NIS 2 : la loi Résilience enfin examinée à l'Assemblée nationale, ce qui change pour vos serveurs

Avec plus de deux ans de retard, la transposition de la directive NIS 2 arrive enfin dans l'hémicycle. Depuis le lundi 9 novembre 2026, l'Assemblée nationale examine en séance publique le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Selon le calendrier relayé par la presse spécialisée, les débats peuvent se poursuivre jusqu'au vendredi 13 novembre, hors 11 novembre férié, et le vote solennel sur l'ensemble du texte est inscrit au mardi 17 novembre. Le temps presse : le 8 juillet 2026, la Commission européenne a renvoyé la France devant la Cour de justice de l'Union européenne (CJUE) pour non-transposition de NIS 2. Pour un hébergeur, un infogérant ou l'administrateur des serveurs d'une entreprise ou d'une collectivité, ce texte fixe les règles de cybersécurité des prochaines années : mesures de sécurité, notification des incidents à l'ANSSI, contrôles et sanctions.

Sources : dossier législatif de l'Assemblée nationale et calendrier d'examen publié par l'Assemblée, texte adopté par la commission spéciale (n° 1779), synthèse du rapport de la commission spéciale du Sénat, communiqué de la Commission européenne du 8 juillet 2026, directive (UE) 2022/2555 sur EUR-Lex et règlement d'exécution (UE) 2024/2690.

Loi Résilience : deux ans de retard sur NIS 2

La directive NIS 2, ou directive (UE) 2022/2555 du 14 décembre 2022, remplace la première directive NIS de 2016. Entrée en vigueur le 16 janvier 2023, elle devait être transposée dans le droit de chaque État membre au plus tard le 17 octobre 2024. La France a déposé son projet de loi deux jours avant l'échéance, mais le parcours parlementaire s'est enlisé : adopté par le Sénat en mars 2025, voté par la commission spéciale de l'Assemblée nationale en septembre 2025, le texte a ensuite été reporté plusieurs fois avant d'arriver dans l'hémicycle.

Le Gouvernement ayant engagé la procédure accélérée, une commission mixte paritaire (CMP) pourra être convoquée après ce vote pour accorder les versions des deux assemblées, sans deuxième lecture. La loi ne réglera pas tout : la synthèse du rapport du Sénat comptait 40 renvois à des décrets en Conseil d'État dans le projet initial, qu'il s'agisse de la liste des sous-secteurs, du référentiel de sécurité, des modalités de notification des incidents ou de la procédure de sanction. Le texte est défendu par Anne Le Hénanff, ministre déléguée chargée du numérique. Éric Bothorel en est le rapporteur général à l'Assemblée, où environ 400 amendements ont été déposés.

La France renvoyée devant la CJUE depuis le 8 juillet

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre quatre États membres, l'Irlande, l'Espagne, la France et les Pays-Bas, faute de lui avoir notifié la transposition complète de NIS 2. C'est la dernière étape d'une procédure d'infraction ouverte par une lettre de mise en demeure le 28 novembre 2024, suivie d'un avis motivé le 7 mai 2025. La Commission demande à la Cour d'infliger une sanction financière composée d'une somme forfaitaire et d'une astreinte journalière, due jusqu'à la notification d'une transposition complète.

Ce recours vise l'État, pas les entreprises. Une directive ne crée pas, à elle seule, d'obligations à la charge des entreprises : tant que la loi Résilience n'est pas promulguée et que ses décrets ne sont pas publiés, les nouvelles obligations de NIS 2 ne s'appliquent pas en France. Les organisations déjà régulées, opérateurs d'importance vitale (OIV) au titre du code de la défense et opérateurs de services essentiels (OSE) désignés sous NIS 1 par la loi du 26 février 2018, restent soumises à leurs règles actuelles. Ce délai n'a rien d'un sursis : les mesures exigées représentent des mois de travail, et l'ANSSI invite les futures entités régulées à anticiper leur mise en conformité.

Que vous soyez une entité régulée ou l'un de ses prestataires, tout commence par la maîtrise de vos propres serveurs. Nos serveurs dédiés vous donnent un accès root complet à une machine entière hébergée en France ; nos VPS Linux conviennent aux charges plus légères.

Trois directives européennes dans un seul projet de loi

Le projet de loi Résilience transpose d'un seul coup trois textes européens adoptés le 14 décembre 2022. Chacun occupe un titre du projet de loi :

Pour qui administre des serveurs, c'est le titre II qui concentre l'essentiel des obligations. Le changement d'échelle est considérable : selon la synthèse du rapport du Sénat, les 15 000 entités visées comprennent près de 1 500 collectivités territoriales, groupements et organismes placés sous leur tutelle, dont l'ensemble des régions et des départements, près de 1 000 communautés de communes et 300 communes de plus de 30 000 habitants. L'ANSSI, autorité nationale de sécurité des systèmes d'information, tiendra la liste des entités, recevra les notifications d'incidents, conduira les contrôles et saisira, si besoin, la commission des sanctions.

Entités essentielles et entités importantes : les critères de la loi

NIS 2 classe les organisations régulées en deux catégories, selon leur secteur d'activité et leur taille. Les articles 8 et 9 du projet de loi reprennent ces critères : un secteur « hautement critique » (annexe I de la directive) ou « critique » (annexe II), combiné aux seuils européens de taille des entreprises. Les deux catégories ont les mêmes obligations de sécurité et de notification ; elles diffèrent par l'intensité de la supervision et par le plafond des sanctions.

Certaines entités sont régulées quelle que soit leur taille. Les fournisseurs de services DNS, les offices d'enregistrement (registres de noms de domaine de premier niveau) et les prestataires de services de confiance qualifiés sont des entités essentielles. Les opérateurs de communications électroniques sont essentiels dès 50 salariés, ou 10 millions d'euros de chiffre d'affaires et de bilan, et importants en dessous. Le Premier ministre peut aussi désigner par arrêté une entité de toute taille, par exemple si elle est le seul prestataire d'un service essentiel sur le territoire national (article 10).

Hébergeurs, cloud et datacenters : le secteur « infrastructure numérique »

Les métiers de l'hébergement figurent tous parmi les secteurs hautement critiques de l'annexe I. Le secteur « infrastructure numérique » regroupe :

• les fournisseurs de points d'échange internet ;
• les fournisseurs de services DNS, à l'exclusion des opérateurs de serveurs racines ;
• les registres de noms de domaine de premier niveau ;
• les fournisseurs de services d'informatique en nuage ;
• les fournisseurs de services de centres de données ;
• les fournisseurs de réseaux de diffusion de contenu (CDN) ;
• les prestataires de services de confiance ;
• les fournisseurs de réseaux de communications électroniques publics et de services de communications électroniques accessibles au public.

Le secteur voisin, « gestion des services TIC (interentreprises) », vise les fournisseurs de services gérés, c'est-à-dire les infogérants, et les fournisseurs de services de sécurité gérés, comme un SOC externalisé. Un hébergeur de VPS ou de serveurs dédiés relève en principe des fournisseurs de services d'informatique en nuage, un opérateur de housing (colocation en baie) des fournisseurs de services de centres de données. Ces secteurs étant hautement critiques, un hébergeur de 50 salariés ou plus sera une entité importante, et une entité essentielle à partir de 250 salariés ou de 50 millions d'euros de chiffre d'affaires et 43 millions de bilan.

Pour ces acteurs, l'article 14 du projet de loi prévoit une règle particulière : au lieu du référentiel national, ils appliquent directement le règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Ce règlement détaille les exigences techniques et méthodologiques des mesures de sécurité et fixe, pour chaque type de fournisseur, à partir de quand un incident est « important » :

Deux précisions comptent au quotidien. Les interruptions de service programmées et les conséquences prévues d'une maintenance planifiée ne sont pas des incidents importants (article 3, paragraphe 2). À l'inverse, des incidents mineurs répétés le deviennent collectivement s'ils surviennent au moins deux fois en six mois avec la même cause apparente et dépassent ensemble le seuil financier (article 4). Planifier et documenter ses maintenances a donc aussi un intérêt réglementaire.

Les mesures de sécurité NIS 2, traduites en tâches d'administrateur

L'article 21 de la directive impose aux entités essentielles et importantes des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » pour gérer les risques qui menacent leurs réseaux et systèmes d'information, selon une approche « tous risques ». L'article 14 du projet de loi les reprend en quatre objectifs (gouvernance, protection, défense, résilience) et confie à un décret en Conseil d'État le soin de fixer un référentiel d'exigences adapté à l'exposition aux risques et à la taille de chaque entité. Voici les dix mesures minimales de la directive et ce qu'elles signifient sur un parc de serveurs :

La gouvernance n'est pas une formalité. L'article 14 du projet de loi prévoit que les organes de direction approuvent et supervisent les mesures de sécurité, et que leurs membres, comme les personnes exposées aux risques, soient formés à la cybersécurité. La conformité NIS 2 n'est plus seulement l'affaire du RSSI ou de l'administrateur système : les dirigeants en répondent.

