Directive NIS2 en France : fuites de données 2026, loi Résilience reportée et formation des dirigeants
Loi Résilience reportée, France devant la CJUE, fuites FICOBA et ANTS : ce que NIS2 exigera de votre entreprise et pourquoi former vos dirigeants.
La directive NIS2 n'est toujours pas transposée en France, mais les cyberattaques n'attendent pas la loi. En 2026, le fichier national des comptes bancaires (FICOBA), l'ANTS, la DGFiP et l'Éducation nationale ont subi des fuites de données massives. Pour les dirigeants, l'enjeu est d'être prêts, et formés, avant l'entrée en vigueur des obligations.
21 octobre 2026 : des sites publics coupés à la demande de l'ANSSI
Le mercredi 21 octobre 2026, plusieurs sites de préfectures, des impôts et de médias sont devenus inaccessibles à la demande de l'ANSSI. En cause : des vulnérabilités critiques dans PHP, un langage utilisé par une grande partie des sites web, dont les correctifs ont été publiés le jour même. Le CERT-FR a émis une alerte dédiée.
Pour une entreprise, la leçon est directe : suivre les alertes du CERT-FR et corriger une faille en quelques heures font partie de la gestion des risques que la directive NIS2 rendra obligatoire.
Directive NIS2 en France : où en est la loi Résilience ?
La directive (UE) 2022/2555, dite NIS2, devait être transposée avant le 17 octobre 2024. La France a choisi un texte unique, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience. Il transpose aussi la directive REC sur les entités critiques et un volet de DORA pour le secteur financier.
Le calendrier, étape par étape :
- 12 mars 2025 : adoption du texte par le Sénat
- 10 septembre 2025 : adoption par la commission spéciale de l'Assemblée nationale
- 8 juillet 2026 : la Commission européenne saisit la Cour de justice de l'Union européenne contre la France, l'Espagne, l'Irlande et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières
- 6 octobre 2026 : l'examen en séance, prévu le 7 octobre, est retiré de l'ordre du jour, sans nouvelle date
Le désaccord porte notamment sur l'article 16 bis, relatif au chiffrement.
À retenir : à ce jour, les obligations NIS2 ne sont pas encore applicables en France. Elles le seront après la promulgation de la loi et la publication de ses décrets.
Ce report n'est pas un sursis. Près de 15 000 entités sont attendues dans le périmètre, et l'ANSSI publie depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui détaille les mesures recommandées pour atteindre les objectifs de NIS2.
Fuites de données 2026 : l'État lui-même touché
Les principales fuites documentées depuis le début de l'année, de la plus récente à la plus ancienne :
- 29 juillet 2026, cadastre (serveur professionnel de données cadastrales, SPDC) : jusqu'à 433 485 particuliers et 1 082 professionnels
- 25 juillet 2026, Éducation nationale (système de formation des personnels) : les données d'un nombre important d'agents, dont des adresses postales
- Fin juin et fin juillet 2026, DGFiP (deux intrusions confirmées le 14 août) : au moins 678 000 particuliers et professionnels, environ 200 000 comptes
- 15 avril 2026, ANTS (France Titres) (cartes d'identité, passeports, permis) : 11,7 millions de comptes
- Fin janvier à mi-février 2026, FICOBA (fichier national des comptes bancaires, DGFiP) : environ 1,2 million de comptes, avec identité, adresse et IBAN
Le 30 avril 2026, le Gouvernement a lui-même reconnu une moyenne de trois vols de données par jour en France depuis le début de l'année. Il a annoncé un plan de 200 millions d'euros pour sécuriser les systèmes de l'État. En septembre 2026, le dispositif REACTIV a donné à l'ANSSI le pouvoir d'imposer aux ministères des mesures d'urgence.
Un point commun revient dans plusieurs de ces incidents : un compte professionnel légitime, usurpé. Pour FICOBA, l'attaquant a utilisé les identifiants d'un fonctionnaire. À l'Éducation nationale, un compte professionnel compromis a ouvert l'accès. L'authentification forte et la vigilance des utilisateurs auraient fermé ces portes.
Ce que NIS2 exigera : déclaration d'incident et sanctions
La directive impose de déclarer tout incident important au CSIRT national, rôle tenu en France par l'ANSSI et le CERT-FR, selon trois échéances :
- 24 heures : une alerte précoce, à compter de la prise de connaissance de l'incident
- 72 heures : la notification de l'incident
- 1 mois : le rapport final
Ces délais s'ajoutent à une obligation déjà en vigueur : toute violation de données personnelles doit être notifiée à la CNIL dans les 72 heures au titre du RGPD.
Côté sanctions, la directive fixe des plafonds d'amende, le montant le plus élevé étant retenu :
- Entités essentielles : au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial
- Entités importantes : au moins 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial
Les montants applicables en France seront ceux de la loi définitive. La responsabilité des dirigeants peut également être engagée.
Formation cybersécurité : une obligation pour les dirigeants
NIS2 fait de la cybersécurité une responsabilité de la direction. L'article 20 de la directive impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de suivre une formation. Il encourage aussi une formation régulière des salariés. L'article 21 range la cyberhygiène et la formation à la cybersécurité parmi les mesures minimales.
Les fuites de 2026 montrent pourquoi : quand un identifiant suffit à ouvrir un fichier national, la technique ne protège que si les équipes savent reconnaître une tentative d'hameçonnage et appliquer les bons réflexes.
K Center Formation accompagne les dirigeants et leurs équipes sur trois axes :
- la formation des organes de direction aux obligations NIS2 et à leur responsabilité ;
- la sensibilisation des salariés : hameçonnage, mots de passe, authentification forte ;
- la préparation à la gestion de crise et à la déclaration d'incident.
Votre entreprise est-elle concernée par NIS2 ? Trois premiers réflexes
- Faire le test d'éligibilité sur MonEspaceNIS2, le service de l'ANSSI. Le résultat reste indicatif tant que les textes de transposition ne sont pas adoptés.
- Comparer vos pratiques au ReCyF publié par l'ANSSI, pour mesurer l'écart avec les mesures attendues.
- Former la direction et sensibiliser les équipes sans attendre la promulgation : c'est la mesure la plus rapide à déployer et celle qui ferme les accès les plus exploités.
Pour construire un parcours de formation adapté à votre organisation, contactez K Center Formation.
FAQ : questions fréquentes sur la directive NIS2 en France
La directive NIS2 s'applique-t-elle déjà en France ?
Non. Au 23 octobre 2026, la loi Résilience qui la transpose n'est pas adoptée. Les obligations s'appliqueront après la promulgation de la loi et de ses décrets.
Quelles entreprises sont concernées par NIS2 ?
Les entités dites essentielles et importantes de 18 secteurs d'activité, en principe à partir de la taille moyenne, avec des exceptions sans condition de taille. Près de 15 000 entités sont attendues en France.
Quelles sanctions en cas de non-conformité à NIS2 ?
La directive prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.
À qui déclarer un incident de cybersécurité ?
À l'ANSSI, via le CERT-FR, pour les incidents importants relevant de NIS2. À la CNIL, sous 72 heures, pour toute violation de données personnelles.
La formation des dirigeants à la cybersécurité est-elle obligatoire ?
Oui, pour les entités concernées : l'article 20 de la directive impose aux membres des organes de direction de suivre une formation.
Conclusion
La France a deux ans de retard sur NIS2, et l'État en paie le prix avec des millions de données exposées en 2026. Les entreprises qui forment leurs dirigeants et leurs équipes dès maintenant aborderont la loi Résilience en conformité, et non dans l'urgence.
Découvrir la formation NIS2 Essentials · Nous contacter