← Toutes les ressources

NIS2 France : editeurs de logiciels et prestataires IT concernes ?

Publié le 5 novembre 2026 · 9 min de lecture · CyberNovaLabs.io

Editer un logiciel ne fait pas entrer dans NIS2 ; infogerer, heberger ou securiser les systemes d'un client, oui. Et en France, les entites numeriques reguliees echappent au referentiel national pour relever d'un reglement europeen directement applicable. Etat au 5 novembre 2026.

La reponse courte

Editer un logiciel ne fait pas entrer dans NIS2. Exploiter, administrer ou securiser les systemes de vos clients, oui. La directive NIS 2 ne nomme nulle part l'editeur de logiciels : parmi les 18 secteurs retenus en France, elle vise la gestion des services TIC (interentreprises) — prestataires de services geres (MSP) et de services de securite geres (MSSP) — les infrastructures numeriques (informatique en nuage, centres de donnees, reseaux de diffusion de contenu, DNS, registres de noms de domaine) et les fournisseurs numeriques (places de marche en ligne, moteurs de recherche, plateformes de reseaux sociaux)^[1]. Une entreprise de services du numerique qui vend des licences et du developpement est hors champ. La meme entreprise qui infogere le parc de quarante clients est dedans.

Deuxieme point, et il est propre a la France : si vous etes regule a ce titre, le referentiel national de l'ANSSI ne s'applique pas a vous. Les entites des infrastructures numeriques, de la gestion des services TIC interentreprises et des fournisseurs numeriques relevent du reglement d'execution (UE) 2024/2690, directement applicable, et non du socle de mesures francais^[1][3]. Vous lisez donc un texte europeen, pas le Referentiel Cyber France.

NIS2 France : ce qui change pour les editeurs de logiciels et les prestataires IT

Quatre questions suffisent a trancher, dans cet ordre.

1. Quelle activite, exactement ? Ce n'est pas l'etiquette commerciale qui compte, mais le service rendu. Installer, gerer, exploiter ou maintenir les systemes et reseaux d'un client, sur site ou a distance, releve des services geres. Heberger, operer un centre de donnees, un cloud ou un CDN releve des infrastructures numeriques. Vendre un progiciel, developper sur mesure, former : rien de tout cela n'est liste.
2. Quelle taille ? Entite essentielle (EE) a partir de 250 salaries, ou avec un chiffre d'affaires superieur a 50 millions d'euros et un bilan superieur a 43 millions d'euros. Entite importante (EI) a defaut, a partir de 50 salaries, ou avec un chiffre d'affaires et un bilan superieurs a 10 millions d'euros^[1]. Le calcul porte sur l'entreprise entiere.
3. Une exception de taille s'applique-t-elle ? Oui pour certaines activites qui sont visees quelle que soit leur taille : fournisseurs de services DNS, registres de noms de domaine de premier niveau, fournisseurs de reseaux de communications electroniques publiques et de services de communications electroniques accessibles au public, prestataires de services de confiance^[1]. Un registrar de dix personnes peut etre regule ; un editeur de 300 personnes peut ne pas l'etre.
4. Ou etes-vous etabli ? Pour les secteurs numeriques, la competence suit l'etablissement principal dans l'Union, pas le lieu de chaque client.

Ou en est la France au 5 novembre 2026

La transposition n'est pas faite. Le projet de loi relatif a la resilience des infrastructures critiques et au renforcement de la cybersecurite transpose trois directives en trois titres : REC (2022/2557), NIS 2 (2022/2555) et DORA (2022/2556). Depose au Senat le 15 octobre 2024, adopte par le Senat le 12 mars 2025 ; la commission speciale de l'Assemblee nationale a adopte un texte le 10 septembre 2025, toujours pas examine en seance publique au 26 octobre 2026. L'examen prevu debut octobre 2026 a ete retire de l'ordre du jour ; novembre etait evoque sans certitude, et les rapporteurs visaient un aboutissement d'ici fevrier 2027^[2].

