Une PME industrielle du Bassin Genevois reçoit un questionnaire de sécurité de son principal donneur d'ordre. Trente-deux questions, un délai de réponse de trois semaines, et une phrase en bas de page : la reconduction du contrat-cadre en dépendra. Le dirigeant nous appelle avec la même remarque que tous les autres : il croyait que cette réglementation ne concernait que les grands groupes, et il n'a rien reçu de l'administration.
Les deux affirmations sont exactes, et pourtant le questionnaire est là. C'est tout le paradoxe de la directive européenne NIS2 aujourd'hui : la loi française qui la transpose n'est toujours pas promulguée, mais ses exigences circulent déjà dans les contrats, en descendant de proche en proche le long des chaînes de sous-traitance. Cet article fait le point sur l'état réel du droit et sur ce qu'une entreprise franco-suisse a intérêt à préparer sans attendre.
Où en est vraiment la transposition en France
L'échéance européenne de transposition était fixée au 18 octobre 2024. Elle est passée sans que la France promulgue son texte. Le véhicule législatif s'appelle le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, souvent appelé loi Résilience, et il transpose trois textes européens d'un coup : NIS2 pour la cybersécurité, la directive sur la résilience des entités critiques, et le volet financier DORA.
Le calendrier s'est étiré. Le Sénat a adopté le texte en première lecture le 12 mars 2025. La commission spéciale de l'Assemblée nationale a adopté sa version le 10 septembre 2025. L'examen en séance publique, attendu en juillet 2026, a été reporté à la rentrée de septembre 2026. Entre-temps, le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, ainsi que contre l'Irlande, l'Espagne et les Pays-Bas, en demandant des sanctions financières jusqu'à notification d'une transposition complète.
Retenez la conséquence pratique plutôt que la procédure : les obligations naîtront avec la loi et ses décrets d'application. Tant qu'ils ne sont pas publiés, aucune autorité française ne peut vous sanctionner sur ce fondement. Ce constat juridique n'a toutefois aucun effet sur le questionnaire posé sur votre bureau.
Vous êtes rarement concerné directement, souvent concerné par ricochet
La directive élargit considérablement le périmètre par rapport au cadre précédent, qui visait quelques centaines d'opérateurs jugés d'importance vitale. Elle distingue des entités dites essentielles et des entités dites importantes, réparties dans une vingtaine de secteurs : énergie, santé, transport, numérique, gestion des déchets, agroalimentaire, services aux entreprises et d'autres encore.
La plupart des PME que nous accompagnons ne tomberont pas directement dans ces catégories. Elles y entrent par une autre porte : la sécurité de la chaîne d'approvisionnement. Une entité soumise au texte doit évaluer le risque que représentent ses fournisseurs et ses sous-traitants, et elle le fait avec l'outil dont elle dispose, le contrat. Vous ne recevez donc pas une mise en demeure de l'administration, vous recevez un questionnaire de votre client, puis une clause dans le renouvellement.
Cette mécanique explique pourquoi le retard de transposition ne vous protège pas. Votre client peut être établi dans un pays où le texte est déjà en vigueur, ou être un grand groupe français qui a décidé d'anticiper plutôt que de refaire l'exercice dans six mois.
Le cas franco-suisse, qui nous occupe particulièrement
Une société suisse n'entre pas dans le champ d'application de la directive, qui vise les États membres de l'Union. La réponse s'arrête là sur le plan juridique, et elle est souvent mal comprise comme une dispense.
En pratique, une entreprise suisse qui fournit un client européen, ou qui participe à la chaîne d'approvisionnement d'une entité réglementée, se voit demander les mêmes garanties par voie contractuelle. Nous le constatons régulièrement dans le bassin, où beaucoup de sociétés travaillent des deux côtés de la frontière : l'exigence n'arrive pas par le droit national, elle arrive par le client. Une entreprise disposant de deux entités, une française et une suisse, a d'ailleurs intérêt à tenir un seul niveau de sécurité pour les deux plutôt que deux régimes distincts, ne serait-ce que pour ne pas avoir à répondre deux fois au même questionnaire.
Ce qui se prépare sans attendre le texte
L'agence nationale de la sécurité des systèmes d'information a publié depuis mars 2026 un référentiel qui liste les mesures attendues, ce qui donne une lecture concrète des exigences avant même la promulgation. Le schéma de notification des incidents annoncé jusqu'ici prévoit une alerte précoce sous vingt-quatre heures, une notification détaillée sous soixante-douze heures et un rapport final sous un mois.
Ce calendrier est le seul élément qui demande vraiment une préparation en amont, parce qu'il ne s'improvise pas un dimanche soir. Tenir vingt-quatre heures suppose de savoir qui déclare, à partir de quels éléments, et avec quelles traces disponibles. Le reste des exigences ressemble beaucoup à ce que nous mettons déjà en place dans un contrat.
- Un inventaire des systèmes et des données, sans lequel aucune analyse de risque ne tient debout.
- Des accès nominatifs et une authentification à deux facteurs sur la messagerie et les accès distants, sujet que nous traitons dans notre article sur la double authentification.
- Des sauvegardes testées, et pas seulement planifiées, selon le principe décrit dans notre article sur la règle 3-2-1.
- Une journalisation conservée ailleurs que sur la machine concernée, faute de quoi une notification détaillée sous trois jours restera un exercice de rédaction.
- Une procédure d'incident écrite, avec les noms, les numéros et l'ordre des appels, y compris celui de votre assureur si vous êtes couvert, question que nous abordons dans la cyberassurance en PME.
- Une vue sur vos propres sous-traitants, puisque l'exigence que vous recevez, vous devrez la transmettre à votre tour.
Aucun de ces points n'attend une loi pour être utile. Ils réduisent le risque réel, et ils produisent au passage les réponses au questionnaire.
Comment nous procédons
Nous partons de l'audit du parc, qui fournit l'inventaire et l'écart entre ce qui est en place et ce qui est attendu. Nous priorisons ensuite ce qui protège vraiment, dans l'ordre : les accès, les sauvegardes, la détection, puis la documentation. Beaucoup de dirigeants font l'inverse et commencent par rédiger une politique de sécurité que personne n'appliquera.
Le contrat d'infogérance porte ensuite l'exploitation dans la durée, à partir de 120 HT / mois et dimensionné après l'audit, et notre page cybersécurité détaille le volet détection et réponse. Nous nous déplaçons dans tout le Bassin Genevois. Une précision utile : nous produisons les éléments techniques et les preuves de mise en oeuvre, nous ne qualifions pas votre situation juridique au regard du texte, ce qui relève de votre conseil.
Si vous avez reçu un questionnaire de sécurité et que vous ne savez pas quoi répondre, transmettez-le nous. Nous vous dirons ce que vous pouvez déjà attester, ce qui demande une correction technique, et ce qui relève d'une réponse de votre direction plutôt que de votre prestataire.