Les recherches sur l’agence nationale de la sécurité des systèmes d’information ont fortement progressé en France dans la nuit du 30 septembre au 1^er octobre 2026, avec la requête associée « vol de données ». L’enquête publiée par franceinfo le 1^er octobre 2026 à 6 heures relie ce mouvement à un blocage législatif : la France n’a pas notifié la transposition complète de la directive européenne dite NIS 2, dont le délai courait jusqu’au 17 octobre 2024. Le même papier rappelle l’annonce, le 13 août 2026, d’une atteinte aux données fiscales. Ce n’est pas ici le mode d’emploi de la personne dont les données fiscales auraient été prises. La question que posent les suggestions « transposition NIS 2 France », « directive NIS 2 date » et « NIS 2 entreprises concernées » est autre : une entreprise, un fournisseur, un dirigeant ou un client peut-il déjà se voir opposer cette directive, et que doit-il faire avant la séance publique du 7 octobre 2026 ?

Une directive lie l’État membre quant au résultat. Elle ne devient pas, par sa seule publication, un règlement opposable à chaque société française. Le projet qui doit porter cette transposition a été adopté par le Sénat le 12 mars 2025. Il n’a pas été adopté par l’Assemblée nationale. La séance est fixée au mercredi 7 octobre 2026. Tant que le texte n’est pas voté, promulgué et publié, les obligations déjà écrites dans le code de la défense, le code pénal, le code civil et le code de commerce continuent de s’appliquer à leur champ propre. L’article décrit ce calendrier, puis ce qui oblige déjà les opérateurs désignés, les responsables de traitement et les dirigeants, sans présenter un projet comme une loi.

I. Directive NIS 2 date : le 17 octobre 2024 est dépassé et la transposition complète n’est pas notifiée

A. Transposition NIS 2 Assemblée nationale : ce que la séance du 7 octobre 2026 décide, et ce qu’elle ne décide pas

Le dossier officiel de l’Assemblée nationale, consulté le 1^er octobre 2026, porte le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. La procédure accélérée a été engagée par le Gouvernement le 15 octobre 2024. Le texte n° 33 a été déposé au Sénat le même jour. Le Sénat l’a adopté le 12 mars 2025, sous le numéro de texte adopté 78. Il a été transmis à l’Assemblée le 13 mars 2025, sous le numéro 1112. La commission spéciale a déposé son rapport et son texte, n° 1779, le 10 septembre 2025. Le dossier de l’Assemblée indique une discussion en séance publique le mercredi 7 octobre 2026, sur le texte de la commission n° 1779-A0. Ces dates figurent sur les pages du dossier législatif de l’Assemblée nationale et du dossier législatif du Sénat. Elles décrivent un calendrier parlementaire. Elles ne décrivent pas une loi en vigueur.

Une séance publique n’est ni une promulgation ni une entrée en vigueur. Le 7 octobre, les députés peuvent adopter le texte, l’amender, le rejeter, ou ne pas terminer l’examen. Même un vote conforme ouvrirait encore, selon le parcours restant, la voie d’une commission mixte, d’une nouvelle lecture, du Conseil constitutionnel si le texte lui est déféré, puis de la promulgation et de la publication au Journal officiel. Tant que ces étapes ne sont pas franchies, aucune société ne peut se voir infliger une sanction française créée par ce projet. Inversement, aucune société ne peut se croire dispensée des textes déjà applicables au motif que « NIS 2 n’est pas votée ». Les deux erreurs sont symétriques, et toutes deux se rencontrent dans les échanges entre donneurs d’ordre et prestataires à la veille d’un débat médiatisé.

Le véhicule législatif est identifiable. Le titre même du projet, sur le texte n° 1112 transmis à l’Assemblée, vise la résilience des infrastructures critiques et le renforcement de la cybersécurité. L’enquête de franceinfo du 1^er octobre 2026 présente ce projet comme le support de la transposition de la directive (UE) 2022/2555, dite NIS 2 ou SRI 2, et impute le retard à un désaccord sur l’article 16 bis, relatif au chiffrement. Cette explication politique est celle du journal. Elle n’est pas, à elle seule, un motif de droit. Ce qui est vérifiable sans reprendre les propos des parlementaires est plus simple : le texte n’est pas adopté par les deux assemblées, et la Commission européenne dit que la France n’a pas notifié une transposition complète.

