L'examen en séance publique du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, est programmé à l'Assemblée nationale à partir du 7 octobre 2026. Les sollicitations commerciales vont se multiplier dans les semaines qui viennent. Plutôt qu'un argumentaire, voici les huit critères que nous utiliserions nous-mêmes pour comparer les offres, et la façon dont nous y répondons.
Où en est le calendrier
Le texte a été adopté par le Sénat en mars 2025, puis par la commission spéciale de l'Assemblée nationale en septembre 2025, avant de rester bloqué plus d'un an. La Commission européenne a saisi en juillet 2026 la Cour de justice de l'Union européenne contre la France, entre autres États membres, pour défaut de transposition. L'ANSSI rappelle que l'entrée en application suppose la promulgation de la loi puis de ses décrets et arrêtés.
Autrement dit, l'échéance juridique se rapproche sans être encore fixée, tandis que le contenu des obligations est connu depuis 2022 : il figure à l'article 21 de la directive. C'est sur ce contenu qu'un accompagnement sérieux travaille dès maintenant.
Les huit critères
1. Le prestataire commence-t-il par votre qualification ? Entité essentielle, importante ou non concernée : tout le reste en découle. Un accompagnement qui démarre par un diagnostic de maturité sans avoir vérifié l'assujettissement inverse l'ordre logique.
Notre réponse : la qualification est la première étape de toute mission NIS2 que nous conduisons, sur la base des critères de secteur et de taille, et de l'outil d'auto-évaluation publié par l'ANSSI.
2. L'analyse de risque est-elle au centre ? L'article 21 parle de mesures « fondées sur une approche tous risques ». Une liste de contrôles cochés sans analyse ne répond pas à cette exigence.
Notre réponse : nous conduisons l'analyse selon EBIOS Risk Manager, la méthode de l'ANSSI, outillée dans GALEA.
3. Les dix mesures de l'article 21 sont-elles couvertes, y compris les moins confortables ? Chaîne d'approvisionnement, efficacité des mesures, ressources humaines et contrôle d'accès sont souvent survolés.
Notre réponse : nous disposons d'expertises dédiées sur la gestion des risques fournisseurs, la gouvernance des identités et la continuité d'activité, qui ne sont pas sous-traitées.
4. La notification d'incident est-elle préparée ? Alerte précoce sous 24 heures, notification sous 72 heures, rapport final. Ce compteur s'ajoute à celui du RGPD.
Notre réponse : arbre de décision, trames pré-remplies et exercice de crise sur un scénario de notification.
5. La formation des dirigeants est-elle prévue ? L'article 20 l'impose aux organes de direction.
Notre réponse : un format dédié, court, centré sur les décisions qui leur reviennent.
6. Les autres référentiels sont-ils mutualisés ? Si vous visez aussi ISO 27001, DORA, HDS ou le RGPD, chaque mesure doit être traitée une fois.
Notre réponse : GALEA rattache chaque mesure aux contrôles de plusieurs référentiels.
7. Que reste-t-il après la mission ? NIS2 impose d'évaluer l'efficacité des mesures dans la durée.
Notre réponse : un plan d'actions vivant, et si besoin un RSSI externalisé pour le faire avancer.
8. Le prestataire vend-il aussi les solutions qu'il recommande ? Ce n'est pas disqualifiant, mais il faut le savoir.
Notre réponse : nous ne revendons ni pare-feu, ni EDR, ni service de supervision. Nous éditons une plateforme GRC, que nous présentons comme telle.
Grille de comparaison
| Critère | Signal rassurant | Signal d'alerte |
|---|---|---|
| Qualification | Vérification écrite de l'assujettissement | « Tout le monde est concerné » |
| Analyse de risque | Méthode nommée, ateliers avec les métiers | Questionnaire de maturité seul |
| Article 21 complet | Les dix mesures traitées | Focus exclusif sur le technique |
| Notification | Procédure et exercice | Non abordée |
| Dirigeants | Format dédié | Même module que les salariés |
| Multi-référentiel | Mutualisation explicite | Mission séparée par texte |
| Durée | Plan d'actions maintenu | Rapport final et fin de mission |
| Indépendance | Conflits d'intérêts déclarés | Recommandations alignées sur un catalogue |
Trois offres à regarder de près
Le « pack conformité NIS2 » à prix fixe et délai court. Sans qualification ni analyse de risque, il produit une documentation générique. Elle rassure jusqu'au premier contrôle.
La « certification NIS2 ». Elle n'existe pas. La directive ne prévoit pas de certificat de conformité délivré par un prestataire privé. Les mécanismes de supervision relèvent de l'autorité nationale.
L'audit gratuit qui débouche sur un devis d'équipement. Le diagnostic peut être utile, mais il faut le lire en sachant ce que le prestataire vend.
Phishia est un cabinet indépendant, référencé ExpertCyber et membre du Clusif. Nous proposons un premier échange de qualification sans engagement : savoir si vous êtes concerné est la seule question qui ne peut pas attendre la loi.
Questions fréquentes
Faut-il attendre la promulgation de la loi ?
Non. Les mesures de l'article 21 sont connues et la mise en conformité effective se compte en trimestres. Attendre revient à concentrer l'effort au moment où tous les prestataires seront saturés.
Une PME sous-traitante est-elle concernée ?
Directement, seulement si elle répond aux critères de secteur et de taille. Indirectement, très souvent : ses clients assujettis devront maîtriser leur chaîne d'approvisionnement et lui transmettront des exigences contractuelles.
ISO 27001 suffit-elle à être conforme NIS2 ?
Elle couvre une grande partie des mesures attendues, mais pas les obligations de notification à l'autorité, ni l'enregistrement, ni la responsabilité spécifique des dirigeants. C'est un excellent socle, pas une équivalence.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 20, 21 et 23, EUR-Lex
- Next, « La transposition de NIS2 est enfin à l'ordre du jour de l'Assemblée nationale », 23 septembre 2026
- Assemblée nationale, dossier législatif du projet de loi résilience et cybersécurité
- ANSSI, « Avancement de la transposition de la directive NIS 2 »
- Commission européenne, saisine de la CJUE pour défaut de transposition, juillet 2026
Liens consultés le 2 octobre 2026.