NIS 2 : où en sont les pays européens dans la transposition ? [mise à jour : janvier 2026]
Publié le 25 novembre 2024
- Cybersécurité
En bref
- La directive européenne NIS2 (Network and Information Security 2) vise à renforcer la cybersécurité et la résilience des entités essentielles et importantes à travers l’Union Européenne, avec des obligations accrues en matière de gestion des risques et de notification des incidents pour de nombreux secteurs (énergie, santé, transport, télécoms, services numériques, etc.).
- Sa transposition progresse de manière très hétérogène entre les États membres, avec des niveaux d’avancement très divers.
La directive européenne NIS 2 (Network and Information Security) doit être transposée dans le droit national de chaque État membre de l’Union Européenne (UE).
Face à des acteurs malveillants toujours plus performants et mieux outillés, touchant de plus en plus d’entités trop souvent mal protégées, NIS 2 renforce les acquis de la NIS pour davantage de sécurité. Le texte européen élargit de manière drastique le volume d’entités concernées par la réglementation. Celle-ci concerne des entreprises de secteurs et de tailles diverses, allant des PME aux grandes entreprises.
La variété de ce périmètre constitue sans nul doute un vrai défi pour les autorités nationales qui, en transposant la NIS 2 doivent décliner et clarifier de nombreux aspects dont :
- L’articulation avec les règlementations locales
- Les délais de conformité
- Les exigences de sécurité applicables
- La procédure d’enregistrement des entités auprès des autorités
- Les modalités de notification des incidents de cybersécurité
Pour définir ces éléments, les autorités ont parfois pris des orientations différentes quant à la démarche de construction de leur déclinaison de NIS 2 : consultation publique vs. groupes de travail restreints, création de standard de cybersécurité vs. utilisation de standard du marché, communication plus au moins poussée allant jusqu’à la mise à disposition d’outils d’aide en ligne pour les entités.
La grande majorité des pays de l’UE ont dépassé l’échéance de transposition au 17 octobre 2024, fixée par la Commission Européenne (CE). Cette situation a conduit la CE à enclencher des procédures d’infraction. Après une première vague de mises en demeure en novembre 2024, 19 États membres ont reçu un avis motivé en mai 2025, les obligeant à finaliser rapidement leur transposition sous peine de sanctions potentielles.
A date, 20 États membres sur 27 ont officiellement finalisé la transposition de NIS 2 dans leur droit national. Par ailleurs, le Royaume-Uni et la Norvège, non membres de l’UE, ont également lancé des travaux sur le sujet.
Cet article dresse un état des lieux de la transposition de NIS 2 dans les différents États membres de l’UE, à jour au 1er janvier 2026. L’échelle de progression utilisée dans cet article a été mise à jour par rapport aux publications précédentes.
Retrouvez également l’état des lieux de la transposition de la Directive REC.
Transpositions NIS 2 en Europe
Cet article, mis à jour le 1er janvier 2026, présente les différents niveaux de maturité de l’ensemble des pays européens face à la Directive NIS 2.
- Niveau de maturité 1 :
Premiers travaux de transposition engagés. Les pays concernés sont : Irlande, Norvège. - Niveau de maturité 2 :
Projet de loi en cours de proposition auprès des instances législatives. Les pays concernés sont : Royaume-uni, Luxembourg, France, Espagne, Pays-Bas, Pologne, Bulgarie. - Niveau de maturité 3 :
Projet de loi approuvé et référentiel de cybersécurité non disponible (ou en version temporaire). Les pays concernés sont : Suède, Danemark, Autriche, Portugal, Malte, Finlande, Estonie, Roumanie, Chypre. - Niveau de maturité 4 :
Projet de loi approuvé et référentiel de cybersécurité disponible en version définitive. Les pays concernés sont : Belgique, Allemagne, Italie, Hongrie, Grèce, République Tchèque, Slovaquie, Slovénie, Lettonie, Lituanie, Croatie.