Le retard a un prix. La France fait l'objet d'une procedure devant la Cour de justice de l'Union europeenne, aux cotes de trois autres Etats retardataires, et la Commission a annonce le 8 juillet 2026 reclamer une somme forfaitaire assortie d'astreintes journalieres jusqu'a la transposition complete^[2]. Le meme jour, le directeur general de l'ANSSI indiquait devant le Senat que NIS 2 doit fixer des regles de base pour environ 20 000 entites en France, contre environ 300 operateurs d'importance vitale sur lesquels l'agence peut imposer des mesures aujourd'hui^[2].

Le texte qui vous concerne vraiment : le reglement (UE) 2024/2690

Ce reglement d'execution du 17 octobre 2024 fixe, pour les MSP et MSSP, le cloud, les centres de donnees, les CDN, le DNS, les registres de premier niveau, les places de marche, les moteurs de recherche, les reseaux sociaux et les prestataires de services de confiance, a la fois les mesures techniques de gestion des risques et les criteres qui rendent un incident important^[3]. Son annexe compte 13 titres : politique de securite, gestion des risques, traitement des incidents, continuite d'activite, securite de la chaine d'approvisionnement, securite dans l'acquisition et le developpement, evaluation de l'efficacite, hygiene et formation, cryptographie, ressources humaines, controle d'acces, gestion des actifs, securite physique^[3].

Les seuils de declaration sont chiffres, et c'est la que beaucoup d'exploitants decouvrent leur vrai sujet.

Si vous etes...	L'incident est important des que...
Prestataire de services geres ou de securite geres (MSP, MSSP)	le service est totalement indisponible plus de 30 minutes ; ou sa disponibilite est limitee plus d'une heure pour plus de 5 % des utilisateurs dans l'Union ou plus d'un million, le plus petit des deux ; ou l'integrite, la confidentialite ou l'authenticite des donnees du service est atteinte par une action supposee malveillante[3]
Fournisseur de cloud	indisponibilite totale de plus de 30 minutes ; ou disponibilite limitee pour plus de 5 % des utilisateurs dans l'Union[3]
Toute entite couverte par le reglement	la perte financiere directe causee ou possible depasse 500 000 euros ou 5 % du chiffre d'affaires annuel du dernier exercice, le plus bas des deux ; ou l'incident peut provoquer l'exfiltration de secrets d'affaires[3]

Trente minutes, pour un MSP, c'est un incident de supervision ordinaire. La consequence est operationnelle : savoir a quelle heure un service est tombe et combien d'utilisateurs de l'Union etaient derriere, sans reconstituer l'information trois jours plus tard. Les sanctions peuvent atteindre 2 % du chiffre d'affaires mondial pour une entite essentielle et 1,4 % pour une entite importante^[1].

Hors champ ne veut pas dire tranquille

Un editeur francais non regule reste pris par deux mouvements, tous deux documentes.

Le premier est la menace. Dans son Panorama de la cybermenace 2025, publie le 11 mars 2026, l'ANSSI a traite 3 586 evenements de securite, en baisse de 18 % sur un an, dont 1 366 incidents portes a sa connaissance, stable face a 1 361 en 2024^[4]. L'agence nomme explicitement le risque de propagation rapide lorsque l'attaque cible un fournisseur de logiciels largement repandus ou une entreprise de service numerique locale ou specialisee dans un secteur d'activite particulier, et indique avoir constate en 2025 de nombreuses compromissions ou les attaquants se sont lateralises depuis les systemes d'information de prestataires vers ceux de leurs clients, via les interconnexions existantes et des authentifiants voles^[4].

Le second est contractuel et reglementaire. La securite de la chaine d'approvisionnement figure dans les mesures imposees a vos clients regules : cartographier leur ecosysteme et porter la securite numerique dans leurs contrats. Vous ne recevrez pas une mise en demeure de l'ANSSI, vous recevrez un questionnaire de securite a l'appel d'offres. Et si vous mettez sur le marche un produit comportant des elements numeriques, le Cyber Resilience Act vous vise directement : entre en vigueur le 10 decembre 2024, son article 14 impose depuis le 11 septembre 2026 de signaler les vulnerabilites activement exploitees et les incidents graves, y compris pour les produits mis sur le marche avant l'application generale du reglement, fixee au 11 decembre 2027^[6].

Une nuance de debat parlementaire, utile si vous operez des deux cotes de la frontiere : le president de la commission speciale du Senat relevait le 26 octobre 2026 qu'en Belgique et dans plusieurs autres pays la certification ISO/IEC 27001 permet de se conformer a NIS 2, et que cette voie n'a pas ete suggeree aux entreprises francaises^[2]. Ce n'est pas du droit francais, c'est une difference de methode a anticiper dans un groupe multi-pays. Nos guides sur les editeurs de logiciels et prestataires IT aux Pays-Bas et en Belgique detaillent les deux autres regimes du meme secteur.

Les 5 premieres actions

1. Ecrivez la liste de vos activites reelles, service par service, avec le contrat qui les porte. C'est le premier objectif de ReCyF et ce qui departage un editeur d'un prestataire de services geres.
2. Posez le chiffre : effectif, chiffre d'affaires, bilan du dernier exercice, au niveau du groupe. Vous saurez si vous tombez en EE, en EI ou hors seuil, et vous aurez la reponse prete pour le prochain questionnaire client.
3. Instrumentez les 30 minutes. Si une activite relevait des services geres, il faudrait produire une heure de debut d'indisponibilite et un decompte d'utilisateurs de l'Union. Verifiez que votre supervision et vos journaux le permettent, service facture par service facture.
4. Faites le pre-enregistrement aupres de l'ANSSI si le test vous designe, et abonnez-vous au suivi des textes : la loi n'est pas votee et les parametres sectoriels seront fixes par decret.
5. Repondez une fois pour toutes au questionnaire client. Un dossier de preuves unique — politique de securite, gestion des acces, sauvegardes testees, procedure d'incident, sous-traitants — transforme un frein commercial recurrent en piece jointe. Nos guides sur la construction en France et la sante en France montrent le meme reflexe cote clients.

Chez CyberNovaLabs.io

Commencez par le test NIS2 gratuit : il vous situe en entite essentielle, importante ou hors champ, et distingue l'edition des services geres. Si vos appels d'offres butent sur la securite, notre guide du questionnaire de securite fournisseur donne la trame de reponse. Pour la suite — un logiciel sur mesure tenable sous CRA, ou la prise de rendez-vous B2B aupres des directions informatiques, y compris a Paris — nous travaillons sur devis, sans engagement de duree.

Parler de votre situation NIS2 et de votre pipeline IT

Sources

1. ANSSI / MesServicesCyber - Directive NIS 2 : secteurs, seuils EE et EI, sanctions, ReCyF et exclusion des secteurs numeriques du socle francais
2. Senat, commission speciale Cybersecurite - compte rendu de la semaine du 26 octobre 2026 (etat du projet de loi, procedure CJUE, audition du directeur general de l'ANSSI)
3. Reglement d'execution (UE) 2024/2690 de la Commission du 17 octobre 2024 (mesures techniques et seuils d'incident important pour les entites numeriques)
4. ANSSI / CERT-FR - Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, publie le 11 mars 2026
5. ANSSI - Referentiel Cyber France (ReCyF), version de travail v2.5 du 17 mars 2026
6. Reglement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act) - dates d'application, article 14 et article 71
7. Directive (UE) 2022/2555 du 14 decembre 2022 (NIS 2) - annexes I et II
8. ANSSI - MonEspaceNIS2, foire aux questions sur le perimetre et les obligations

À lire aussi