← Toutes les ressources

NIS2 France : les cabinets d'avocats sont-ils concernes ?

Publié le 16 octobre 2026 · 9 min de lecture · CyberNovaLabs.io

Les services juridiques ne figurent pas aux annexes I et II de NIS2, et la France n'a pas acheve sa transposition au 16 octobre 2026. Mais la directive atteint les cabinets par la chaine d'approvisionnement de leurs clients concernes, par le RGPD et par la fraude aux virements CARPA. Ce qui est opposable aujourd'hui, et dans quel ordre agir.

La réponse courte

Non. Un cabinet d'avocats en France n'entre pas dans le champ de NIS2 au titre de son activité : les annexes I et II de la directive (UE) 2022/2555 listent dix-huit secteurs, et les services juridiques n'en font pas partie^[5]. S'y ajoute un fait de calendrier : au 16 octobre 2026, la France n'a pas achevé sa transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024, adopté par le Sénat en première lecture le 12 mars 2025, et le texte de la commission spéciale a été déposé à l'Assemblée nationale le 10 septembre 2025^[3][4]. L'ANSSI indique de son côté que les travaux législatifs et réglementaires restent à mener^[1].

Ce n'est pas pour autant une bonne nouvelle. NIS2 arrive dans un cabinet par la porte de service : vos clients concernés doivent sécuriser leur chaîne d'approvisionnement, et vous êtes un fournisseur qui détient leurs dossiers les plus sensibles. Ce guide dit ce qui vous est opposable aujourd'hui, et ce qui vous sera demandé par contrat.

Êtes-vous concerné ? Les critères, dans l'ordre

Trois questions, dans cet ordre. Si les trois réponses sont « non », l'obligation NIS2 directe ne vous vise pas.

1. Votre activité figure-t-elle dans l'un des dix-huit secteurs des annexes I et II ? Énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (B2B), administration publique, espace ; puis postal et expédition, gestion des déchets, chimie, denrées alimentaires, industrie manufacturière, fournisseurs numériques, organismes de recherche^[5]. « Services juridiques » n'y est pas.
2. Exercez-vous, à côté du barreau, une activité listée ? Un cabinet qui héberge et administre lui-même l'infrastructure informatique d'autres structures, ou qui vend un service informatique managé, regarde la catégorie « gestion des services TIC (B2B) » de l'annexe I^[5]. C'est le cas qui piège les cabinets qui ont mutualisé leur IT entre plusieurs entités.
3. Dépassez-vous les seuils de taille ? La directive raisonne sur la taille de l'entité au sens de la recommandation européenne sur les PME, et la qualification en entité essentielle ou importante en dépend^[5]. La question ne se pose que si la réponse à l'une des deux premières est « oui ».

NIS2 et cabinet d'avocats en France : où en est vraiment le texte

Dire « NIS2 s'applique depuis octobre 2024 » est inexact pour la France. La directive devait être transposée par les États membres ; la France transpose par un texte unique trois véhicules européens — la directive REC sur la résilience des entités critiques, NIS2, et le volet DORA pour le secteur financier^[2]. Tant que la loi n'est pas promulguée et que les décrets ne sont pas publiés, il n'y a ni liste nominative d'entités, ni échéance d'enregistrement opposable, ni barème de sanction applicable en droit interne^[1].

Ce qui existe déjà, en revanche, est utilisable aujourd'hui :

• le Référentiel Cyber France (ReCyF), mis à disposition par l'ANSSI depuis le 17 mars 2026^[1] ;
• MonEspaceNIS2 et son simulateur de périmètre, avec un pré-enregistrement volontaire ouvert aux futures entités concernées^[1][10].

Pour un cabinet, l'intérêt du ReCyF n'est pas la conformité : c'est le vocabulaire. Vos clients concernés vont vous poser leurs questions dans ces termes, et un cabinet qui répond dans le même référentiel traite son questionnaire fournisseur en deux heures au lieu de deux semaines.

Les trois portes par lesquelles NIS2 entre quand même dans un cabinet

1. Le questionnaire de sécurité de votre client concerné

NIS2 impose aux entités concernées de traiter la sécurité de leur chaîne d'approvisionnement et la qualité de leurs prestataires directs^[5]. Un cabinet qui conseille une clinique, un transporteur, un industriel ou un opérateur d'infrastructure numérique est un prestataire direct détenant des dossiers contentieux, des due diligence, des contrats et des données de salariés. L'obligation n'est pas la vôtre ; la clause qui vous la répercute, si. Elle arrive par l'annexe sécurité du contrat de prestation, pas par un courrier de l'ANSSI.

2. Le RGPD, qui ne demande pas l'avis de NIS2

Un cabinet traite des données personnelles, parfois sensibles, pour ses clients, ses dossiers et ses salariés. En cas de violation, la règle de principe est la notification à la CNIL dans les 72 heures après en avoir pris connaissance, avec information des personnes quand le risque est élevé^[9]. La CNIL et le Conseil national des barreaux ont d'ailleurs renouvelé leur convention de partenariat le 17 juillet 2025, pour trois ans, précisément sur la conformité au RGPD, la gestion des risques cyber et le déploiement d'outils d'analyse juridique dotés d'intelligence artificielle^[8].

