NIS2 en France : ce que les cyberattaques d'avril 2026 changent pour votre organisation
En une semaine d'avril 2026, deux organismes d'État français ont été victimes de cyberattaques : l'ANTS (France Titres) avec 12 millions de comptes exposés, et l'ANFR avec 330 000 personnes concernées. Le gouvernement a débloqué 200 millions d'euros en urgence. Ces incidents ne sont pas des accidents isolés — ils illustrent précisément les risques que la directive européenne NIS2 entend couvrir. Et le compte à rebours pour les 15 000 entités françaises concernées est lancé.
ANTS — avril 2026
concernées par NIS2
complets ANSSI
1. La vague d'avril 2026 : l'État sous attaque en une semaine
Deux incidents majeurs en moins de 72 heures. Deux opérateurs publics dont les données de millions de Français se retrouvent exfiltrées. Ce n'est pas une coïncidence — c'est le reflet d'une surface d'attaque élargie et d'une dépendance numérique croissante des services de l'État.
Ce qui s'est passé : France Titres détecte une intrusion informatique le 15 avril 2026. Les données de près de 12 millions de particuliers et de professionnels sont concernées : noms et prénoms, adresses email, dates de naissance, identifiants de connexion. Pas de documents d'identité ni de données bancaires — mais des informations largement suffisantes pour du phishing ultra-ciblé.
Réaction : notification immédiate à la CNIL et à l'ANSSI, signalement à la procureure de la République de Paris, saisine de l'OFAC (Office anti-cybercriminalité). Une gestion de crise exemplaire sur le plan procédural — mais qui ne change rien au fait que les données ont été exfiltrées.
Ce qui s'est passé : Deux jours avant l'incident ANTS, l'ANFR subit une intrusion permettant l'exfiltration de données personnelles de 330 000 usagers. Données exposées : noms, prénoms, adresses postales, numéros de téléphone, adresses email, dates de naissance — un profil complet permettant l'usurpation d'identité ou des tentatives de fraude ciblées.
Contexte : L'ANFR gère les autorisations d'utilisation des fréquences radioélectriques — ses usagers incluent des opérateurs télécoms, des professionnels et des particuliers propriétaires d'équipements soumis à autorisation.
Réponse gouvernementale : le Premier ministre Sébastien Lecornu a annoncé un plan d'urgence en trois volets — déblocage de 200 millions d'euros, création d'une autorité numérique de l'État, et renforcement de la doctrine de cyberdéfense. Un signal fort que la menace n'est plus conjoncturelle.
2. NIS2 : ce que la directive exige concrètement
La directive NIS2 (Network and Information Security 2), entrée en vigueur en 2023, remplace NIS1 et étend massivement son périmètre. Elle classe les entités en deux catégories selon leur taille et leur secteur d'activité.
Contrôle : ex ante — l'ANSSI peut imposer des audits réguliers.
Sanctions : jusqu'à 10 M€ ou 2 % du CA mondial annuel.
Contrôle : ex post — l'ANSSI intervient uniquement en cas de preuve de non-conformité ou d'incident majeur déclaré.
Sanctions : jusqu'à 7 M€ ou 1,4 % du CA mondial annuel.
Les 10 mesures minimales obligatoires
Ce que les incidents ANTS et ANFR illustrent directement : mesures 2 (notification rapide), 3 (continuité), 6 (détection de l'intrusion) et 10 (déclaration). Deux organismes qui ont bien réagi sur la notification — mais qui n'ont pas empêché l'exfiltration.
3. Où en est la France — calendrier et Loi Résilience
La France a manqué la deadline européenne de transposition fixée au 17 octobre 2024. En mai 2025, la Commission européenne a adressé un avis motivé à la France pour défaut de notification — première étape d'une procédure d'infraction qui peut déboucher sur des amendes.
Le véhicule législatif choisi est la Loi Résilience, qui transpose simultanément NIS2, la directive REC (entités critiques) et le règlement DORA (résilience numérique du secteur financier). Le vote en séance plénière de l'Assemblée nationale est attendu pour juillet 2026.
4. Ce que les organisations doivent faire maintenant
La loi n'est pas encore votée, mais les obligations sont déjà connues et le référentiel technique (ReCyF) est disponible. Attendre juillet 2026 pour démarrer, c'est se retrouver en urgence en décembre.
Actions prioritaires
- Vérifier si votre organisation est concernée — le questionnaire d'auto-évaluation est disponible sur monespacenis2.cyber.gouv.fr. Les secteurs couverts sont larges : énergie, transport, banque, santé, infrastructure numérique, administration publique, mais aussi fournisseurs de services numériques, eau, alimentation, espace.
- S'auto-inscrire sur MonEspaceNIS2 — l'inscription ouverte depuis avril 2026 permet à l'ANSSI de qualifier votre entité (EE ou EI) et de vous notifier vos obligations spécifiques.
- Lire le ReCyF et cartographier les écarts — le référentiel est structuré autour des 10 mesures minimales. Identifier les manques avant les contrôles, c'est disposer d'un an pour les combler.
- Formaliser l'analyse de risques — c'est la mesure #1 et le point d'entrée de toute démarche de conformité. Sans elle, les 9 autres mesures n'ont pas de base.
- Former les équipes — la mesure #7 (formation des collaborateurs) est souvent sous-estimée. La majorité des incidents implique une erreur humaine : phishing, mauvaise gestion des mots de passe, clic sur une pièce jointe malveillante.
Ne pas confondre NIS2 et RGPD : les deux réglementations se complètent mais ne se substituent pas. NIS2 porte sur la résilience des systèmes d'information et la gestion des incidents — le RGPD porte sur la protection des données personnelles. Un incident NIS2 non déclaré peut aussi entraîner une violation RGPD. Les deux obligations de notification coexistent.
Ce que les incidents d'avril 2026 devraient changer dans votre organisation
L'ANTS et l'ANFR ont tous les deux bien géré la communication de crise et les notifications réglementaires. Mais les données ont quand même été exfiltrées. C'est la limite d'une approche réactive.
NIS2 pousse vers une approche préventive : détecter avant que l'incident se produise, pas seulement notifier après. Cela passe par des audits réguliers, une surveillance des accès, une sécurité de la chaîne d'approvisionnement — et une culture de la cybersécurité qui ne se limite pas à la DSI.
Ces incidents et les obligations NIS2 sont utilisés comme fil conducteur dans nos formations CYBE-001 — Hygiène numérique, CYBE-003 — Sécurité bureautique et REGU-001 — IA Act & RGPD. Du contexte réglementaire aux réflexes concrets, pour des équipes qui comprennent pourquoi — pas seulement comment.