La gouvernance informatique de ton entreprise vient de gagner un répit, et ce n'est pas une raison de l'oublier. Mardi 6 octobre, la conférence des présidents de l'Assemblée nationale a retiré de son ordre du jour le projet de loi Résilience, le texte qui doit transposer en France la directive européenne NIS 2. Il devait être examiné les 7 et 9 octobre. Il ne le sera pas. Le rapporteur, Éric Bothorel, espère le réinscrire d'ici deux ou trois semaines, sans aucune date arrêtée. La raison officielle : un calendrier parlementaire trop chargé, comme le rapporte Next.
Pour mémoire, la France aurait dû transposer NIS 2 avant le 17 octobre 2024. Cela fait donc presque deux ans de retard. Et si tu te dis « tant mieux, je n'ai rien à faire pour l'instant », ce billet est pour toi.
Sommaire
Un texte qui traîne depuis deux ans
Le projet de loi a été déposé au Sénat le 15 octobre 2024, adopté par les sénateurs le 12 mars 2025, puis étudié en commission spéciale à l'Assemblée en septembre 2025. Depuis, il est resté bloqué. D'après la Commission supérieure du numérique et des postes, un article ajouté au Sénat (le 16 bis) a été le point de clivage politique qui a figé le débat.
Résultat : des milliers d'entreprises attendent de savoir si elles sont concernées, à quelle date, et avec quelles obligations exactes. C'est confortable de les attendre. C'est aussi un très bon moyen de se faire surprendre.
Le vrai sujet n'est pas la loi, c'est ta gouvernance informatique
Mets de côté le calendrier parlementaire une minute. Que dit réellement NIS 2, dans son esprit ? Elle demande à la direction d'une entreprise de prendre la main sur ses risques informatiques. Pas de les déléguer en bloc à « celui qui s'y connaît », mais d'approuver les mesures de gestion du risque, d'en suivre l'application et de se former suffisamment pour comprendre ce qu'on lui présente.
Autrement dit, la responsabilité remonte du service informatique vers le comité de direction. La directive prévoit d'ailleurs des sanctions qui ne sont plus de l'ordre du symbolique : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités dites essentielles, jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes. La version française peut encore évoluer, mais la logique, elle, ne changera pas : la direction répond de l'informatique.
Et c'est là que beaucoup de dirigeants se retrouvent coincés. Quand on leur demande « qui décide de ce qui est sauvegardé, de qui a accès à quoi, de ce qu'on fait si tout s'arrête lundi matin ? », la réponse est souvent un silence, puis un prénom. Celui d'un collaborateur, d'un prestataire, d'un cousin qui « gère le réseau ». Ce n'est pas de la gouvernance. C'est de la confiance, ce qui est précieux, mais ce n'est pas suffisant.
Imagine un lundi matin ordinaire. Tes équipes arrivent, plus rien ne s'ouvre, un message demande une rançon. Ton premier réflexe sera d'appeler « l'informaticien ». Mais c'est toi qui devras répondre aux clients, décider de payer ou non, prévenir ton assureur et les autorités, et expliquer à tes salariés pourquoi ils rentrent chez eux. Aucune de ces décisions n'est technique. Toutes relèvent de la direction, et toutes se préparent bien avant le jour J.
« Et si je ne suis pas concerné ? »
Tu as peut-être déjà vérifié : ton entreprise ne rentre pas dans les secteurs ou les seuils visés. Bonne nouvelle, sauf que ça ne règle pas tout, pour trois raisons.
D'abord, NIS 2 impose aux entités concernées de maîtriser la sécurité de leurs fournisseurs et sous-traitants. Si tu travailles pour une entreprise visée, elle viendra te poser des questions, puis te demander des preuves. Cela commence souvent par un questionnaire de sécurité dans un appel d'offres, et ça finit par une clause dans ton contrat.
Ensuite, tes assureurs, tes banques et tes grands clients n'ont pas attendu le Parlement pour durcir leurs exigences. Une entreprise qui sait montrer comment elle pilote son informatique rassure. Une entreprise qui répond « on a un très bon prestataire » rassure beaucoup moins.
Enfin, la loi ou pas loi, le risque est le même. Une attaque qui bloque tes postes pendant dix jours ne lit pas le Journal officiel avant de frapper. La gouvernance informatique, ce n'est pas une obligation réglementaire déguisée : c'est ce qui décide si une mauvaise journée reste une mauvaise journée, ou devient la fin de ton trimestre.
