En bref. Le projet de loi Résilience, qui transpose NIS2 en France, est inscrit à l'ordre du jour de l'Assemblée nationale à partir du 9 novembre 2026. Il n'est pas promulgué, et les obligations NIS2 ne s'appliquent donc pas encore en France. Le ReCyF de l'ANSSI décrit déjà les objectifs de sécurité. La plupart des chantiers OT prennent plusieurs trimestres et peuvent commencer sur cette base.
Où en est le texte
Le Sénat a adopté le texte le 12 mars 2025. La commission spéciale de l'Assemblée a adopté sa version le 10 septembre 2025. L'examen en séance prévu le 7 octobre 2026 a été retiré de l'ordre du jour en raison de l'encombrement du calendrier parlementaire. Silicon.fr indique que le texte est de nouveau inscrit à partir du 9 novembre, avec des discussions prévues jusqu'au 13 novembre.
Un vote ne suffira pas à rendre NIS2 applicable. L'ANSSI précise que NIS2 s'appliquera en France une fois publiés la loi, ses décrets et ses arrêtés. Aucune date n'est fixée à ce stade.
Sur quoi s'appuyer dès maintenant
L'ANSSI a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026. Il fixe 15 objectifs de sécurité pour les entités importantes et 20 pour les entités essentielles. Bien qu'il s'agisse d'une version de travail, il donne à un site une base concrète pour planifier.
Quatre chantiers à lancer sur un site OT
1. Inventorier les machines. Recensez les automates, les HMI, les RTU et les serveurs SCADA. Un inventaire passif, construit à partir du trafic réseau, ne perturbe pas les automates.
2. Lister chaque chemin d'accès. Incluez le VPN, le serveur de rebond, le routeur 4G du fournisseur et le modem oublié. L'article 21 couvre la chaîne d'approvisionnement, donc les accès des prestataires aussi.
3. Placer le MFA devant les équipements anciens. Un automate n'a pas de compte utilisateur : le contrôle doit donc se faire sur le chemin qui y mène. Notre guide compare cinq façons d'ajouter le MFA aux équipements OT anciens.
4. Séparer l'OT de l'IT. Le considérant 89 de la directive cite la segmentation du réseau parmi les pratiques de cyberhygiène. Elle se structure le plus souvent selon les zones et conduits de l'IEC 62443.
Le rôle d'Access Gate
Access Gate se déploie avec une appliance par site, branchée à côté du réseau, sans rien installer sur les machines. Il couvre la partie réseau de ces mesures. Votre équipe reste chargée de rédiger l'analyse des risques et les politiques, de notifier les incidents et de gérer les contrats des prestataires. Voir notre solution de conformité NIS2 pour réseaux OT et SCADA.