NIS2 : faut-il déjà adapter vos contrats ?
Vous tenez les contrats d’une PME ou d’une ETI française, un client ou un éditeur vous parle de NIS2, et vous vous demandez s’il faut déjà reprendre vos contrats fournisseurs.
Pas encore, sauf si un client l’exige par écrit. Au 5 novembre 2026, le dossier de l’Assemblée nationale n’affiche ni adoption par l’Assemblée ni promulgation. Aucune date légale française de suivi des fournisseurs issue de NIS2 n’est établie.
Préparez la liste de vos fournisseurs critiques, et arrêtez-vous là. Cette réponse a une date : une discussion en séance est affichée au lundi 9 novembre 2026, et le dossier est à relire après cette séance.
Notre avis
Au 5 novembre 2026, la loi française n’est pas établie : préparez la liste de vos fournisseurs critiques, sans campagne d’avenants.
Pourquoi
- Reprendre des contrats sur un texte non voté, c’est négocier deux fois si le texte final diffère. Plusieurs centaines d’amendements étaient déposés sur le texte de la commission.
- La liste, elle, servira quoi qu’il arrive : la directive vise la sécurité des relations avec les fournisseurs directs, et un client peut vous la demander demain.
- Vous ne savez peut-être pas encore si votre entreprise est visée. La directive pose des types d’activité et une taille ; les seuils et le référentiel français ne sont pas établis par ce que nous avons lu.
Ce qui change notre avis
Un client vous l’impose déjà : suivez son écrit, sans attendre la loi. Le vote puis la promulgation : relisez cette page et le Journal officiel avant toute décision.
Où en est le texte français au 5 novembre 2026
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est passé par ces étapes, d’après les dossiers parlementaires lus ce jour-là.
| Date | Étape | Source |
|---|---|---|
| 15 octobre 2024 | Dépôt au Sénat, procédure accélérée engagée | Assemblée nationale |
| 12 mars 2025 | Adoption par le Sénat en première lecture | Assemblée nationale, Sénat |
| 10 septembre 2025 | Texte de la commission spéciale de l’Assemblée déposé | Assemblée nationale |
| 6 octobre 2026 | Examen prévu les 7 et 9 octobre retiré de l’ordre du jour | Next et Leto, relevé d’origine non lu |
| Lundi 9 novembre 2026 | Discussion en séance affichée. À vérifier après cette date | Assemblée nationale |
Ce que la directive demande déjà aux États, et à qui
La directive visait une transposition au plus tard le 17 octobre 2024 (article 41). Elle s’adresse aux États. Elle couvre les entités des types listés en annexes I et II, de taille moyenne ou plus, et certaines entités quelle que soit leur taille (article 2).
L’article 21, paragraphe 2, point d, demande de traiter la sécurité de la chaîne d’approvisionnement, dont les relations avec les fournisseurs ou prestataires de services directs. Il ne donne ni clause type, ni fréquence, ni modèle de registre. D’où notre prudence : même une fois la loi votée, ce texte seul ne dit pas quelle date mettre dans un outil.
Leto, éditeur d’un logiciel NIS2, écrit qu’« en droit français, les obligations issues de NIS 2 ne s’appliquent toujours pas ». C’est cohérent avec les dossiers lus, mais la phrase date d’octobre 2026 et vient d’un vendeur. Leto rapporte aussi, d’après un tiers, une procédure devant la Cour de justice pour non-transposition : nous ne l’avons pas vue sur une source de l’Union.
La liste à préparer maintenant
Une ligne par fournisseur dont la panne ou la compromission vous arrêterait. Pas besoin d’un logiciel pour cela.
- Choisissez les fournisseurs. Partez de ce qui vous arrêterait en une journée : hébergement, messagerie, outil métier, infogérance. Ce critère est le nôtre, le texte n’en donne pas.
- Notez cinq informations. Fournisseur, service, contrat lié et son échéance, données concernées, responsable interne.
- Relevez ce que le contrat dit déjà. Notification d’incident, audit, sous-traitance. Une simple mention oui ou non suffit, sans renégocier.
- Arrêtez-vous là. Pas d’avenant type, pas de questionnaire envoyé à tous, tant qu’une loi ou un client ne le demande pas.
Ce qu’il faudra relire après le 9 novembre
Un vote en séance à l’Assemblée n’est pas une loi promulguée. Le Sénat a déjà adopté son texte et la procédure accélérée est engagée : la suite dépendra de ce que l’Assemblée adopte.
Dans l’ordre : le dossier de l’Assemblée, pour savoir si le texte a été voté ou de nouveau reporté. Puis, si promulgation il y a, le Journal officiel, pour les dates d’application. Puis les décrets, pour les seuils, et le référentiel de l’ANSSI. Les amendes françaises restent inconnues à ce stade : la directive fixe seulement que les États prévoient des maximums d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et d’au moins 7 millions ou 1,4 % pour les entités importantes.
Un CLM « conforme NIS2 » : ce que nous en pensons
Nous en déduisons qu’un logiciel de contrats peut héberger des clauses et des questionnaires déjà prévus par un contrat ou demandés par un client. Annoncer une conformité NIS2 grâce à un CLM (logiciel de gestion du cycle de vie des contrats) serait une extrapolation à ce jour. Ne faites pas de NIS2 la raison d’acheter : si vous n’avez pas d’autre motif, attendez.