Ce que tu peux faire dès cette semaine, sans attendre personne
Bonne nouvelle : poser les bases ne demande ni budget colossal ni jargon. Voici par où je commencerais, dans cet ordre.
Premier geste : savoir ce que tu as. Une page, pas un classeur. Quelles sont les applications dont ton activité dépend vraiment ? Où sont tes données ? Quels prestataires ont un accès à tes systèmes ? Qui détient les clés d'administration ? Tu seras surpris du nombre de réponses que personne ne connaît avec certitude. Ce premier inventaire, même imparfait, vaut mieux que tous les audits théoriques.
Deuxième geste : nommer quelqu'un qui répond de l'informatique devant la direction. Pas forcément un salarié à plein temps. Dans beaucoup d'entreprises, ce rôle est tenu par un DSI externalisé ou à temps partagé. L'important est qu'une personne identifiée porte le sujet, rende des comptes et ait le droit de dire « non, ça, on ne le fait pas comme ça ».
Troisième geste : vérifier que tu sais redémarrer. Pas « on a des sauvegardes ». Plutôt : « j'ai déjà restauré des données depuis ces sauvegardes, et je sais combien de temps ça prend ». C'est la différence entre une assurance et un contrat qu'on n'a jamais lu. Et pose-toi la question simple : si tout s'arrête demain matin, qui appelle qui, et dans quel ordre ?
Quatrième geste : mettre l'informatique à l'ordre du jour. Une fois par trimestre, trente minutes en comité de direction, avec trois ou quatre indicateurs lisibles : incidents, mises à jour critiques en retard, projets en cours, budget consommé. Le jour où la loi tombera, tu auras déjà l'habitude. Et en attendant, tu piloteras vraiment.
Le bon réflexe quand une loi se fait attendre
Les entreprises qui réussissent leur mise en conformité sont rarement celles qui ont le plus lu les textes. Ce sont celles qui avaient déjà une gouvernance claire quand le texte est arrivé. Elles n'ont eu qu'à ajuster, là où les autres doivent tout construire dans l'urgence, avec un calendrier imposé et des prestataires débordés.
Le report du 6 octobre est une fenêtre. Pas une pause. Si la loi est finalement adoptée dans les prochains mois, les délais d'application, eux, ne seront pas extensibles à l'infini. Autant utiliser ce temps pour faire les choses calmement.
Il y a aussi un avantage que l'on oublie : une gouvernance claire ne sert pas qu'à se protéger. Elle te permet de savoir ce que ton informatique te coûte vraiment, de choisir tes projets en connaissance de cause et de dire non aux dépenses qui n'apportent rien. Les entreprises qui pilotent leur informatique dépensent presque toujours mieux, pas forcément plus. La conformité devient alors un sous-produit, et non un chantier de plus à subir.
Questions fréquentes
La loi Résilience est-elle adoptée ?
Non. Le texte a été adopté par le Sénat en mars 2025, mais l'Assemblée nationale ne l'a pas encore voté. Son examen, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour. Aucune nouvelle date n'est fixée à ce jour.
Mon entreprise est-elle concernée par NIS 2 ?
Cela dépend de ton secteur d'activité et de ta taille. Les contours exacts dépendent de la version finale du texte français. Même en dehors du champ direct, tu peux être concerné indirectement si tu fournis ou sous-traites pour une entité visée.
Par quoi commencer si je n'ai aucune démarche en place ?
Par un inventaire simple de tes outils, de tes données et de tes prestataires, puis par la désignation d'un responsable de l'informatique devant ta direction. Ce sont deux gestes à faible coût, qui conditionnent tout le reste.
Et maintenant ?
Si tu veux savoir où tu en es sans y passer ta semaine, l'Audit Flash est fait pour ça : trente minutes d'échange, un regard sur les six piliers de ton informatique, et une synthèse écrite sous 48 heures. Sans engagement, et surtout sans rien à te vendre derrière : je ne touche aucune commission fournisseur et je ne revends ni matériel ni logiciel. Mon seul intérêt, c'est que ton informatique serve ta croissance au lieu de la freiner.
Tu peux me contacter sur evolution-dsi.fr ou directement par mail à laurent@evolution-dsi.fr.
Sources : Next (6 octobre 2026), Leto Legal, Legiscope. Cet article n'est pas un avis juridique.