Pays avec un niveau de maturité 4
Pays ayant un niveau de maturité 3
Pays ayant un niveau de maturité 2
Pays ayant un niveau de maturité 1
Focus sur certains pays européens
Niveau de maturité : 4
Le projet de loi NIS 2 a été approuvé une première fois par le Gouvernement fédéral allemand le 24 juillet 2024. Toutefois, en raison d’élections anticipées, le processus parlementaire n’a pas pu être finalisé. À la suite de la formation du nouveau gouvernement en mai 2025, une nouvelle version du texte a été publiée. Ce projet actualisé a été approuvé par le Bundestag et le Bundesrat en novembre 2025. Il est entré en vigueur le 5 décembre 2025. Pour le cadre de cybersécurité applicable, la BSI n’a pas publié de référentiel unique dédié à NIS 2 mais renvoie vers des réglementations sectorielles déjà existantes. Pour les secteurs non couverts, les entités peuvent choisir le référentiel de cybersécurité à appliquer.
Étapes clés :
- 13 novembre 2025 : Adoption du projet de loi par le Parlement (Bundestag).
- 21 novembre 2025 : Adoption du projet de loi par le Conseil fédéral (Bundesrat).
- 5 décembre 2025 : Publication de la loi au journal officiel.
- 6 décembre 2025 : Entrée en vigueur de la loi.
Spécificités nationales :
- Le BSI Act adopté en 1991, confère au BSI le mandat de garantir la sécurité des SI.
- L’IT Security Act, promulgué en 2015 et mis à jour en 2021 à travers l’IT Security Act 2.0, étend les responsabilités du BSI et impose des mesures de sécurité aux opérateurs d’infrastructures critiques. Parallèlement, le règlement KRITIS identifie une liste de secteurs critiques au sein de l’économie allemande (énergie, eau, alimentation, santé,…) et renforce les mesures de sécurité à appliquer par ces entités.
- La BSI n’impose aucun référentiel de cybersécurité spécifique à NIS 2 mais renvoie vers des référentiels existants:
- Si l’entité est soumise à des réglementations sectorielles existantes, elle doit utiliser le cadre associé à ces réglementations.
- Les entités qui ne sont pas soumises à ce type de réglementation peuvent choisir le cadre de cybersécurité. Le BSI recommande certains cadres tels que ISO 27001, le BSI-400 ou les cadres sectoriels B3S.
Autorité(s) compétente(s) :
- BSI (Bundesamt für Sicherheit in der Informationstechnik)
Niveau de maturité : 4
La loi transposant la directive NIS 2 est entrée en vigueur en octobre 2024. Les entités concernées devaient s’enregistrer auprès du CCB avant le 18 mars 2025. Un délai de 18 à 30 mois à compter de la notification de leur éligibilité par le CCB est accordé aux entités pour se mettre en conformité avec les exigences de cybersécurité, soit en suivant le référentiel CyFun®, soit via la norme ISO/IEC 27001. Par ailleurs, une version mise à jour du CyFun® a été publiée en octobre 2025. A partir du 18 avril 2027, elle remplacera l’ancienne version de 2023.
Etapes clés :
- 10 novembre 2023 : Le Conseil des ministres belge approuve, en première lecture, l’avant-projet de loi visant à transposer la directive européenne NIS 2.
- 16 novembre 2023 – 21 décembre 2023 : Le CCB organise une consultation publique sur cet avant-projet.
- 27 mars 2024 : Le projet de loi de transposition de NIS 2 est approuvé en Commission intérieure de la Chambre des représentants.
- 26 avril 2024 : La loi NIS 2 est votée en séance plénière par la Chambre des représentants et publiée au Moniteur Belge le 17 mai 2024. Nom officiel de la loi : loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique.
- 9 juin 2024 : Un arrêté royal d’exécution est publié. Cet arrêté précise les modalités pratiques liées à la mise en œuvre de la loi : les modalités d’évaluation régulière des entités (obligatoires pour les Entités Essentielles et volontaires pour les Entités Importantes) et les conditions d’agrégation des organismes de contrôle.
- 18 octobre 2024 : Entrée en vigueur de la loi.
- 18 mars 2025 : Date limite d’enregistrement des entités.
