NIS2 : ce que la future loi Résilience peut changer dans vos contrats fournisseurs

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024. Le Sénat l’a adopté le 12 mars 2025. La commission spéciale de l’Assemblée nationale a établi son texte le 10 septembre 2025.

L’examen en séance a ensuite été reporté à plusieurs reprises. Le texte a notamment été retiré de l’ordre du jour des 7 et 9 octobre 2026. Le dossier législatif de l’Assemblée indique désormais une discussion en séance publique le lundi 9 novembre 2026, avec 398 amendements déposés sur le texte de la commission.

Les États membres devaient transposer NIS2 au plus tard le 17 octobre 2024. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, faute de notification d’une transposition complète. Elle demande des sanctions financières : une somme forfaitaire et des astreintes journalières.

Cette procédure vise l’État français, pas les entreprises. Elle ajoute de la pression sur le calendrier, sans créer d’obligation directe pour une société française. La directive doit être transposée pour produire ses effets généraux à l’égard des entreprises. La portée exacte de ce principe reste une question à soumettre à votre conseil.

La directive vise les entités des secteurs de ses annexes I et II, soit 18 secteurs selon la Commission, à partir de la taille d’une moyenne entreprise. Une entreprise de 100 à 500 personnes peut donc entrer dans le périmètre si son activité relève de l’un de ces secteurs. Des exceptions à ce seuil existent pour certains types d’entités.

L’ANSSI distingue les futures entités essentielles et les futures entités importantes, selon la criticité, la taille et le chiffre d’affaires. Elle met à disposition un test en ligne pour évaluer sa situation. Ce résultat reste à confronter au texte français définitif.

Une entreprise hors périmètre n’est pas pour autant à l’écart. Si elle fournit une entité concernée, elle peut recevoir des demandes contractuelles de son client. Dans ce cas, l’engagement vient du contrat, et non d’une obligation légale qui lui serait propre.

L’article 21 impose aux États de veiller à ce que les entités prennent des mesures de gestion des risques appropriées et proportionnées. La liste minimale comprend, au point d), la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité dans les relations entre l’entité et ses fournisseurs ou prestataires de services directs.

Le paragraphe 3 précise ce qu’il faut regarder pour chaque fournisseur direct :

• ses vulnérabilités propres ;
• la qualité globale de ses produits et de ses pratiques de cybersécurité ;
• ses procédures de développement sécurisé ;
• les résultats des évaluations coordonnées des risques menées au niveau de l’Union, le cas échéant.

Le considérant 85 fait le lien avec le contrat : les entités devraient être encouragées à intégrer des mesures de gestion des risques dans leurs accords avec leurs fournisseurs directs. Il s’agit d’un encouragement, pas d’un contenu imposé. Les autres niveaux de la chaîne peuvent être pris en considération.

L’article 23 compte aussi pour la relation fournisseur. L’entité doit transmettre une alerte précoce dans les 24 heures après avoir eu connaissance d’un incident important, puis une notification dans les 72 heures. Elle dépend parfois de son prestataire pour obtenir ces informations.

Dans le texte de la commission spéciale, l’article 14 demande aux entités de protéger leurs réseaux et systèmes d’information, « y compris en cas de recours à la sous-traitance ». Un décret en Conseil d’État doit fixer les objectifs et les conditions d’élaboration d’un référentiel. Ce sont des dispositions d’un projet, susceptibles d’évoluer.

L’ANSSI met à disposition depuis le 17 mars 2026 le Référentiel Cyber France, ou ReCyF. Elle le présente comme un document de travail qui liste ses mesures recommandées et qui correspond au référentiel mentionné à l’article 14 du projet de loi. Il est par défaut non obligatoire et susceptible d’ajustements.

Certains fournisseurs numériques, comme les services d’informatique en nuage ou les services gérés, relèvent d’un règlement d’exécution européen spécifique, le règlement (UE) 2024/2690. Le secteur financier a pour sa part le cadre DORA. Un même contrat peut donc soulever plusieurs régimes.

Sans attendre le texte final, une équipe juridique peut déjà savoir ce que disent ses contrats. Il s’agit d’un inventaire, pas d’une mise en conformité à une loi qui n’existe pas encore. Les thèmes suivants découlent de l’article 21 et de l’article 23 :

• Criticité : quels fournisseurs directs ont accès à vos systèmes ou portent un service essentiel ?
• Sécurité : le contrat décrit-il des mesures concrètes, ou seulement un engagement général ?
• Incidents : existe-t-il une obligation d’information, avec quel délai et quel contact ?
• Contrôle : pouvez-vous demander des éléments de preuve ou mener un audit ?
• Sous-traitance : savez-vous qui intervient derrière votre fournisseur direct ?
• Continuité : que prévoit le contrat en cas d’interruption ou de sortie ?
• Calendrier : quelle est la prochaine date de préavis ou de tacite reconduction ?

Ce dernier point a une portée pratique. Une renégociation est plus simple à engager avant un renouvellement. La rédaction et le niveau d’exigence relèvent ensuite de chaque situation et de votre conseil.

Une prudence s’impose sur les mots. Une demande d’attestation de « conformité à NIS2 » peut être difficile à interpréter tant que le droit français n’a pas fixé les exigences applicables. Un engagement contractuel précis est plus simple à apprécier qu’une référence générale.

Quatre éléments peuvent modifier l’analyse : le vote de l’Assemblée et la suite de la procédure, les décrets d’application, la version définitive du ReCyF, et les modifications ciblées de la directive proposées par la Commission le 20 janvier 2026.

Les sanctions de la directive restent à transposer. Elle prévoit des plafonds d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes.

Docform n’établit pas votre conformité à NIS2. Il aide à faire l’inventaire : les contrats fournisseurs sont centralisés avec un référentiel des contreparties, et les rappels se programment sur les dates de fin et de préavis. Un questionnaire sécurisé collecte les informations d’un fournisseur. L’assistant confronte un contrat à votre playbook et signale les écarts en citant le passage source. Le juriste garde la décision.