Le règlement d'exécution 2024/2690, obligatoire pour les hébergeurs, le cloud et les infogérants, donne le niveau de détail attendu. C'est aussi une bonne liste de contrôle pour toute autre entité :

• Surveillance et journalisation (point 3.2 de l'annexe) : journaux couvrant le trafic entrant et sortant, la création, la modification et la suppression de comptes, les accès privilégiés et les activités des comptes d'administration, les accès aux fichiers critiques de configuration et de sauvegarde. Les journaux sont sauvegardés et protégés, et les horloges des systèmes synchronisées pour corréler les événements.
• Gestion des sauvegardes (point 4.2) : copies complètes et exactes, stockées dans un ou plusieurs endroits sûrs, hors du réseau du système et assez loin du site principal pour échapper à une catastrophe. Contrôles d'intégrité et tests de restauration réguliers, avec résultats consignés.
• Gestion des correctifs de sécurité (point 6.6) : correctifs appliqués dans un délai raisonnable, testés avant la production, issus de sources fiables et soumis à un contrôle d'intégrité. Ne pas appliquer un correctif reste possible si les inconvénients l'emportent, à condition de documenter et de justifier ce choix.
• Comptes privilégiés (point 11.3) : procédures fortes d'authentification, multifactorielle par exemple, comptes dédiés aux seules tâches d'administration, privilèges individualisés et restreints.

Sur un serveur Linux, quelques commandes donnent un premier état des lieux de ces points :

# Horloge synchronisée, pour corréler les journaux entre serveurs
chronyc tracking

# Paquets en attente de mise à jour (Debian, Ubuntu)
apt list --upgradable

# Configuration SSH effective : authentification par mot de passe et connexion root
sudo sshd -T | grep -Ei '^(passwordauthentication|permitrootlogin)'

# Connexions SSH des dernières 24 heures (unité sshd sur Rocky Linux ou AlmaLinux)
sudo journalctl -u ssh --since "24 hours ago"

Nos guides détaillent chaque chantier : synchronisation NTP avec chrony, rotation des journaux pour conserver l'historique sans saturer le disque, et sauvegardes et haute disponibilité d'un serveur dédié.

Les entités qui ne relèvent pas du règlement 2024/2690 attendront le référentiel national prévu par l'article 14. En attendant, l'ANSSI a diffusé en mars 2026 le Référentiel Cyber France (ReCyF), présenté comme un document de travail, qui liste les mesures qu'elle recommande pour atteindre les objectifs de sécurité de NIS 2. Le projet de loi permet aussi de démontrer sa conformité avec un autre référentiel reconnu équivalent par l'ANSSI, ou grâce à un label de confiance qui vaut présomption de conformité (article 15).

Incident important : notifier l'ANSSI sous 24 heures

L'article 17 du projet de loi oblige les entités essentielles et importantes à notifier à l'ANSSI, sans retard injustifié, tout incident ayant un impact important sur la fourniture de leurs services. Un incident est important s'il a causé, ou peut causer, une perturbation opérationnelle grave des services ou des pertes financières significatives, ou s'il a affecté, ou peut affecter, d'autres personnes en causant des dommages matériels, corporels ou moraux considérables. La notification se fait en plusieurs temps :

L'ANSSI répond, si possible dans les 24 heures, à l'entité qui notifie. Le cas échéant, l'entité doit aussi prévenir sans retard injustifié les destinataires de ses services touchés par un incident important, et leur indiquer les mesures à prendre face à une vulnérabilité critique. Si l'incident peut entraîner une violation de données à caractère personnel, l'ANSSI en informe la CNIL ; cela ne dispense pas de la notification propre au RGPD, à adresser à la CNIL dans les 72 heures (article 33 du RGPD).

Le délai de 24 heures court à partir du moment où vous avez connaissance de l'incident : sans supervision, vous risquez de le découvrir trop tard pour reconstituer ce qui s'est passé. Une alerte sur un pic de trafic sortant, un compte d'administration créé hors procédure ou une sauvegarde qui échoue vaut mieux qu'un constat le lundi matin. Pour l'analyse, nos guides sur l'analyse des journaux avec journalctl et la détection d'intrusion avec CrowdSec donnent une base.

