NIS2 France : immobilier et gestion locative sont-ils concernes ?
NIS2 ne cite pas l'immobilier, et la France n'a de toute facon pas encore de loi de transposition. Voici les criteres pour en etre sur, les textes francais qui vous obligent deja, et les cinq actions qui comptent.
La reponse courte
Non. NIS2 ne vise pas l'immobilier. Ni l'annexe I ni l'annexe II de la directive (UE) 2022/2555 ne citent la transaction immobiliere, la gestion locative ou le syndic de copropriete[1]. Une agence, un administrateur de biens ou un syndic francais n'a donc, en principe, aucune obligation directe d'enregistrement, de mesures de gestion des risques ni de notification d'incident au titre de NIS2.
Deuxieme reponse, moins confortable : si vous cherchiez une echeance francaise, il n'y en a pas encore. Au 31 octobre 2026, la France n'a toujours pas transpose NIS2. Le projet de loi n° 1112 relatif a la resilience des infrastructures critiques et au renforcement de la cybersecurite a ete retire de l'ordre du jour de l'Assemblee nationale le 6 octobre 2026, sans nouvelle date d'examen annoncee[2]. Le delai de transposition europeen, lui, etait fixe au 17 octobre 2024[1].
Troisieme reponse, la seule qui vous fera travailler : vos obligations existent deja. Elles s'appellent decret n° 2015-1437, RGPD, loi Hoguet et LCB-FT. Et la pression cyber qui frappe les agences ne vient pas de l'ANSSI : elle vient du faux RIB.
NIS2 immobilier France : les criteres a passer, dans l'ordre
Trois questions suffisent a trancher. Prenez-les dans cet ordre, la premiere ferme souvent le dossier.
- Exercez-vous une activite listee ? Les annexes de NIS2 couvrent l'energie, les transports, la banque, les infrastructures des marches financiers, la sante, l'eau potable, les eaux usees, les infrastructures numeriques, la gestion de services TIC interentreprises, l'administration publique et l'espace ; puis les services postaux et d'expedition, la gestion des dechets, la chimie, l'agroalimentaire, certaines fabrications, les fournisseurs de services numeriques et la recherche[1]. L'immobilier n'y figure a aucun titre.
- Depassez-vous la taille d'une petite entreprise ? Le seuil de principe est celui de la recommandation 2003/361/CE : au-dela de 50 salaries, ou de 10 M EUR de chiffre d'affaires ou de total de bilan[1]. Question sans objet si la premiere reponse est non : la taille n'ajoute jamais un secteur au perimetre.
- Exploitez-vous, au passage, un service qui est liste ? C'est le seul vrai piege du secteur. Un gestionnaire qui exploite un centre de donnees, revend de l'hebergement, opere un reseau de chaleur ou une production d'eau pour un ensemble immobilier, ou fournit des services informatiques geres a ses mandants, peut tomber dans le perimetre par cette activite-la et jamais par son metier d'immobilier.
Deux portes indirectes restent ouvertes, et ce sont elles qui vous occuperont.
- La chaine d'approvisionnement. L'article 21, paragraphe 2, point d) de la directive impose aux entites concernees de securiser leurs relations avec leurs fournisseurs directs[1]. Si vous gerez le patrimoine d'un hopital, d'un operateur d'energie, d'une banque, d'un port ou d'une collectivite, c'est votre client qui vous repercutera des exigences : questionnaire de securite, clause contractuelle, delai de notification. Vous n'etes pas regule, vous etes audite.
- La designation individuelle. Une autorite nationale peut designer nominativement une entite, hors seuil et hors liste, quand une interruption de son service aurait un effet important. Le cas est rare dans l'immobilier ; il n'est pas impossible pour un gestionnaire d'actifs strategiques.
Si l'un de vos clients, un fonds ou un bailleur social vous envoie un questionnaire en invoquant NIS2, c'est la premiere porte qui s'ouvre, pas la deuxieme. Le meme raisonnement vaut aux Pays-Bas, ou la loi est en revanche votee : voyez notre guide NIS2 aux Pays-Bas pour l'immobilier et la gestion locative, utile si vous gerez des actifs outre-Moerdijk.
Ou en est la France, concretement
L'ANSSI est l'autorite appelee a recevoir les enregistrements et a exercer la supervision. Elle a ouvert un dispositif de pre-enregistrement et un espace d'aide dedie, MonEspaceNIS2, avant meme la loi[3][11]. Les modalites et les delais d'enregistrement obligatoire, eux, attendent le texte de transposition[3].
