Loi Résilience : ce que la transposition de NIS2 change pour le secteur financier et surtout pour ses fournisseurs

Une transposition toujours en attente

La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. Près de deux ans plus tard, la France n’a toujours pas adopté sa loi de transposition. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, ainsi que contre l’Irlande, l’Espagne et les Pays-Bas, pour défaut de communication des mesures de transposition. Elle demande une somme forfaitaire et des astreintes journalières.

Le véhicule de cette transposition est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Son examen en séance publique à l’Assemblée nationale était programmé les 7 et 9 octobre 2026. Il a été retiré de l’ordre du jour la veille.

Pour un établissement financier, la tentation est de conclure que le sujet peut attendre, puisque DORA s’applique déjà. C’est une lecture incomplète. Banques et assurances relèvent d’abord de DORA, mais une partie de leurs filiales et surtout de leurs fournisseurs informatiques entrent dans le champ de NIS2. Cet article actualise notre présentation de l’impact de NIS2 : état de la procédure, partage entre les deux textes, exposition par les fournisseurs, et intégration de leur statut NIS2 dans la gestion du risque tiers DORA.

Où en est exactement la procédure

Voici l’état de la procédure au 14 octobre 2026, vérifié sur les sites de l’Assemblée nationale et du Sénat. Le projet de loi a été déposé au Sénat le 15 octobre 2024 (texte n° 33), le Gouvernement engageant le même jour la procédure accélérée. Le Sénat l’a adopté en première lecture le 12 mars 2025 (texte adopté n° 78). Transmis à l’Assemblée nationale le 13 mars 2025 (texte n° 1112), il a été examiné par une commission spéciale, qui a adopté son texte le 10 septembre 2025 (texte n° 1779).

La Conférence des présidents du 22 septembre 2026 l’a ensuite inscrit aux séances des 7 et 9 octobre 2026. Celle du 6 octobre a acté son retrait de ces séances, sans qu’aucune nouvelle date figure dans son relevé de conclusions. Celle du 13 octobre ne l’a pas réinscrit ; la suivante est fixée au 20 octobre.

L’Assemblée n’a donc procédé à aucun vote. Il n’y a eu ni commission mixte paritaire, ni adoption définitive, ni saisine du Conseil constitutionnel, ni promulgation : il n’existe pas de loi numérotée, et aucun décret d’application n’a pu être publié. La procédure accélérée ayant été engagée, une commission mixte paritaire pourra être réunie après une seule lecture dans chaque chambre en cas de désaccord.

Les dispositions citées ci-après sont celles du texte de la commission spéciale : leur rédaction et leur numérotation peuvent encore changer.

Un texte, trois directives

Le projet de loi transpose trois directives, une par titre. Le titre I transpose la directive (UE) 2022/2557 sur la résilience des entités critiques, dite directive REC. Le titre II transpose la directive (UE) 2022/2555, dite NIS2. Le titre III transpose la directive (UE) 2022/2556, qui accompagne DORA et adapte notamment le code monétaire et financier.

Le règlement DORA lui-même, le règlement (UE) 2022/2554, est directement applicable depuis le 17 janvier 2025 et n’a pas à être transposé : la loi n’en organise que l’articulation avec le droit français.

Le changement d’échelle se situe dans le titre II. Selon l’exposé des motifs, le nombre d’entités régulées passerait d’environ 500 sous NIS1 à près de 15 000, et le nombre de secteurs de 6 à 18. Le texte distingue des secteurs hautement critiques, parmi lesquels les banques, les infrastructures des marchés financiers, l’infrastructure numérique et la gestion des services TIC, et des secteurs critiques.

Sont notamment entités essentielles les entreprises de ces secteurs hautement critiques qui emploient au moins 250 personnes, ou dont le chiffre d’affaires dépasse 50 millions d’euros et le bilan 43 millions. Sont entités importantes les autres entreprises de ces deux catégories de secteurs d’au moins 50 personnes, ou dont le chiffre d’affaires et le bilan dépassent chacun 10 millions d’euros. L’ANSSI est l’autorité compétente. Les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu, conformément aux plafonds de l’article 34 de NIS2.

DORA d’abord : la règle de la loi spéciale

L’articulation est posée par le droit européen. L’article 4 de NIS2 prévoit que, lorsqu’un acte sectoriel de l’Union impose des mesures de gestion des risques ou des notifications d’incidents d’effet au moins équivalent, les dispositions correspondantes de la directive, y compris la supervision et l’exécution, ne s’appliquent pas. Selon l’article 1er, paragraphe 2, de DORA, ce règlement constitue cet acte sectoriel pour les entités financières identifiées comme essentielles ou importantes ; son considérant 16 le qualifie de lex specialis, et le considérant 28 de NIS2 en tire la conséquence.

