NIS2 et loi Résilience : ce qui attend les agences web et prestataires numériques

Elle est attendue depuis près de deux ans par les professionnels du numérique : la loi transposant la directive européenne NIS2 doit passer en hémicycle en septembre 2026. Pour les agences web, les hébergeurs et les prestataires de services numériques, ce texte élargit fortement le cercle des entreprises soumises à des obligations de cybersécurité — bien au-delà des grands groupes.

Un texte qui multiplie par trente le nombre d'entreprises concernées

La directive NIS2, adoptée au niveau européen fin 2022, devait être transposée en droit français avant le 17 octobre 2024. Comme la majorité des États membres, la France a manqué cette échéance : le texte, porté par la loi relative à la résilience des infrastructures critiques, n'a été examiné en commission qu'au cours du premier semestre 2026, avec un passage en séance attendu en septembre. Une fois votée, elle fera passer d'environ 500 à près de 15 000 le nombre d'entités françaises soumises à des obligations cyber, selon les estimations relayées par plusieurs cabinets spécialisés. Le texte désigne l'ANSSI comme autorité de contrôle pour la quasi-totalité des secteurs concernés, le secteur financier restant régi par le règlement européen DORA.

Les prestataires numériques en première ligne

Contrairement à la première directive NIS, qui ciblait surtout les grandes infrastructures critiques (énergie, santé, transport), NIS2 élargit son périmètre aux prestataires de services numériques : hébergeurs, fournisseurs d'informatique en nuage, places de marché en ligne, mais aussi, selon leur taille, des agences web et sociétés de développement qui gèrent des infrastructures pour le compte de tiers. Le seuil déclencheur retenu est généralement fixé à 50 salariés ou 10 millions d'euros de chiffre d'affaires, ce qui fait entrer un grand nombre de PME du secteur dans le champ de la loi, en tant qu'entités « importantes » ou « essentielles » selon leur activité.

Pour ces prestataires B2B, la mise en conformité implique de cartographier les actifs numériques, de sécuriser les accès à privilèges, de vérifier l'isolement des sauvegardes et de documenter les procédures de reprise après incident — un chantier que beaucoup de structures de moins de 200 salariés découvrent tout juste.

Un référentiel déjà publié par l'ANSSI

En amont du vote, l'ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui traduit les exigences de NIS2 en objectifs de sécurité concrets : 20 objectifs pour les entités essentielles, 15 pour les entités importantes. Ce référentiel n'a pas encore de valeur contraignante ; il le deviendra une fois les décrets d'application de la loi publiés. Il donne néanmoins aux entreprises du secteur informatique une base de travail pour anticiper leur mise en conformité avant l'entrée en vigueur effective des contrôles.

• Environ 15 000 entités françaises concernées, contre 500 sous l'ancienne directive NIS
• Sanctions prévues jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial
• Enregistrement des entités concernées attendu fin 2026, premiers contrôles en 2027
• ANSSI désignée autorité de contrôle pour la quasi-totalité des secteurs, hors finance (DORA)

Le calendrier prévisionnel évoqué par les spécialistes du secteur prévoit une période de transition avant que les sanctions ne deviennent pleinement applicables, autour de 2028. De quoi laisser aux agences et prestataires numériques un délai, mais un délai qui se resserre à mesure que le texte progresse dans son parcours parlementaire.

Questions fréquentes

Toutes les agences web sont-elles concernées par NIS2 ?

Non, seules celles qui dépassent les seuils de taille retenus (autour de 50 salariés ou 10 millions d'euros de chiffre d'affaires) ou qui gèrent des infrastructures numériques sensibles pour le compte de tiers entrent dans le champ de la loi.

Quand la loi Résilience entrera-t-elle en vigueur ?

Son examen en hémicycle est attendu en septembre 2026 ; en cas d'adoption, une phase de transition doit suivre, avec un enregistrement des entités fin 2026 et des premiers contrôles en 2027.

Que risquent les entreprises qui ne se mettent pas en conformité ?

Le texte prévoit des sanctions financières pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, selon la gravité du manquement constaté.

Sources

• Legiscope
• Forge Agency
• Cyberini

Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale