Date indicative. Texte adopté au Sénat le 12 mars 2025, examen en séance à l'Assemblée attendu à l'automne 2026 ; la Commission européenne a saisi la CJUE contre la France le 8 juillet 2026 pour retard de transposition. L'ANSSI annonce environ trois ans après publication des exigences techniques pour la mise en conformité complète.
Ce que dit le texte
Enregistrement auprès de l'ANSSI, mesures de gestion des risques (gouvernance, gestion des incidents, continuité, sécurité de la chaîne d'approvisionnement, authentification forte), notification des incidents importants sous 24 h puis 72 h, responsabilité des dirigeants.
Qui est concerné
Environ 15 000 entités en France dans 18 secteurs (santé, énergie, transports, eau, numérique, agroalimentaire, industrie, gestion des déchets, recherche...), en général à partir de 50 salariés ou 10 M€ de chiffre d'affaires, avec des exceptions par secteur. Les sous-traitants d'entités régulées sont indirectement concernés par les exigences contractuelles.
Ce qu'il faut faire
- Déterminer si vous êtes entité essentielle, importante, ou hors champ (à documenter)
- Si vous êtes fournisseur d'une entité régulée, anticiper les clauses de sécurité qu'elle vous imposera
- Déployer les mesures d'hygiène ANSSI dès maintenant : elles seront exigées
Sanction encourue
Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial (entités essentielles) ; 7 M€ ou 1,4 % (entités importantes).