NIS2 et sensibilisation au phishing : ce que prévoit le texte et qui est concerné

La directive NIS2 élargit fortement le nombre d'organisations soumises à des obligations de cybersécurité, dont la formation des personnels. En France, la loi de transposition n'est toujours pas adoptée au 3 novembre 2026. Voici ce que prévoient la directive et le projet de loi, qui sera concerné, et ce que vous pouvez faire dès maintenant.

Ce que dit la directive NIS2

La directive (UE) 2022/2555, dite NIS2, impose aux entités qu'elle vise de gérer leurs risques de cybersécurité. Deux articles concernent directement la formation :

• Article 20 : les organes de direction approuvent et supervisent les mesures de cybersécurité. Leurs membres sont tenus de suivre une formation, et les États membres encouragent une formation régulière de l'ensemble du personnel.
• Article 21, paragraphe 2, point g : les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité font partie des mesures de gestion des risques obligatoires.

La directive devait être transposée par les États membres au plus tard le 17 octobre 2024.

Où en est la transposition en France ?

Au 3 novembre 2026, la France n'a pas encore adopté sa loi de transposition. Les principales étapes sont les suivantes :

• 15 octobre 2024 : dépôt au Sénat du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, en procédure accélérée ;
• 12 mars 2025 : adoption par le Sénat ;
• 10 septembre 2025 : adoption du texte par la commission spéciale de l'Assemblée nationale ;
• octobre 2026 : inscription à l'ordre du jour de l'Assemblée, puis retrait avant l'examen en séance, sans nouvelle date annoncée, selon la presse spécialisée.

Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l'Union européenne contre la France, entre autres États, pour défaut de transposition. Selon l'ANSSI, les obligations entreront en vigueur après la publication de la loi et de ses textes d'application, et toutes les exigences ne s'appliqueront pas au même moment.

Qui sera concerné ?

NIS2 distingue des entités essentielles et des entités importantes, selon leur secteur et leur taille. Pour les entreprises, la directive vise en règle générale les moyennes et grandes entreprises des secteurs listés dans ses annexes (énergie, transports, santé, eau, infrastructures numériques, gestion des services informatiques, fabrication, etc.).

Pour le secteur public, le texte adopté en commission à l'Assemblée nationale prévoit notamment :

• entités essentielles : régions, départements, communes de plus de 30 000 habitants, métropoles, communautés urbaines et d'agglomération, centres de gestion de la fonction publique territoriale, services départementaux d'incendie et de secours, ainsi que certains établissements publics et syndicats ;
• entités importantes : communautés de communes et certains de leurs établissements publics.

Selon l'étude d'impact du projet de loi, cela représente plus d'un millier de collectivités et groupements, dont 279 communes de plus de 30 000 habitants et 992 communautés de communes. Le texte peut encore évoluer d'ici son adoption définitive ; dans sa version de commission, les collectivités et leurs groupements sont exclus des amendes administratives.

Formation et sensibilisation : ce que prévoit le projet français

Sur la formation, le projet de loi va plus loin que la directive. Dans la version de la commission de l'Assemblée nationale, les dirigeants approuvent et supervisent les mesures, et eux comme les personnes exposées aux risques doivent être formés à la cybersécurité en fonction de leur degré d'exposition. La directive se contente, pour l'ensemble du personnel, d'encourager la formation.

L'ANSSI prépare en parallèle le référentiel qui précisera les exigences (ReCyF, version 2.5 du 17 mars 2026, encore en document de travail). Il prévoit notamment :

• un objectif de sensibilisation des utilisateurs, dirigeants compris, avec un programme de sensibilisation de l'ensemble des utilisateurs tout au long de leur présence ;
• un objectif d'exercices réguliers.

Les simulations de phishing n'y sont pas citées nommément, mais elles font partie des moyens les plus courants pour sensibiliser l'ensemble des utilisateurs, s'exercer régulièrement et mesurer les progrès.

Que faire dès maintenant ?

1. Vérifier si vous êtes concerné, avec les critères du projet de loi et l'outil MonEspaceNIS2 de l'ANSSI.
2. Former la direction aux enjeux de cybersécurité : c'est l'une des obligations les plus claires de la directive.
3. Lancer un programme de sensibilisation pour l'ensemble des collaborateurs ou des agents, avec des exercices réguliers.
4. Garder la preuve de ce programme : campagnes réalisées, taux de participation, progrès mesurés. Ces éléments vous serviront lors des contrôles.

LePhish combine des simulations de phishing régulières, une sensibilisation le lendemain du clic et des modules de formation, avec des rapports PDF, Excel et CSV prêts pour vos audits NIS2 et ISO 27001. Les collectivités peuvent le commander via l'UGAP ou en achat direct.