets que j’accompagne.
Troisième déclencheur : l’assureur. Les contrats cyber exigent aujourd’hui MFA, sauvegardes hors ligne, EDR et journalisation. Je suis passé par ce questionnaire côté client, dans une PME agroalimentaire de ~110 collaborateurs. Je sais ce qu’ils regardent et ce qui fait monter la prime.
Où en êtes-vous face à NIS2 ? 10 questions, 3 minutes. Les questions reprennent les 10 objectifs du ReCyF (ANSSI, mars 2026) qui pèsent le plus sur un site industriel de 50 à 250 personnes. Répondez sans enjoliver : le score n’est lu que par vous — et par moi si vous demandez le rapport.
Aucune donnée n’est envoyée tant que vous ne le demandez pas.
Le guide « NIS2 & ReCyF pour l’industrie agroalimentaire » arrive — être prévenu à sa parution →
Trois marches. Vous pouvez vous arrêter à chacune.
Prix hors taxes. Les prix suisses sont fixés en CHF, pas convertis.
1,5 jour
5 à 7 jours
0,5 à 1 jour/mois, 12 mois
La troisième marche inclut la licence Aventris, le logiciel de pilotage NIS2 / ReCyF que j’édite. Voir ce que fait Aventris →
Fait
17 octobre 2024
Date limite européenne de transposition. Dépassée.
Fait
12 mars 2025
Le Sénat adopte le projet de loi Résilience.
Fait
17 mars 2026
L’ANSSI publie le ReCyF : 20 objectifs (essentielles), 15 (importantes).
Fait
8 juillet 2026
La Commission européenne saisit la Cour de justice de l’UE contre la France pour retard de transposition.
En cours
Rentrée 2026
Examen à l’Assemblée nationale annoncé « au plus tôt en septembre ». Aucune date fixée.
À venir
Fin 2026
Décrets, enregistrement des entités auprès de l’ANSSI.
À venir
2027
Premiers contrôles.
Calendrier vérifié le 28/08/2026. Je le mets à jour à chaque évolution.
« On attend que la loi passe, on verra après. »
Vous pouvez attendre la loi. Votre client allemand, lui, applique déjà la sienne : l’Allemagne a transposé. Son questionnaire arrivera avant les décrets français. Et le référentiel technique existe depuis mars 2026 — ce que l’ANSSI vérifiera en 2027 est déjà écrit.
Suisse romande
Le Cyber Resilience Act s’applique aux fabricants de produits comportant des éléments numériques exportés vers l’UE. Ses premières obligations (notification des vulnérabilités activement exploitées) démarrent le 11 septembre 2026. Règlement européen : aucune transposition à attendre, il s’applique directement.
Vos clients allemands et français assujettis à NIS2 vous transmettront leurs exigences de sécurité fournisseurs — l’article 21 ne s’arrête pas à la frontière.
En Suisse, l’annonce de certaines cyberattaques à l’OFCS est obligatoire, avec sanctions depuis octobre 2025 ; la nLPD encadre vos données depuis 2023.
Les prix suisses sont fixés en CHF et facturés en CHF, jamais convertis.
Par secteur (annexes I et II) et par taille : plus de 250 salariés ou 50 M€ de CA dans un secteur de l’annexe I, vous êtes essentielle ; entre 50 et 250 salariés dans l’agroalimentaire, importante. Le diagnostic Flash tranche cette question en premier, avec l’argumentaire écrit.
Le Référentiel Cyber France publié par l’ANSSI le 17 mars 2026. Il décline NIS2 en 20 objectifs pour les entités essentielles et 15 pour les importantes : gouvernance, gestion des accès, sauvegardes, journalisation, réponse aux incidents, sécurité de la chaîne d’approvisionnement. C’est ce référentiel que je note pendant le diagnostic.
Oui. Les exigences des assureurs recoupent les objectifs ReCyF à 80 %. Traiter les deux dans un seul plan évite de payer deux fois. Le rapport de l’audit complet est rédigé pour être transmis tel quel à l’assureur.
Ne pas répondre « oui » partout. Le diagnostic Flash (1,5 jour) produit des réponses vraies et un plan pour combler les écarts. La plupart des donneurs d’ordre acceptent un plan daté ; aucun n’accepte un mensonge découvert après incident.
Je suis responsable informatique en poste dans une PME industrielle. J’ai déployé une PSSI, passé le questionnaire assureur, connecté des automates. Et j’édite Aventris, le logiciel qui pilote la conformité après l’audit. Je ne livre pas un rapport que vous rangerez : je reste dans le mois suivant, avec l’offre de conformité pilotée.
Pour une PME de 50 à 250 salariés partant d’une hygiène correcte : 6 à 12 mois pour couvrir les objectifs prioritaires, à raison d’un jour de pilotage par mois. Ce qui prend du temps, ce ne sont pas les outils, ce sont les habitudes.
30 minutes en visio, vous repartez avec un compte rendu d’une page : concerné ou non, à quel titre, et les trois choses à faire d’abord.
Premier rendez-vous gratuit, 30 minutes, compte rendu d’une page.