Le 17 octobre 2026, la France aura deux ans de retard sur la transposition de la directive NIS2, dont l’échéance était fixée au 17 octobre 2024.

Le calendrier semblait pourtant enfin se resserrer : inscrit à l’ordre du jour de l’Assemblée nationale les 7 et 9 octobre, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité devait être débattu en séance publique. Il n’en sera rien. Le 6 octobre, la conférence des présidents l’a retiré de l’ordre du jour, sans fixer de nouvelle date.

Faut-il s’en émouvoir ? Pour les cybercriminels, la réponse est connue : l’absence de loi n’a jamais arrêté un attaquant. Pour les entreprises, elle ne doit pas non plus servir de prétexte. Car ce que NIS2 demande, sécuriser sa supply chain et former ses équipes, relève moins de la conformité que du bon sens opérationnel.

Trois constats, tirés de l’actualité récente, le montrent.

Un texte qui n’en finit pas d’attendre

Le parcours du projet de loi Résilience ressemble à une longue série de rendez-vous manqués. Déposé au Sénat le 15 octobre 2024 avec engagement de la procédure accélérée, il a été adopté par les sénateurs le 12 mars 2025, puis remanié par la commission spéciale de l’Assemblée nationale, qui a adopté sa version le 10 septembre 2025.

Un examen en séance avait ensuite été espéré en juillet 2026, avant d’être repoussé, en raison notamment, selon la presse spécialisée, d’un désaccord sur un article consacré aux messageries chiffrées.

Le 8 juillet, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, aux côtés de l’Irlande, de l’Espagne et des Pays-Bas, pour défaut de transposition. Et voilà qu’un nouveau report vient d’être acté.

Ce retard n’est pas qu’un sujet de calendrier. Il retarde la montée en puissance de l’ANSSI, qui doit passer de la supervision de quelques centaines d’entités à celle d’environ 15 000, réparties sur 18 secteurs contre 6 aujourd’hui. Il décale aussi l’ouverture de l’enregistrement obligatoire des entités, dont l’ANSSI a seulement pu ouvrir un guichet de pré-enregistrement à l’automne 2025.

Son directeur général, Vincent Strubel, a toujours plaidé pour une mise en œuvre progressive : il faudra, selon lui, au moins trois ans avant d’exiger une conformité complète. Autrement dit, chaque mois perdu à l’Assemblée repousse d’autant le moment où les entreprises seront réellement contraintes de se mettre à niveau.

Ce sursis est un piège. Les sanctions envisagées, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes, ne seront pas immédiates.

Mais l’investissement initial que l’ANSSI estime nécessaire, de l’ordre de 100 000 à 200 000 euros pour une société importante, ne se décide pas du jour au lendemain.

Chez nos voisins, la comparaison est cruelle : l’Allemagne a déjà rendu l’obligation effective, avec environ 17 700 entités enregistrées pour quelque 29 500 estimées dans le champ, et l’Italie a fixé à fin octobre 2026 l’échéance des mesures de sécurité de base pour sa première cohorte d’entités, sans prolongation.

La France, elle, attend, quand les attaques, elles, continuent.

Quand le fournisseur du fournisseur devient le maillon faible

La supply chain est le cœur battant de NIS2, et son talon d’Achille. L’article 21 de la directive impose à toute entité concernée de gérer la sécurité de sa chaîne d’approvisionnement, y compris dans ses relations avec ses fournisseurs directs, et de tenir compte des vulnérabilités propres à chacun. Mais aucun de ces textes n’impose quoi que ce soit au fournisseur lui-même. Le client est responsable de la sécurité d’une entreprise qu’il ne contrôle pas.

L’affaire Harvest SA l’illustre mieux que n’importe quel schéma. En février 2025, cette fintech parisienne découvre une attaque par rançongiciel qui paralyse son logiciel de gestion de patrimoine, alors utilisé par plus de 4 600 clients. Ses services restent hors ligne environ quatre semaines.

L’origine ? Une machine virtuelle hébergée chez l’un de ses propres prestataires. Trois mois plus tard, un superviseur bancaire explique aux parlementaires que le fournisseur de logiciels des banques a été compromis par l’intermédiaire du fournisseur de son propre fournisseur.

Le bilan se lit dans les notifications : la MAIF a averti 55 000 clients et prospects, BPCE a informé des clients dans l’ensemble de ses filiales, AXA France vingt clients.

La cause exacte de la violation n’a pas été confirmée. Ce que l’on sait, en revanche, c’est que Harvest SA n’était pas un mauvais élève : l’entreprise avait déployé l’authentification multifacteur sur au moins une partie de ses comptes, de l’EDR, du XDR, du SIEM et une gestion des correctifs. Les contrôles existaient. Ce qui manquait, c’était peut-être leur étendue réelle ou leur efficacité, précisément ce qu’un questionnaire fournisseur ne sait pas mesurer. Il constate l’existence d’une mesure, pas sa portée, et il photographie un instant là où la menace est un mouvement.

