NIS2 en France : où en est la loi Résilience et que change-t-elle pour votre hébergeur ?

Réponse courte pour les entreprises françaises qui se demandent si NIS2 les concerne déjà. Situation au 30.09.2026, d'après le dossier législatif de l'Assemblée nationale, l'ANSSI et la Commission européenne.

Réponse courte

1Au 30.09.2026, la loi Résilience, qui doit transposer la directive NIS2 en droit français, n'est pas promulguée : le projet de loi est en première lecture à l'Assemblée nationale, avec une séance publique annoncée pour le 07.10.2026.
2Le Sénat a adopté le texte le 12.03.2025 et la commission spéciale de l'Assemblée a rendu son rapport le 10.09.2025.
3Le 08.07.2026, la Commission européenne a saisi la Cour de justice de l'UE contre la France (ainsi que l'Irlande, l'Espagne et les Pays-Bas) pour transposition incomplète de NIS2.
4L'obligation pèse sur votre organisation, pas sur votre hébergeur : lui seul vous fournit des moyens (journaux, sauvegardes, contrat), pas la conformité.
5Le calendrier peut encore évoluer : vérifiez le statut sur le dossier législatif et sur les pages de l'ANSSI avant toute décision.

Où en est la loi Résilience (au 30.09.2026) ?

Le texte s'intitule « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». Il a été déposé au Sénat le 15.10.2024 en procédure accélérée, adopté par le Sénat le 12.03.2025, puis transmis à l'Assemblée nationale. Sa commission spéciale a rendu son rapport le 10.09.2025 ; la séance publique est annoncée pour le 07.10.2026 (source : dossier législatif de l'Assemblée nationale).

Ce statut est daté : il peut changer d'ici votre lecture. Consultez le dossier législatif officiel avant de vous appuyer sur cette page.

Ce que dit la directive, déjà applicable en droit européen

La directive (UE) 2022/2555 demande aux entités concernées des mesures de gestion des risques, dont la sécurité de la chaîne d'approvisionnement et la sauvegarde des données (article 21), l'implication des organes de direction (article 20) et une notification d'incident en trois temps : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois (article 23).

La Commission européenne a saisi la Cour de justice le 08.07.2026 contre la France, l'Irlande, l'Espagne et les Pays-Bas, avec demande de sanctions financières, pour transposition incomplète. L'ANSSI précise que NIS2 entrera en vigueur en France une fois la loi, les décrets et les arrêtés promulgués.

Ce que cela change pour votre hébergeur

Votre hébergeur est un prestataire de votre chaîne d'approvisionnement : la directive vous invite à en tenir compte. Concrètement, préparez des éléments vérifiables :

où sont les serveurs et sous quelle juridiction ;
qui peut accéder à vos données et comment l'accès est tracé ;
fréquence, rétention et test de restauration des sauvegardes ;
protection contre les attaques réseau et contact en cas d'incident ;
contrat de traitement des données et clauses de transfert.

Cas de figure (illustratifs)

Un éditeur SaaS français, sous-traitant d'un grand compte, reçoit un questionnaire sécurité qui reprend les thèmes de NIS2 : il doit documenter son hébergement, ses journaux et ses sauvegardes.
Une agence web qui héberge les sites de ses clients sur un VPS doit savoir qui administre le serveur et comment elle serait alertée en cas d'incident.
Une PME industrielle qui ignore encore si elle est concernée cartographie ses prestataires numériques en attendant la promulgation.

Erreurs fréquentes

Attendre la promulgation pour ne rien faire. La directive européenne et ses obligations de fond (gestion des risques, notification d'incident) sont connues ; cartographiez dès maintenant vos systèmes et vos prestataires.
Croire qu'un hébergeur « conforme NIS2 » vous rend conforme. La responsabilité reste celle de votre direction ; un hébergeur ne signe pas votre conformité.
Ne pas centraliser les journaux. Sans traces exploitables, une alerte précoce sous 24 heures est irréaliste.
Ne jamais tester une restauration. Une sauvegarde jamais restaurée n'est pas une mesure de sécurité.
Confondre NIS2, RGPD et référentiels sectoriels (SecNumCloud, HDS) : ce sont des régimes distincts, avec des objets différents.

Comment 4hosting vous aide

4hosting fournit de l'infrastructure : VPS, serveurs dédiés et GPU, dans un datacenter de l'UE (Francfort, pas en France), avec protection DDoS L3/L4 incluse, migration gratuite, contrat de traitement des données (article 28 du RGPD) et clauses contractuelles types pour les transferts. Chaque abonnement inclut des heures mensuelles de DevOps, CyberSecurity et programmation, à demander depuis votre panneau client.

Nous pouvons vous aider à durcir un serveur, centraliser des journaux ou tester une restauration. Nous ne certifions pas votre conformité NIS2 et ne la signons pas : nos pratiques sont alignées sur ISO 27001, sans certification.

Questions fréquentes

4hosting est-il conforme NIS2 à ma place ?

Non. 4hosting n'est pas un organisme de certification et ne signe pas la conformité juridique de ses clients. Nous fournissons de l'infrastructure (VPS, serveurs dédiés), une protection DDoS L3/L4 incluse, un contrat de traitement des données (art. 28 RGPD) et des heures DevOps / CyberSecurity incluses selon le plan.

Où se trouvent physiquement les serveurs ?

Dans un datacenter de l'Union européenne, à Francfort, donc pas en France. Les données restent dans l'UE ; le support est assuré en anglais et en roumain.

La loi Résilience est-elle déjà en vigueur ?

Pas à la date du 30.09.2026 : le projet de loi est encore en discussion à l'Assemblée nationale. L'ANSSI indique que NIS2 entrera en vigueur en France une fois l'ensemble des textes de transposition (loi, décrets, arrêtés) promulgués.