Limites de cette page
Cette page décrit un état daté. Elle vaut pour le 5 novembre 2026 et se périme dès la séance du 9 novembre 2026. Nous n’avons pas lu le texte de la commission en détail, ni la page de l’ANSSI (inaccessible), ni le référentiel français. Elle ne dit pas si votre entreprise sera visée. La directive prévoit aussi des actes d’exécution de la Commission pour certains prestataires numériques, dont l’informatique en nuage et les services gérés (article 21, paragraphe 5) : nous ne les avons pas lus, lisez-les si vous en êtes un. Si vous opérez dans un secteur des annexes de la directive, faites-le vérifier sans attendre la loi.
Preuves et sources
Directive (UE) 2022/2555 et dossiers de l’Assemblée nationale et du Sénat lus le 5 novembre 2026 : tout est à revérifier après la séance du 9 novembre 2026. Nous n’avons pas pu ouvrir la page de l’ANSSI et n’avons pas lu le référentiel français.
Voir les 7 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis
Fait lu. La directive NIS2 vise les entités des annexes I ou II de taille moyenne ou plus et certaines entités quelle que soit leur taille ; l’article 21, paragraphe 2, point d, demande de traiter la sécurité de la chaîne d’approvisionnement, dont les relations avec les fournisseurs ou prestataires de services directs.
Portée : Articles 2 et 21 ; obligation adressée aux États membres.
Réserve : Aucune périodicité ni clause type. Une directive ne s’applique pas seule à une entreprise française sans loi nationale, selon notre lecture.
Relevé le 5 novembre 2026.
- EUR-Lex : Directive (UE) 2022/2555 (NIS2) Texte du 14 décembre 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Les États adoptent et publient la transposition au plus tard le 17 octobre 2024 ; ils prévoient une amende maximale d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et d’au moins 7 millions ou 1,4 % pour les entités importantes.
Portée : Articles 34 et 41.
Réserve : Montants français non établis.
Relevé le 5 novembre 2026.
- EUR-Lex : Directive (UE) 2022/2555 (NIS2) Texte du 14 décembre 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le dossier de l’Assemblée nationale lu le 5 novembre 2026 montre un dépôt au Sénat le 15 octobre 2024 avec procédure accélérée, une adoption par le Sénat le 12 mars 2025, un texte de commission déposé le 10 septembre 2025 et une discussion en séance affichée au lundi 9 novembre 2026, avec 397 amendements. Il n’affiche ni adoption par l’Assemblée ni promulgation.
Portée : France, état au 5 novembre 2026.
Réserve : Calendrier révisable. À relire après le 9 novembre 2026.
Relevé le 5 novembre 2026.
- Assemblée nationale : Dossier législatif du projet de loi résilience Lu le 5 novembre 2026, séance affichée au 9 novembre 2026. Lu le 5 novembre 2026. Document d’origine.
- Sénat : Dossier législatif pjl24-033 Actualité affichée jusqu'au 17 mars 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le 6 octobre 2026, l’examen prévu les 7 et 9 octobre a été retiré de l’ordre du jour, d’après Next et Leto.
Portée : France, octobre 2026.
Réserve : Relevé d’origine non lu. Antérieur au calendrier du 9 novembre.
Relevé le 5 novembre 2026.
- Next : Le brief du 23 septembre 2026 Mis à jour le 6 octobre 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- Leto (éditeur de logiciels de conformité) : NIS 2 : l'Assemblée reporte de nouveau l'examen Octobre 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Leto écrit qu’en droit français les obligations issues de NIS 2 ne s’appliquent toujours pas, et rapporte, selon un tiers, une procédure devant la Cour de justice pour non-transposition.
Portée : Éditeur vendant un logiciel NIS2, octobre 2026.
Réserve : Intérêt commercial. Procédure non vue sur une source de l’Union.
Relevé le 5 novembre 2026.
- Leto (éditeur de logiciels de conformité) : NIS 2 : l'Assemblée reporte de nouveau l'examen Octobre 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre déduction. Au 5 novembre 2026, aucune date légale française de suivi des fournisseurs issue de NIS2 n’est établie ; un logiciel ne peut qu’héberger des clauses et questionnaires prévus par un contrat ou demandés par un client, et annoncer une conformité NIS2 par un CLM serait une extrapolation.
Portée : France, à relire après le 9 novembre 2026.
Réserve : Peut changer dès le vote et la publication.
Relevé le 5 novembre 2026.
- Assemblée nationale : Dossier législatif du projet de loi résilience Lu le 5 novembre 2026, séance affichée au 9 novembre 2026. Lu le 5 novembre 2026. Document d’origine.
- EUR-Lex : Directive (UE) 2022/2555 (NIS2) Texte du 14 décembre 2022. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Préparer une liste de fournisseurs critiques et s’y arrêter, sauf demande écrite d’un client.
Portée : PME et ETI françaises, au 5 novembre 2026.
Réserve : Le critère de sélection est le nôtre.
Relevé le 5 novembre 2026.