Contrôles et sanctions : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires

Après un contrôle, l'ANSSI peut ouvrir une procédure. Elle peut alors prononcer un avertissement, enjoindre de prendre les mesures pour éviter ou corriger un incident, ordonner une mise en conformité dans un délai d'au moins un mois (sauf manquement grave ou répété), exiger d'informer les clients d'une menace grave ou de mettre en œuvre les recommandations d'un audit. Ces injonctions peuvent être assorties d'une astreinte de 5 000 € par jour de retard au maximum (article 31). Si l'entité ne se met pas en conformité, l'ANSSI saisit la commission des sanctions prévue par le code de la défense, qui peut prononcer une amende administrative (article 37) :

Ces plafonds reprennent les minimums fixés par l'article 34 de la directive. Si les mêmes faits ont déjà donné lieu à une amende de la CNIL au titre du RGPD, la commission des sanctions ne peut pas prononcer d'amende administrative. À ne pas confondre : la sanction que la Commission européenne réclame devant la CJUE vise l'État français, pas les entreprises.

Chiffrement : les députés suppriment l'article 16 bis

Le chiffrement s'est invité dès le début des débats. Introduit au Sénat, l'article 16 bis interdisait d'imposer aux fournisseurs de services de chiffrement des dispositifs affaiblissant volontairement la sécurité des systèmes d'information, comme des clés de déchiffrement maîtresses ou tout autre mécanisme d'accès non consenti aux données protégées. Le mardi 10 novembre, les députés l'ont supprimé par 69 voix contre 37, avec le soutien du Gouvernement, rapporte Next. Le ministre de l'Intérieur, Laurent Nuñez, jugeait l'article trop large et sans lien suffisant avec le texte.

Pour un administrateur, cette suppression ne crée aucune obligation nouvelle : elle retire une interdiction de principe. La cryptographie et le chiffrement restent, eux, l'une des dix mesures obligatoires de l'article 21 de NIS 2. Le texte peut encore évoluer d'ici au vote du 17 novembre, puis en commission mixte paritaire.

Serveur de jeu, VPS, PME : êtes-vous concerné ?

Ce dernier cas concerne potentiellement bien plus d'organisations que les entités régulées elles-mêmes. La sécurité de la chaîne d'approvisionnement fait partie des mesures obligatoires, et le règlement 2024/2690 (point 5.1.4) détaille ce que les contrats avec les fournisseurs peuvent préciser, s'il y a lieu : exigences de cybersécurité, formation et certifications du personnel, vérification des antécédents, notification sans retard injustifié des incidents, droit d'audit ou de recevoir des rapports d'audit, gestion des vulnérabilités, encadrement de la sous-traitance et, en fin de contrat, récupération et destruction des informations. Un hébergeur ou un infogérant de PME industrielle doit s'attendre à recevoir ces clauses, même s'il n'est pas lui-même une entité régulée.

Héberger des serveurs soumis à NIS 2 chez ElypseCloud

NIS 2 n'impose aucune localisation des données : la directive parle de mesures de sécurité, pas de pays d'hébergement. Le choix d'un hébergeur relève en revanche de la chaîne d'approvisionnement, et vous devrez pouvoir le justifier. Ce que nous pouvons documenter pour vous :

• des serveurs installés en France, au datacenter Equinix PA6 d'Aubervilliers (Tier III), exploités par ElypseGroup SAS, société française ;
• un serveur dédié avec accès root complet dès la livraison et protection anti-DDoS incluse : journalisation, correctifs, comptes nominatifs et authentification forte restent entre vos mains ;
• une politique de sauvegarde et de réversibilité sans frais d'extraction des données, avec attestation d'effacement sur demande écrite, qui répond à la question de la fin de contrat ;
• le housing à Paris, si vous préférez installer votre propre matériel dans une baie du même datacenter.

Les mesures de l'article 21 portent sur vos réseaux et systèmes d'information : un hébergeur ne vous rend pas conforme à votre place, il vous donne les moyens de l'être. La loi Résilience s'inscrit dans un ensemble plus large de textes européens sur le numérique. Lisez aussi nos actualités sur le Data Act et la fin des frais de sortie cloud et sur le Cloud and AI Development Act (CADA).