C’est tout le paradoxe de la conformité par questionnaire : elle rassure le donneur d’ordre sans protéger la chaîne. Et les petits fournisseurs, qui échappent au champ de la directive, n’auront d’obligation que celle que leurs clients voudront bien écrire dans les contrats. Pour les 15 000 entreprises françaises, cela signifie qu’il faut dès maintenant cartographier les dépendances, y compris de rang 2, et obtenir des preuves plutôt que des déclarations.

Une base de données volée est une infrastructure de phishing

Le vol de données chez un fournisseur ne s’arrête pas à la détection de l’incident ni à la remise en état des systèmes. Les données volées deviennent le carburant des attaques de demain, d’autant plus crédibles qu’elles sont précises.

En ouverture des Assises de la cybersécurité à Monaco, Vincent Strubel a reconnu que l’on n’était pas parvenu à éliminer les failles élémentaires que l’ANSSI retrouve un peu partout, après une année marquée par une série de fuites de données d’une ampleur inédite : ANTS, Ficoba, Bloctel, DGFiP. Le rapport d’incident publié par l’agence sur la fuite de la DGFiP, qui a touché 678 000 particuliers et professionnels en août, décrit selon lui ce que chaque professionnel observe au quotidien.

Aussi, le général Patrick Touak, qui dirige le commandement du ministère de l’Intérieur dans le cyberespace, a alerté sur l’usage de ces données fuitées pour cibler des personnes à forte valeur ajoutée, notamment dans l’univers des cryptomonnaies, jusqu’à des violences physiques.

La campagne documentée par le CERT-EU entre septembre 2025 et février 2026 contre des organisations du fret et de la logistique, en Allemagne, en France, en Lituanie et aux États-Unis, en est la démonstration.

Plus de 1 600 identifiants uniques dérobés, des « perturbations importantes » des opérations, et, côté infrastructure criminelle, 52 domaines de phishing et 75 840 adresses e-mail ciblées, selon des chercheurs ayant retrouvé la base de données de l’opération dans un dépôt Git exposé.

Spearphishing, phishing vocal pour intercepter en temps réel les codes d’authentification multifacteur, usurpation de plateformes que les cibles utilisent chaque jour : les plateformes elles-mêmes n’ont pas été compromises. Ce sont les personnes qui s’y connectent qui ont été piégées.

C’est ici que se joue l’angle mort de la conformité. NIS2 prévoit bien l’hygiène informatique de base et la formation à l’article 21, ainsi que la formation des organes de direction, avec l’obligation de proposer des formations similaires aux collaborateurs, à l’article 20.

Mais les États ont transposé ces dispositions de façon très inégale.

L’Allemagne n’a pas transposé expressément l’offre de formation aux collaborateurs. L’Italie a transposé les deux volets. Le projet français forme les dirigeants et les « personnes exposées aux risques », et renvoie le reste à un référentiel encore marqué « document de travail ». L’exigence qui touche chaque maillon de la chaîne est celle que les législateurs nationaux ont le plus rognée, et le seul texte européen contraignant qui oblige une entité à fixer des exigences de formation pour le personnel de ses fournisseurs, le règlement d’exécution (UE) 2024/2690, ne couvre que le secteur numérique.

Or un collaborateur qui reconnaît un message trop bien informé, qui refuse de communiquer un code à un « support » rappelant pour la deuxième fois, vaut davantage qu’une ligne de plus dans un questionnaire. La sensibilisation doit être continue, contextualisée par métier et mesurable, y compris chez les prestataires qui accèdent à nos systèmes.

Ne pas attendre le feu vert de l’hémicycle

Le report du 6 octobre est un mauvais signal, mais il ne change rien au fond. Les incidents surviennent par la chaîne d’approvisionnement, et des attaques sans lien apparent peuvent être facilitées par un même vol de données antérieur.

La loi, quand elle viendra, formalisera des obligations que les organisations avisées devraient déjà avoir amorcées : cartographier leurs fournisseurs et sous-traitants, remplacer le questionnaire par des preuves régulièrement vérifiées, inscrire des exigences de sécurité et de formation dans les contrats, et préparer leurs équipes à reconnaître l’hameçonnage hyper-personnalisé.

Le chantier va d’ailleurs s’élargir. Avec l’arrivée de l’IA dans les chaînes d’approvisionnement, il ne s’agira plus seulement de protéger des identités humaines, mais aussi de se demander ce qui se passe lorsqu’un agent intégré à un service SaaS que l’on a souscrit dérape. Aucune exemption n’existera pour les outils ou agents d’IA.

Autant maîtriser dès aujourd’hui les fondamentaux, avant de sécuriser ce nouveau paysage agentique. Le meilleur moment pour agir, c’est maintenant, et certainement pas le jour où l’Assemblée nationale trouvera enfin une place dans son agenda.

*Florian Malecki est responsable Europe du Sud chez KnowBe4

The post NIS2 : la loi attend, les attaquants non appeared first on Silicon.fr.