- 1er octobre 2025 : Une version mise à jour du référentiel CyFun® appelée CyFun® 2025 a été publiée. Cette version intègre la version 2.0 du NIST CSF. Les mesures liées à la gouvernance ont été développée. Au total, 23 nouvelles obligations sont ajoutées et 24 sont supprimées par rapport à la version précédente. A partir du 18 avril 2027, seule la nouvelle version sera acceptée pour les auto-évaluations et les évaluations de conformité.
Spécificités nationales :
- Le CyFun® propose 4 niveaux d’assurance (Small, Basic, Important, Essential) et est accompagné de 4 outils :
- Self-Assessment Tool : Un questionnaire basé sur la cartographie du CyFun® pour évaluer si une entité atteint le niveau de sécurité requis.
- CyFun® Selection Tool : Permet d’évaluer les risques spécifiques au secteur d’activité et de déterminer le niveau de conformité nécessaire (outil d’analyse de risques).
- Modèles de Politiques de Sécurité : Fournissent une base pour les entités ayant moins d’expérience en cybersécurité.
- Cartographie du CyberFundamentals Framework : Offre un aperçu des exigences et des liens avec d’autres frameworks du marché.
- Le cadre CyFun® a été reconnu par plusieurs pays européens (Roumanie, Malte, Irlande).
- Les entités optant pour la norme ISO/IEC 27001 doivent transmettre leur champ d’application et SoA au CCB avant avril 2026 et obtenir la certification avant avril 2027.
- Une inspection directe par le CCB reste possible.
- En Belgique, 1500 entités essentielles et 2500 entités importantes se sont enregistrées.
Autorité(s) compétente(s) :
- CCB (Centre pour la Cybersécurité Belgique)
Niveau de maturité : 2
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui englobe la transposition de NIS 2, REC et DORA, a été présenté au Conseil des ministres le 15 octobre 2024. Il a été adopté par le Sénat le 12 mars 2025 et est désormais en cours d’examen à l’Assemblée nationale. L’ANSSI a partagé un référentiel temporaire de mesures de cybersécurité à certains acteurs et lors des consultations. Une plateforme de pré-enregistrement a également été publié en novembre 2025.
Etapes clés :
- L’ANSSI a privilégié une méthode participative, impliquant des acteurs clés du secteur, y compris des fédérations professionnelles sectorielles comme l’UFE (Union Française de l’Électricité), des associations en cybersécurité (CLUSIF, CESIN) et des prestataires qualifiés (PASSI, PRIS, PDIS etc.) .
- La phase de consultation portait sur 3 thèmes :
- Le périmètre des entités assujetties
- Les modalités d’interaction entre l’ANSSI et les entités assujetties
- Les exigences de cybersécurité
- 15 octobre 2024 : Un projet de loi « Résilience des infrastructures critiques et renforcement de la cybersécurité » est présenté en Conseil des ministres. Ce projet est constitué de 3 titres, chacun dédié à une réglementation (NIS 2, REC, DORA).
- 12 mars 2025 : Le projet de loi a été adopté par le Sénat, après son examen en séance publique les 11 et 12 mars.
- Avril 2025 : L’Assemblée nationale a désigné les rapporteurs pour l’examen du projet de loi résilience. Un rapporteur a été nommé pour chaque titre du projet de loi (NIS 2, REC, DORA).
- Mai – juillet 2025 : Des auditions ont été menées par une commission spéciale de l’Assemblée nationale, plusieurs acteurs ont été auditionnés (ANSSI, SGDSN, CNIL, …). Ces auditions se sont clôturées le 15 juillet 2025 avec l’audition de Vincent Strubel, directeur général de l’ANSSI.
- 9 au 11 septembre 2025 : Examen du projet de loi à l’Assemblée nationale par les députés de la Commission spéciale. 245 amendements ont été adoptés.
- Le 24 novembre 2025 : L’ANSSI a ouvert sa plateforme de pré-enregistrement pour les entités NIS 2 dans le but de simplifier le futur processus d’enregistrement obligatoire.
Prochainement :
- Le projet de loi doit passer en plénière de l’Assemblée nationale à partir de janvier 2026. Le calendrier exact reste incertain.
Spécificités nationales :
- L’ANSSI a prévu de mettre en place plusieurs outils d’aide en ligne, dont certains sont accessibles en version bêta :
- Un outil d’évaluation de l’éligibilité d’une organisation à NIS 2
- Un service d’accompagnement à la mise en place d’une démarche de sécurité
- Un outil de pilotage de mesures de sécurité
- Une plateforme de pré-enregistrement
Autorité(s) compétente(s) :
- ANSSI (Agence nationale de la sécurité des systèmes d’information)
Niveau de maturité : 2
Bien que non concerné par la directive NIS 2, à la suite du Brexit, le Royaume-Uni envisage de faire évoluer sa réglementation cybersécurité actuelle, issue de la transposition britannique de la directive NIS 1. Un projet de loi baptisé Cyber Security and Resilience Bill est en préparation et a été présenté en première lecture au Parlement en novembre 2025. Il vise à moderniser et élargir le cadre réglementaire pour mieux répondre aux enjeux actuels de cybersécurité. Inspiré de la directive NIS 2 tout en conservant une certaine autonomie, ce texte devrait entrer en vigueur progressivement en 2026.
Etapes clés :
- 2018 : Le Royaume-Uni, alors membre de l’UE, transpose la directive européenne NIS 1 dans son droit national. Pour chaque secteur d’activité concerné, une autorité compétente est identifiée (NIS Regulator). Des guides (guidance) contenant des mesures de sécurité ont également été mis à disposition par secteur d’activité.
- 2022 : À la suite d’une consultation publique sur les moyens d’accroître la résilience cyber du Royaume-Uni, le Gouvernement annonce son intention de mettre à jour la réglementation NIS afin de renforcer la cybersécurité nationale.
- Juillet 2024: Le Gouvernement réaffirme sa volonté de mettre à jour les réglementations britanniques existantes en matière de cybersécurité, héritées de l’UE (notamment la NIS 1), via un projet de loi dédiée à la cybersécurité et la résilience.
- Avril 2025 : Le Gouvernement britannique a déclaré que le projet de loi Cyber Security and Resilience Bill sera proposé au parlement en 2025.
- 12 novembre 2025 : Une première lecture du Cyber Security and Resilience Bill a eu lieu au Parlement.
- 6 janvier 2026 : Le projet de loi est passé en deuxième lecture parlementaire.
Prochainement :
- À l’issue de la deuxième lecture, le projet de loi sera examiné en commission au Parlement. L’entrée en vigueur potentielle pourrait avoir eu cours de l’année 2026.
Spécificités nationales :
- Le projet de loi Cyber Security and Resilience Bill prévoit notamment les changements suivants :
- L’élargissement du champ d’application pour inclure les fournisseurs de services numériques (fournisseurs cloud, marchés en ligne, moteurs de recherche, etc.), l’ajout de deux services essentiels (data centers et load controllers) et la possibilité pour les autorités de désigner certains acteurs (y compris parmi les PME) comme fournisseurs essentiels en se basant sur leur impact potentiel dans leur secteur
- Le renforcement des pouvoirs des régulateurs ainsi qu’une plus grande flexibilité réglementaire pour s’adapter aux menaces et évolutions technologiques
- L’amélioration de la notification des incidents de cybersécurité aux autorités.
Autorité(s) compétente(s) :
- DSIT (Department for Science, Innovation and Technology)
- Et un régulateur par secteur d’activité
Niveau de maturité : 2
Le projet de loi 8364 de transposition a été déposé auprès de la Chambre des Députés le 13 mars 2024. Le Conseil d’État a publié son avis ainsi que plusieurs recommandations en octobre 2024. Plusieurs sessions d’information ont été organisées par l’Institut Luxembourgeois de Régulation (ILR), et la mise en œuvre est attendue pour début 2026.
Etapes clés :
- Mars 2024 : Un projet de loi est déposé auprès de la Chambre des Députés.