Les lignes directrices de la Commission sur l’article 4, publiées au Journal officiel du 18 septembre 2023, délimitent le recoupement : les types d’entités relevant à la fois des deux textes sont les établissements de crédit, les plates-formes de négociation et les contreparties centrales. Les entreprises d’assurance et de réassurance, soumises à DORA, ne figurent pas dans les annexes de NIS2.

Le texte de la commission spéciale reprend cette logique. Son article 13 écarte les obligations de gestion des risques et de notification, et la supervision correspondante, pour les entités soumises à un acte sectoriel d’effet au moins équivalent, à condition que l’ANSSI ait un accès immédiat aux notifications d’incidents. Son article 62 A le dit explicitement pour les entités financières soumises à DORA.

Ce que la loi ajoute pour une banque tient à la circulation de l’information. L’article 43 A prévoit que les entités financières relevant de l’ACPR lui adressent leurs déclarations d’incidents majeurs liés aux TIC et que, lorsqu’elles sont aussi entités essentielles ou importantes, elles les transmettent également à l’ANSSI, en usant d’une option ouverte par l’article 19 de DORA. Un dispositif équivalent vise les entités relevant de l’AMF. Le 3 juillet 2026, l’ANSSI, l’ACPR et la Banque de France ont par ailleurs signé un accord de coopération portant sur les incidents et cybermenaces, les contrôles, la gestion de crise cyber et les tests d’intrusion fondés sur la menace.

Pour l’établissement lui-même, le cadre reste donc DORA, avec les mêmes processus de classification et de déclaration des incidents. Le changement est ailleurs.

Ce qui échappe à DORA dans un groupe financier

La dérogation de l’article 4 ne vaut que pour les entités couvertes par l’acte sectoriel : NIS2 précise que ses dispositions continuent de s’appliquer aux entités d’un secteur que cet acte ne couvre pas. La qualification se fait donc entité par entité, pas au niveau du groupe.

Or un groupe bancaire ou d’assurance comprend souvent des structures de moyens qui ne sont pas des entités financières au sens de l’article 2 de DORA : sociétés ou groupements informatiques, filiales d’hébergement, centres de services partagés. Lorsqu’une telle filiale exerce une activité visée par NIS2, par exemple fournisseur de services gérés ou de centres de données, et atteint les seuils de taille, elle peut relever de NIS2 en propre, sous la supervision de l’ANSSI, alors que les entités qu’elle sert relèvent de l’ACPR.

DORA appréhende ces filiales sous un autre angle. Son article 3 définit le prestataire de services TIC intra-groupe, et son considérant 31 souligne que ces services ne doivent pas être considérés automatiquement comme moins risqués que ceux d’un prestataire externe. Une filiale informatique peut ainsi être, en même temps, prestataire tiers au sens de DORA et entité essentielle ou importante au sens de NIS2. Le Référentiel Cyber France de l’ANSSI cite d’ailleurs, parmi les relations à recenser, les « matériels et services fournis par la maison mère à une filiale ».

L’application de la définition du fournisseur de services gérés à une structure qui ne sert que son groupe mérite une analyse juridique explicite plutôt qu’une présomption. Le simulateur « Suis-je concerné ? » de la plateforme MonEspaceNIS2 de l’ANSSI fournit un premier filtre.

La vraie exposition : la chaîne de fournisseurs

C’est par ce canal que NIS2 touchera le plus largement le secteur financier. Ses annexes visent précisément les prestataires dont dépendent banques et assurances : au titre de l’infrastructure numérique, les fournisseurs d’informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services DNS et les prestataires de services de confiance ; au titre de la gestion des services TIC, les fournisseurs de services gérés et de services de sécurité gérés. Pour les services de sécurité gérés, le considérant 86 de NIS2 appelle à une diligence renforcée dans le choix du prestataire.

Ces fournisseurs sont soumis à des exigences plus détaillées. Le règlement d’exécution (UE) 2024/2690 du 17 octobre 2024 fixe les mesures techniques et méthodologiques qui leur sont applicables, ce que reprend l’article 14 du texte de la commission. L’annexe de ce règlement consacre une section à la sécurité de la chaîne d’approvisionnement : politique formalisée, critères de sélection, et clauses portant notamment sur la notification des incidents, le droit d’audit, la gestion des vulnérabilités et la sous-traitance.

L’article 26 de NIS2 les rattache en outre à l’État membre de leur établissement principal dans l’Union, là où sont principalement prises les décisions de gestion des risques cyber. Un infogérant établi principalement dans un autre État membre est supervisé par l’autorité de cet État, et non par l’ANSSI. Si cet État a transposé la directive, il peut donc déjà y être soumis, malgré le retard français.