3. Le secret professionnel, qui n'est pas une mesure de sécurité

Le secret professionnel de l'avocat protège les consultations, la correspondance avec le client, les notes d'entretien et les pièces du dossier. Il est d'ailleurs opposable en contrôle : un organisme ne peut pas invoquer le secret professionnel pour refuser l'accès des agents de la CNIL, sauf lorsque les données relèvent de la correspondance entre un avocat et son client^[9]. Mais ce régime protège une information, il ne chiffre pas une sauvegarde et ne détecte pas une exfiltration. Un rançongiciel qui publie un dossier ne viole pas le secret : il le rend inopérant.

Le risque réel d'un cabinet français, en pratique

Le Conseil national des barreaux a recensé, le 27 août 2026, les menaces qui visent concrètement les cabinets, et ses recommandations sont plus utiles qu'un audit générique^[6].

Menace	Ce qu'elle vise dans un cabinet	La parade retenue par le CNB[6][7]
Hameçonnage	La boîte de l'associé, puis le fil de discussion d'un dossier en cours	Contrôler l'adresse de l'expéditeur, survoler les liens avant de cliquer, analyser les pièces jointes avec un antivirus à jour
Rançongiciel	Paralysie de l'activité pour une durée indéterminée et perte sèche	MFA, sauvegardes régulières dont une hors ligne, mises à jour, antivirus et pare-feu sur tous les postes, droits administrateur limités
Fraude au changement de RIB et aux virements CARPA	Les fonds de clients maniés par le cabinet	Vérifier systématiquement tout changement de RIB par un second canal, jamais par e-mail seul ; transmettre un RIB via e-Partage
FOVI (« fraude au président »)	Un ordre de virement urgent présenté comme venant d'un associé	Second canal de vérification et messagerie professionnelle sécurisée pour les échanges sensibles

Les 5 premières actions

1. Passez le simulateur de périmètre et tranchez par écrit. Une page, datée, signée par l'associé référent : activité non listée aux annexes I et II, donc hors champ direct ; ou activité TIC accessoire, donc à instruire. Cette page est la première pièce que demandera un client concerné.
2. Activez le MFA sur la messagerie, le coffre de dossiers et l'accès distant. C'est la mesure que le CNB cite en premier contre le rançongiciel^[6], et la seule qui casse la chaîne hameçonnage → compte → dossier.
3. Sortez une sauvegarde du réseau et testez la restauration ce trimestre. Hors ligne, et restaurée pour de vrai, avec la date du test consignée^[6].
4. Écrivez la procédure « changement de RIB » et appliquez-la aux virements CARPA. Second canal obligatoire, interdiction de valider sur un e-mail seul, un e-mail de confirmation ne vaut pas vérification^[6].
5. Préparez la fiche de réponse au questionnaire fournisseur. Hébergement et localisation des données, sous-traitants, MFA, sauvegardes, journalisation, délai de notification, contact d'incident. Rédigée une fois, elle sert à tous vos clients concernés.

Pour la mécanique d'un questionnaire client, nos repères de méthode valent pour un cabinet comme pour une fiduciaire : voyez le guide NIS2 France : cabinets comptables et fiduciaires, concernés ?. Et pour comparer avec un pays qui, lui, a déjà sa loi, lisez NIS2 Pays-Bas : les cabinets d'avocats sont-ils concernés ? — la différence de calendrier change la conversation avec un client néerlandais.

Chez CyberNovaLabs.io

Commencez par l'outil gratuit : le test NIS2 vous dit en quelques questions si votre structure entre dans le périmètre, et le test de sécurité e-mail vérifie SPF, DKIM et DMARC sur votre nom de domaine — le point d'entrée des quatre menaces du tableau ci-dessus. Les échéances réglementaires sont suivies pays par pays, France comprise.

Nous intervenons aussi en amont commercial : si votre cabinet veut rencontrer des directions juridiques et des dirigeants, notre offre de prise de rendez-vous B2B fonctionne sans engagement de durée, au rendez-vous ou au forfait, avec des critères de qualification écrits avant le lancement — et, pour un cabinet parisien, voyez la page prise de rendez-vous B2B à Paris. Tarifs sur devis.

Parlons de votre cabinet en 20 minutes

Sources

1. ANSSI - La directive NIS 2
2. Senat - Projet de loi resilience des infrastructures critiques et renforcement de la cybersecurite (la loi en clair)
3. Senat - Dossier legislatif PJL n 24-033
4. Assemblee nationale - Dossier legislatif (17e legislature)
5. EUR-Lex - Directive (UE) 2022/2555 (NIS 2), annexes I et II
6. Conseil national des barreaux - Menaces cyber : le CNB fait le point (27/08/2026)
7. Conseil national des barreaux - La securite numerique du cabinet d'avocat (guide)
8. CNIL - La CNIL et le Conseil national des barreaux renouvellent leur partenariat (17/07/2025)
9. CNIL - Violations de donnees personnelles : les regles a suivre
10. ANSSI - MesServicesCyber, NIS 2

À lire aussi