Les montants annonces dans le projet donnent l'echelle du sujet pour ceux qui, eux, seront concernes : jusqu'a 10 M EUR ou 2 % du chiffre d'affaires annuel mondial pour une entite essentielle, jusqu'a 7 M EUR ou 1,4 % pour une entite importante[2]. Ces chiffres sont ceux d'un projet de loi en attente : ils peuvent changer au vote.
Ce qu'il faut retenir de l'attente francaise. Rien a enregistrer aujourd'hui si vous etes une agence ou un syndic. Mais un texte retire de l'ordre du jour peut revenir vite, et la liste francaise annoncee couvre plus de dix-huit secteurs[3]. Mettez une alerte sur le dossier parlementaire plutot qu'un dossier de conformite dans un tiroir.
Ce que la loi francaise exige deja de vous
Voici le socle reel, celui qui produit des amendes aujourd'hui dans l'immobilier francais.
| Texte | Qui | Ce qu'il impose | Risque |
|---|---|---|---|
| Decret n° 2015-1437 du 5 novembre 2015 | Bailleur et agence | Deux listes limitatives : annexe 1 pour le candidat locataire, annexe 2 pour sa caution. Sont notamment hors liste le livret de famille, la carte Vitale, les releves de compte bancaire, le contrat de mariage, le jugement de divorce, l'extrait de casier judiciaire[4][5]. | Jusqu'a 3 000 EUR pour une personne physique, 15 000 EUR pour une personne morale[5] |
| RGPD et deliberation CNIL n° 2021-057 du 6 mai 2021 | Responsable de traitement | L'appreciation de la solvabilite reste dans les categories prevues : identification, coordonnees, situation professionnelle, ressources. Releves bancaires, documents medicaux et casier judiciaire sont en principe non pertinents[6]. | Mise en demeure, sanction CNIL |
| Doctrine CNIL sur les durees | Agence, gestionnaire | Les justificatifs des candidats non retenus sont detruits des qu'ils ne servent plus a la decision ; trois mois en base active sont consideres comme adequats en principe[5]. | Mise en demeure, sanction CNIL |
| Loi Hoguet | Titulaire d'une carte T ou G | Carte professionnelle delivree par la CCI, valable trois ans ; attestation d'habilitation pour les negociateurs ; garantie financiere d'au moins 110 000 EUR par activite, 30 000 EUR les deux premieres annees dans les cas prevus ; compte sequestre distinct de la garantie[7]. | Perte du droit d'exercer |
| LCB-FT et Tracfin | Professionnels de l'immobilier | Vigilance a l'entree en relation, conservation des pieces, declaration de soupcon[8]. | Sanction de l'autorite de controle |
Le paradoxe du secteur tient en une phrase : NIS2 ne vous demande rien, et vous conservez pourtant des pieces d'identite, des bulletins de salaire, des avis d'imposition et des coordonnees bancaires sur des centaines de personnes. Les cabinets d'avocats vivent exactement le meme ecart, documente dans notre guide NIS2 France pour les cabinets d'avocats.
Le faux RIB, votre vrai risque
Le rapport d'activite 2025 de Cybermalveillance.gouv.fr, publie en mars 2026, recense 504 810 parcours d'assistance. Pour les entreprises et associations, le piratage de compte represente 21 % des parcours, l'hameconnage 16 %, le faux ordre de virement 13,5 % et le rancongiciel 8,1 %[9]. Ce sont des parts de parcours d'assistance, pas des taux d'incidence dans l'ensemble des entreprises francaises.
Le scenario type de la gestion locative : une messagerie est piratee, l'escroc se fait passer pour le bailleur, le notaire ou le vendeur, et transmet un RIB frauduleux. Partent alors un depot de garantie, un trimestre de loyers ou des fonds de vente[10]. Un syndic qui detient les fonds d'une copropriete est une cible de premier choix, parce qu'il traite des virements importants, irreguliers et attendus.
Le reflexe coute zero euro : avant tout virement vers un nouveau RIB, faire confirmer les coordonnees par un canal independant, le numero habituel du creancier, jamais le canal qui a transmis le RIB[10].
Les 5 premieres actions
- Ecrivez noir sur blanc que vous etes hors perimetre. Une page : activite non listee en annexes I et II, aucune activite annexe de type centre de donnees ou service TIC gere, date de la verification. C'est la reponse que vous ressortirez au prochain questionnaire client, en dix minutes au lieu de deux jours.
- Posez la double validation sur les virements. Tout changement de coordonnees bancaires d'un bailleur, d'un fournisseur ou d'un prestataire est confirme par appel sur le numero deja connu, et trace. C'est la mesure au meilleur rapport entre cout et perte evitee dans ce metier.