Le texte de la commission ajoute par ailleurs les éditeurs de logiciels à la liste des entités essentielles de son article 8. Cette mention, absente du texte du Sénat, pourra encore évoluer en séance.

Deux recoupements méritent l’attention. Un même fournisseur peut être entité essentielle au titre de NIS2 et désigné prestataire tiers critique au titre de DORA ; l’article 47 de DORA prévoit ce cas. Et NIS2 porte sur les entités et leurs services, là où le Cyber Resilience Act porte sur les produits : un éditeur peut relever des deux textes, à des titres différents.

Ce que le statut NIS2 d’un prestataire apporte, et ce qu’il n’apporte pas

Un signal utile. Un prestataire entité essentielle ou importante doit couvrir au minimum les dix domaines de mesures énumérés à l’article 21 de NIS2, dont la sécurité de sa propre chaîne d’approvisionnement. Il doit notifier ses incidents importants à l’autorité, informer ses clients le cas échéant, et il s’expose à des contrôles et à des sanctions. Pour le client, c’est un gage de maturité minimale.

Pas une délégation de responsabilité. L’article 28 de DORA est sans ambiguïté : l’entité financière reste à tout moment pleinement responsable du respect de ses obligations. Le statut NIS2 d’un fournisseur ne dispense ni de l’évaluation préalable prévue par cet article, ni des clauses de l’article 30, ni des audits. La résilience opérationnelle de l’établissement ne se délègue pas à un régulateur tiers.

Des horloges qui ne coïncident pas. NIS2 impose au fournisseur une alerte précoce à l’autorité dans les 24 heures suivant la prise de connaissance d’un incident important, une notification dans les 72 heures et un rapport final dans le mois. Envers ses clients, l’article 23 ne fixe pas de délai chiffré : la notification intervient « sans retard injustifié ». L’établissement financier doit, lui, adresser sa notification initiale d’incident majeur dans les quatre heures suivant la classification et au plus tard 24 heures après en avoir eu connaissance, selon le règlement délégué (UE) 2025/301. C’est donc au contrat de fixer le délai et le contenu de l’information remontée.

Un statut encore théorique en France. Tant que la loi n’est pas promulguée et ses décrets publiés, aucun fournisseur relevant de la compétence française n’est formellement soumis à ces obligations. Le pré-enregistrement proposé par l’ANSSI reste volontaire.

Intégrer NIS2 dans la gestion du risque tiers DORA

Il ne s’agit pas de créer un second dispositif, mais d’enrichir celui de DORA.

Qualifier le statut dans le registre. Le registre d’informations de l’article 28, paragraphe 3, de DORA recense déjà les accords de services TIC. Y adjoindre, pour un usage interne, le statut NIS2 déclaré, l’État membre de rattachement et la catégorie d’entité permet de croiser ce statut avec la criticité des fonctions soutenues.

Ajuster les questionnaires. Les questionnaires de sécurité et les démarches de notation et d’appréciation cyber des tiers peuvent intégrer quelques questions : le prestataire s’estime-t-il concerné par NIS2, à quel titre et dans quel État ? Applique-t-il le règlement 2024/2690 s’il en relève ? S’appuie-t-il sur le Référentiel Cyber France ou sur des prestations qualifiées par l’ANSSI, que le texte de la commission permet d’invoquer lors d’un contrôle ?

Faire converger les clauses. L’article 30 de DORA impose une assistance du prestataire en cas d’incident et, pour les services qui soutiennent des fonctions critiques ou importantes, des obligations de notification, des plans d’urgence testés et des droits d’accès, d’inspection et d’audit. Le règlement 2024/2690 demande aux fournisseurs concernés de prévoir dans leurs propres contrats la notification des incidents, le droit d’audit, la gestion des vulnérabilités et l’encadrement de la sous-traitance. Un même jeu de clauses peut répondre aux deux logiques.

Brancher les notifications. Le texte de la commission prévoit que les entités notifient à leurs clients les incidents importants qui les affectent directement, ainsi que les mesures à prendre face à une vulnérabilité critique. Ces messages doivent arriver à un point de contact identifié, être qualifiés dans le processus de classification DORA et, si nécessaire, déclencher la déclaration à l’ACPR.

Regarder au-delà du premier rang. NIS2 vise les relations avec les fournisseurs directs ; DORA impose de préciser les conditions de sous-traitance des services qui soutiennent des fonctions critiques ou importantes. Le statut NIS2 de l’hébergeur d’une solution SaaS est une information à demander. Les attaques de supply chain logicielle rappellent que le maillon compromis n’est pas toujours le fournisseur direct.