- Avril 2024 : L’Institut Luxembourgeois de Régulation (ILR) organise une session publique de partage d’information, complétée par une seconde session en septembre 2024.
- Juillet 2024 : La Chambre de Commerce a publié son avis sur le projet de loi, recommandant l’exclusion des entreprises artisanales et insistant sur l’assistance financière des entités.
- Octobre 2024 : Le Conseil d’Etat a émis son avis sur le projet de loi en formulant 25 recommandations. Il recommande notamment une coordination avec la directive sur la Résilience des Entités Critiques (REC), met en garde contre les risques de divergence entre l’ILR et la CSSF (autorité de supervision du secteur financier) et souligne la nécessité de clarifier la procédure de classification des entités.
- Décembre 2024 : La Chambre des Métiers a également publié un avis sur le projet de loi.
- 13 mai 2025 : Le gouvernement a publié un amendement au projet de loi.
- Décembre 2025 : Le Conseil d’État a également émis un avis complémentaire validant partiellement les amendements du projet de loi NIS2 (PL 8364), avec des demandes d’ajustements.
Prochainement :
- Le projet de loi est en attente d’adoption par la Chambre des Députés. Une fois adoptée par cette dernière, la loi devra alors être promulguée et publiée dans le Journal Officiel.
Spécificités nationales :
- Lors de la 4ᵉ conférence NISDUC des 6 et 7 mai 2025, organisée par l’ILR, il a été annoncé que la transposition est attendue d’ici début 2026, sans changements majeurs par rapport au texte provisoire tu projet de loi.
Autorité(s) compétente(s) :
- ILR (Institut Luxembourgeois de Régulation)
Niveau de maturité : 4
Le décret législatif transposant la directive NIS 2 est entré en vigueur le 16 octobre 2024. Depuis avril 2025, l’Italie a entamé une seconde phase dans la mise en œuvre de NIS 2 qui consiste en la publication de divers décisions administratives et guides complémentaires. Ces éléments viennent préciser les modalités pratiques liées à la mise en place des obligations NIS 2 par les entités (enregistrement, référentiel de cybersécurité, notification des incidents de cybersécurité etc.).
Etapes clés :
- 10 juin 2024 : Le Conseil des Ministres approuve le projet de décret législatif de transposition de NIS 2
- 7 août 2024 : Le projet de loi est définitivement approuvé par le Gouvernement et publié au Journal Officiel le 1er octobre 2024.
- 16 octobre 2024 : Entrée en vigueur de la loi.
- 26 novembre 2024 : L’ACN publie un portail pour l’enregistrement des entités.
- Avril 2025 : L’ACN publie des décisions administratives complémentaires pour préciser des modalités associées à la loi NIS 2 dont :
- La décision n°164179, qui définit respectivement les mesures minimales de sécurité pour les EE et les EI et précise la caractérisation d’un incident significatif.
- La décision n°136117, qui définit les modalités d’accès au portail d’enregistrement ACN, la désignation du point de contact de l’entité, ainsi que la mise à jour annuelle des données remontées.
- Décembre 2025 : Des nouvelles décisions administratives sont publiées. Celles-ci viennent compléter ou mettre à jour des décisions existantes.
Prochainement :
- Du 1er janvier au 28 février 2026, chaque entité devra s’enregistrer via le portail de l’ACN.
- A compter du 1er janvier 2026, les entités devront notifier leurs incidents de cybersécurité au CSIRT Italia.
- Ensuite, du 15 avril au 31 mai, une mise à jour annuelle des informations devra être effectuée.
Spécificités nationales :
- En plus des secteurs essentiels (Annexe 1) et importants (Annexe 2), le texte de loi détaille 2 autres catégories de secteurs concernés:
- Les administrations centrales, régionales, locales et autres entités publiques (Annexe 3)
- Les autres types d’entités : entités qui fournissent des services de transports publics locaux, établissements d’enseignement menant des activités de recherche, … (Annexe 4)
Autorité(s) compétente(s) :
- ACN (Agenzia per la Cybersicurezza Nazionale)
