Loi Résilience 2026 : NIS2, REC et DORA, ce qui attend les entreprises françaises
Un seul texte pour trois réglementations européennes. La Loi Résilience transpose simultanément la directive NIS2 (cybersécurité), la directive REC (résilience des entités critiques) et articule le règlement DORA (secteur financier). Pour les dirigeants, l'enjeu n'est plus de comprendre chaque texte isolément, mais de savoir lequel s'applique à leur organisation — et dans quel ordre agir.
Trois réglementations, un seul véhicule législatif
La France a choisi de regrouper la transposition de trois textes européens dans une même loi, dite Loi Résilience. Ce choix est pragmatique : les trois réglementations poursuivent le même objectif — rendre les organisations capables de résister à une crise, cyber ou physique — mais chacune vise un périmètre différent.
- NIS2 (directive 2022/2555) couvre la cybersécurité des entités essentielles et importantes dans dix-huit secteurs.
- REC (directive sur la résilience des entités critiques) porte sur la résilience physique : continuité d'activité, protection des sites, gestion des dépendances.
- DORA (règlement 2022/2554) s'applique au secteur financier et impose une résilience opérationnelle numérique, y compris sur la chaîne des prestataires informatiques.
Point de vigilance : DORA est un règlement — il s'applique directement, sans transposition, depuis janvier 2025. La Loi Résilience ne le transpose pas mais désigne les autorités compétentes et articule les obligations avec le cadre national. Une banque ou un assureur relève déjà de DORA aujourd'hui.
Quel texte s'applique à votre organisation ?
La première question n'est pas « comment se conformer » mais « à quoi suis-je soumis ». Beaucoup d'organisations relèvent d'un seul texte ; certaines, de deux ou trois.
NIS2 : le périmètre le plus large
NIS2 concerne les entités de plus de 50 salariés ou 10 M€ de chiffre d'affaires dans un secteur couvert : énergie, transport, santé, eau, banque, infrastructure numérique, administration publique, mais aussi fournisseurs de services numériques, alimentation, fabrication et gestion des déchets. C'est le filet le plus large — environ 15 000 entités françaises sont estimées concernées.
REC : les opérateurs d'infrastructures vitales
REC vise un sous-ensemble plus restreint : les entités dont l'interruption aurait un impact grave sur des fonctions sociétales essentielles. Une entité désignée « critique » au titre de REC est presque toujours aussi une entité essentielle au titre de NIS2 — les deux régimes se cumulent alors.
DORA : la finance, sans seuil de taille
DORA ne raisonne pas en taille mais en secteur : banques, assurances, sociétés de gestion, prestataires de services sur crypto-actifs, et surtout leurs prestataires informatiques tiers critiques. Une PME éditrice de logiciel qui fournit une brique critique à une banque peut se retrouver dans le périmètre par ricochet.
L'angle mort le plus fréquent : la chaîne d'approvisionnement. NIS2 comme DORA rendent l'entité responsable de la sécurité de ses fournisseurs. Une entreprise hors périmètre direct peut être contractuellement obligée de se mettre à niveau parce qu'elle est maillon d'une chaîne critique.
Calendrier : ce qui est déjà en vigueur, ce qui arrive
Le calendrier français a pris du retard sur les échéances européennes, mais les obligations se précisent.
- Janvier 2025 — DORA applicable directement à tout le secteur financier.
- Octobre 2024 — échéance européenne de transposition de NIS2 (dépassée par la France).
- 2026 — examen et adoption de la Loi Résilience ; ouverture de l'enregistrement des entités concernées auprès de l'ANSSI.
- Après publication — délai de mise en conformité, puis montée en charge des contrôles par l'ANSSI pour les entités enregistrées.
Attendre la publication définitive pour démarrer, c'est se condamner à agir dans l'urgence. Le référentiel technique de l'ANSSI et les grandes obligations de NIS2 sont déjà connus.
Trois actions à engager sans attendre le texte définitif
- Cartographier votre exposition. Déterminez à quel(s) texte(s) vous êtes soumis — directement ou via un client. C'est le préalable à toute démarche : un même système peut relever de NIS2 et de DORA avec des obligations de notification distinctes.
- Formaliser l'analyse de risques et la gouvernance. Les trois textes exigent une analyse de risques documentée et une responsabilisation de la direction. La sensibilisation des équipes n'est pas une option : elle est une obligation explicite de NIS2.
- Auditer votre chaîne de sous-traitance. Identifiez vos fournisseurs critiques et prévoyez les clauses de sécurité correspondantes. C'est le chantier le plus long — il vaut mieux le lancer tôt.
Ces obligations réglementaires servent de fil conducteur à nos formations CYBE-001 — Hygiène numérique et NIS2 & mise en conformité. L'objectif : des équipes qui comprennent pourquoi ces règles existent, pas seulement comment cocher les cases.
Ce qu'il faut retenir
La Loi Résilience ne crée pas trois chantiers séparés : elle rappelle que cybersécurité, résilience physique et résilience opérationnelle relèvent d'une même exigence de continuité. Pour une organisation, la bonne question n'est pas « suis-je concerné par NIS2 ou par DORA », mais « où sont mes dépendances critiques, et que se passe-t-il si l'une d'elles tombe ». Commencer par cette cartographie, c'est transformer une contrainte réglementaire en avantage de robustesse.