Les limites à garder en tête

Le texte n’est pas stabilisé. La séance publique peut modifier le périmètre (l’inclusion des éditeurs de logiciels, par exemple), la numérotation des articles ou certaines obligations. Les décrets en Conseil d’État qui fixeront les objectifs de sécurité, les critères des incidents importants et les informations à transmettre pour l’enregistrement restent à publier.

Le Référentiel Cyber France (ReCyF), mis à disposition par l’ANSSI le 17 mars 2026, est diffusé comme document de travail et correspond au référentiel prévu par l’article 14 du projet de loi. Sa version 2.5 comprend 20 objectifs de sécurité : les objectifs 1 à 15 visent les entités importantes et essentielles, les objectifs 16 à 20 les seules entités essentielles. Son objectif 3, « Maîtrise de l’écosystème », demande de recenser les prestataires informatiques et de s’assurer, notamment par voie contractuelle, de la conformité de leurs prestations. Il n’est pas obligatoire par défaut, mais les entités qui l’appliquent pourront s’en prévaloir lors d’un contrôle.

Le statut déclaré par un fournisseur n’est pas un statut vérifié. Le texte de la commission ne prévoit pas la publication de la liste des entités établie par l’ANSSI : l’établissement devra s’appuyer sur des déclarations.

Enfin, les fournisseurs reçoivent déjà de nombreux questionnaires : ajouter des questions sans en exploiter les réponses dégrade la qualité de l’ensemble.

Perspective Forum des Compétences

La loi Résilience n’est pas encore votée et, pour les établissements financiers eux-mêmes, elle changera peu sur le fond. DORA reste leur cadre, l’ACPR leur superviseur, et la principale nouveauté tiendra à la transmission de certaines déclarations d’incidents à l’ANSSI. Ce constat rassurant masque le principal.

NIS2 atteindra le secteur financier par ses fournisseurs : hébergeurs, fournisseurs d’informatique en nuage, infogérants, prestataires de services de sécurité gérés, et peut-être éditeurs de logiciels. Pour beaucoup d’entre eux, ce sera la première régulation cyber contraignante, avec une autorité de contrôle, des obligations de notification et des sanctions. C’est une bonne nouvelle pour la résilience de la place, à condition que les établissements sachent en tirer parti.

Trois actions peuvent être engagées sans attendre la promulgation. D’abord, recenser les entités non financières du groupe et instruire leur qualification au regard de NIS2. Ensuite, recueillir le statut NIS2 des prestataires TIC et l’intégrer au registre d’informations et aux questionnaires existants, sans créer de circuit parallèle. Enfin, réviser les clauses de notification d’incident pour que les délais contractuels soient compatibles avec ceux de DORA, quels que soient les délais réglementaires du fournisseur.

La question à poser en comité des risques est simple : parmi les prestataires qui soutiennent nos fonctions critiques ou importantes, lesquels seront soumis à NIS2, et au bout de combien d’heures saurions-nous qu’un incident chez l’un d’eux nous concerne ?

Sources publiques utilisées

Cet article s’appuie sur les textes européens, les documents parlementaires et les publications des autorités :

• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossiers législatifs du Sénat (texte n° 33 du 15 octobre 2024 et exposé des motifs, texte adopté n° 78 du 12 mars 2025) et de l’Assemblée nationale (texte n° 1112, texte n° 1779 de la commission spéciale du 10 septembre 2025), consultés le 14 octobre 2026.
• Assemblée nationale, relevés de conclusions de la Conférence des présidents des 22 septembre, 6 octobre et 13 octobre 2026.
• Constitution du 4 octobre 1958, article 45.
• Directive (UE) 2022/2555 (NIS2), notamment ses articles 4, 21, 23, 26 et 34, ses considérants 28 et 86 et ses annexes I et II.
• Règlement (UE) 2022/2554 (DORA), notamment ses articles 1er, 2, 3, 19, 28, 30 et 47 et ses considérants 16 et 31, et règlement délégué (UE) 2025/301 sur les délais de notification.
• Directives (UE) 2022/2556 et 2022/2557.
• Commission européenne, lignes directrices sur l’application de l’article 4 de la directive (UE) 2022/2555, Journal officiel du 18 septembre 2023.
• Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024.
• Commission européenne, annonce du 8 juillet 2026 sur la saisine de la Cour de justice.
• ANSSI, page consacrée à la directive NIS 2, actualité du 18 mars 2026 et Référentiel Cyber France (version 2.5 du 17 mars 2026, document de travail), plateforme MonEspaceNIS2.
• ANSSI, actualité du 6 juillet 2026 sur l’accord de coopération avec l’ACPR et la Banque de France.