- Purgez les dossiers des candidats non retenus. Fixez trois mois en base active et automatisez la suppression[5]. Verifiez au passage que votre formulaire ne reclame aucune piece hors des annexes du decret 2015-1437 : c'est la non-conformite la plus facile a constater chez un professionnel de l'immobilier[4].
- Activez l'authentification a deux facteurs sur les messageries. Le piratage de compte est la premiere categorie de parcours d'assistance pour les entreprises[9], et c'est le point d'entree du faux RIB. Commencez par les boites de la comptabilite et de la gestion locative.
- Preparez votre reponse de sous-traitant. Si un seul de vos mandants releve de NIS2, redigez d'avance votre fiche de securite : sauvegardes et test de restauration date, delai de notification d'incident, liste de vos propres sous-traitants, contact de securite. Vous negocierez, au lieu de subir.
Chez CyberNovaLabs.io
Notre test NIS2 gratuit tranche la question du perimetre en quelques minutes, pays par pays, et vous dit ce qui vous concerne vraiment quand votre secteur n'est pas liste. Si vos clients vous envoient des questionnaires de securite, notre page sur les questionnaires fournisseurs donne la trame de reponse.
Nous travaillons par ailleurs avec les professionnels de l'immobilier sur la prise de rendez-vous B2B : voyez notre offre pour l'immobilier d'entreprise, notre guide prise de rendez-vous B2B pour l'immobilier et la gestion locative, et notre page prise de rendez-vous B2B a Paris.
Un doute sur votre perimetre ou sur un questionnaire client ? Demandez un diagnostic : nous vous rendons une position ecrite, utilisable devant votre client. Prestations sur devis.
Sources
- Directive (UE) 2022/2555 (NIS2), annexes I et II - EUR-Lex
- Transposition de NIS2, DORA et REC de nouveau reportee (IREDIC, 13/10/2026)
- NIS 2 - MesServicesCyber (ANSSI)
- Decret n° 2015-1437 du 5 novembre 2015 fixant la liste des pieces justificatives pouvant etre demandees au candidat a la location et a sa caution
- CNIL - Location d'un bien immobilier : quels justificatifs peut-on demander ?
- Deliberation CNIL n° 2021-057 du 6 mai 2021
- CCI Paris Ile-de-France - Conditions d'obtention d'une carte professionnelle loi Hoguet
- Tracfin - Relations entre Tracfin et le declarant (LCB-FT)
- Cybermalveillance.gouv.fr - Rapport d'activite 2025 (mars 2026)
- Cybermalveillance.gouv.fr - Fiche reflexe : la fraude au virement ou au faux RIB
- MonEspaceNIS2 - aide et pre-enregistrement (ANSSI)
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Cyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
Lire l'article →3 novembre 2026 · 9 min de lectureAI Act : ce que les PME doivent savoir en 2026
Applicable depuis le 2 août 2026, l'AI Act tient en trois obligations pour une PME qui achète de l'IA. Les règles lourdes de l'annexe III, elles, attendront le 2 décembre 2027. Voici les dates, les plafonds d'amende réellement opposables à une PME, et qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg.
Lire l'article →2 novembre 2026 · 8 min de lectureNIS2 Belgique : hôtellerie et tourisme, concernés ?
L'hébergement et la restauration ne figurent pas dans les annexes de la loi belge du 26 avril 2024. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà des contrats d'entreprise.
Lire l'article →1 novembre 2026 · 8 min de lectureNIS2 Pays-Bas : votre boutique en ligne est-elle concernée ?
La loi néerlandaise ne vise pas « l'e-commerce ». Elle vise trois services numériques, dont les places de marché en ligne. Voici le test exact, les obligations réelles, et ce qui rattrape un webshop pourtant hors périmètre.
Lire l'article →30 octobre 2026 · 7 min de lectureTraceurs dans une application mobile : 7 M€ d'amende CNIL (29/10/2026)
Un seul traceur, dans une seule application mobile, et 7 millions d'euros d'amende. La décision CNIL rendue publique le 29 octobre 2026 vise une app, pas un site web : c'est là que le dossier devient intéressant pour toute PME des Pays-Bas, de Belgique, de France et du Luxembourg qui a un bandeau impeccable sur son site et une application jamais auditée.
Lire l'article →30 octobre 2026 · 8 min de lectureIA en PME : les 5 taches a automatiser en premier
20,0 % des entreprises europeennes de 10 salaries et plus utilisaient l'IA en 2025, contre 13,5 % un an plus tot. Les usages mesures donnent un ordre de priorite clair pour une PME : cinq taches, dans cet ordre, et trois a laisser de cote.
Lire l'article →