La transposition de NIS2 (Network and Information Security 2) en France se fait toujours attendre, alors que la directive européenne aurait dû entrer en vigueur dans notre droit national dès le 17 octobre 2024. Pour les fabricants de dispositifs médicaux, ce retard n’est pas qu’une question de calendrier législatif : il retarde la mise en place d’un cadre de cybersécurité qui les concernera directement, dès lors qu’ils emploient plus de 50 salariés ou réalisent plus de 10 millions d’euros de chiffre d’affaires. Faire le point sur la transposition de NIS2 en France est donc devenu un exercice utile pour anticiper, avant même l’adoption définitive du texte.
Pourquoi la transposition de NIS2 en France prend autant de retard
Le projet de loi français, qui transpose en un seul texte les directives NIS2, CER, (Critical Entities Resilience) et DORA (Digital Operational Resilience Act), a franchi une première étape au Sénat dès mars 2025. Mais son examen par l’Assemblée nationale, initialement prévu en juillet 2026, n’a toujours pas eu lieu : il est désormais attendu au plus tôt à la rentrée parlementaire reportée en octobre 2026. Le point de blocage porte sur un sujet sensible, la protection du chiffrement de bout en bout, débattue à l’article 16 bis du texte. Une mission parlementaire conduite par le député Florent Boudié, prolongée au-delà du 18 juillet, cherche à trouver un compromis entre sanctuarisation du chiffrement et impératifs de sécurité intérieure. Cette tension politique explique, à elle seule, une grande partie du retard pris par la transposition de NIS2 en France.
Une transposition de NIS2 en France désormais sous pression de Bruxelles
Ce retard a un coût diplomatique et potentiellement financier. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, réclamant des astreintes journalières et une somme forfaitaire pour non-transposition de la directive dans les délais. La France n’est pas seule dans ce cas : l’Irlande, l’Espagne et les Pays-Bas figurent également parmi les États membres visés par cette procédure. Cette mise en demeure européenne ajoute une pression supplémentaire sur le calendrier de la transposition de NIS2 en France, sans pour autant garantir une accélération du vote au Parlement.
Ce que prévoit la transposition de NIS2 en France pour les fabricants de dispositifs médicaux
Une fois entrée en vigueur, la directive NIS2 fera basculer environ 15 000 entités françaises dans le champ de la réglementation cyber, contre quelques centaines seulement sous le régime précédent. Les fabricants de dispositifs médicaux non critiques relèvent du secteur « Fabrication », tandis que les dispositifs les plus critiques peuvent basculer dans le secteur « Santé », classé parmi les secteurs hautement critiques. Selon leur taille, ils seront qualifiés d’entité essentielle ou d’entité importante, avec des obligations de gestion des risques, de notification des incidents et de gouvernance cyber proportionnées à ce statut. Les sanctions prévues sont loin d’être symboliques : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions d’euros ou 1,4 % pour une entité importante, avec une responsabilité personnelle possible des dirigeants.
Anticiper la transposition de NIS2 en France avant son adoption définitive
Le flou politique autour de la transposition de NIS2 en France ne doit pas être un prétexte à l’attentisme. L’ANSSI (Agence nationale de la sécurité des systèmes d’information), désignée autorité compétente unique pour la quasi-totalité des secteurs concernés, a déjà publié en mars 2026 son référentiel de cybersécurité ReCyF et propose, via le portail MonEspaceNIS2, un test d’auto-évaluation permettant à chaque organisation de déterminer si elle sera concernée, et à quel titre. Pour les fabricants de dispositifs médicaux, engager dès maintenant une cartographie des risques, formaliser une procédure de notification des incidents et sensibiliser les équipes aux exigences attendues permet d’aborder l’entrée en vigueur du texte sans précipitation, une fois les décrets d’application publiés.
Transposition de NIS2 en France : un calendrier encore incertain, une échéance à ne pas manquer
À l’heure actuelle, la transposition de NIS2 en France reste suspendue à un vote parlementaire dont la date précise n’est toujours pas fixée, entre débat sur le chiffrement et pression juridique européenne. Mais pour les fabricants de dispositifs médicaux, attendre le texte définitif avant d’agir serait une erreur stratégique : le délai de mise en conformité, estimé à environ trois ans à compter de la publication des référentiels techniques, se réduit chaque mois qui passe sans adoption du texte.
BluePharm suit de près l’actualité réglementaire de la cybersécurité des dispositifs médicaux et accompagne les fabricants dans la production de contenus scientifiques et réglementaires à jour, pour transformer ces échéances en avantage plutôt qu’en contrainte de dernière minute.