La page officielle de la Commission, publiée le 8 juillet 2026, énonce en anglais que la Commission a décidé de saisir la Cour de justice de l’Union européenne contre l’Irlande, l’Espagne, la France et les Pays-Bas pour ne pas avoir notifié les mesures transposant la directive (UE) 2022/2555. La même page précise que les États membres avaient jusqu’au 17 octobre 2024 pour transposer la directive, que la France figure parmi ceux qui n’ont pas notifié une transposition complète, que des lettres de mise en demeure ont été envoyées le 28 novembre 2024, que des avis motivés ont suivi le 7 mai 2025, et que les recours demandent des sanctions financières composées d’une somme forfaitaire et d’astreintes journalières jusqu’à la notification d’une transposition complète. Ce contentieux oppose la Commission à l’État français. Il ne condamne aucune entreprise, aucun dirigeant, aucun prestataire. Une société ne peut ni s’en prévaloir comme d’un blanc-seing, ni y lire une amende qui lui serait déjà applicable.

La nuance compte pour les contrats en cours de négociation. Un client qui exige, dès le 1^er octobre 2026, une attestation de « conformité NIS 2 » au sens d’une loi française de transposition demande un document que le droit positif ne peut pas encore délivrer sous cette forme. Un prestataire qui signe cette attestation comme si le projet était déjà le code en vigueur s’expose, non pas à une sanction NIS 2 inexistante, mais à un débat contractuel sur l’exactitude de sa déclaration. À l’inverse, un prestataire qui refuse toute mesure de sécurité au motif que la directive n’est pas transposée oublie le code de la défense, s’il est opérateur désigné ou s’il participe aux systèmes de cet opérateur, et oublie le droit des données personnelles s’il traite de telles données. Le 7 octobre ne change rien à cette distinction tant que le Journal officiel n’a pas publié une loi promulguée.

B. Loi transposition NIS 2 : le texte du Sénat du 12 mars 2025 décrit un régime futur, pas une obligation actuelle

La directive elle-même fixe le délai dans des termes qui ne laissent pas de place à une lecture souple. Son article 41, dans la version française publiée au Journal officiel de l’Union européenne, impose aux États membres d’adopter et de publier au plus tard le 17 octobre 2024 les dispositions nécessaires pour se conformer à la directive, d’en informer immédiatement la Commission, et d’appliquer ces dispositions à partir du 18 octobre 2024. Ce délai est celui de l’État. Il ne crée pas, par ricochet, une date à laquelle chaque société française serait automatiquement classée entité essentielle ou entité importante.

L’article 288 du traité sur le fonctionnement de l’Union européenne, dans la version consolidée du corpus officiel, sépare les instruments : La directive lie l’État membre destinataire quant au résultat à atteindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens. Le règlement, à l’inverse, est obligatoire dans tous ses éléments et directement applicable dans tout État membre. NIS 2 est une directive, non un règlement. Tant que le législateur français n’a pas adopté les mesures nationales, une entreprise ne peut pas se voir appliquer les seuils, les catégories et les délais de notification de la directive comme s’ils étaient déjà des articles du code de la défense. L’effet direct d’une directive non transposée, lorsqu’il est reconnu, s’exerce dans des conditions strictes et, en principe, à l’encontre de l’État, non comme un catalogue de sanctions nouvelles entre sociétés privées. Le recours de la Commission vise précisément le manquement de l’État à notifier la transposition. Il confirme que le résultat n’est pas tenu pour atteint.

Il est utile, pour autant, de lire ce que la directive demande aux États, parce que c’est l’horizon du texte examiné le 7 octobre, et parce que des donneurs d’ordre recopient déjà ces articles dans leurs cahiers des charges. L’article 2 limite le champ aux entités publiques ou privées d’un type visé aux annexes I ou II qui constituent des entreprises moyennes au sens de la recommandation 2003/361/CE, ou qui dépassent ces plafonds, et qui fournissent leurs services ou exercent leurs activités dans l’Union, avec des exceptions de taille pour certains fournisseurs, dont les réseaux de communications électroniques accessibles au public, les prestataires de services de confiance et les registres de noms de domaine. L’article 3 distingue ensuite entités essentielles et entités importantes, notamment selon le dépassement des plafonds des moyennes entreprises pour les types de l’annexe I. Ces critères ne sont pas, au 1^er octobre 2026, une liste française publiée au Journal officiel au titre de NIS 2. Une entreprise qui calcule seule qu’elle « serait » essentielle anticipe un classement. Elle ne constate pas une désignation.

L’article 20 de la directive demande aux États de veiller à ce que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques, en supervisent la mise en œuvre, et puissent être tenus responsables de la violation de l’article 21 par ces entités. Le même article prévoit une obligation de formation des membres de ces organes. Cette responsabilité des organes de direction est un résultat que la France doit atteindre par la transposition. Elle n’est pas, aujourd’hui, un article autonome du code de commerce. Un administrateur ne peut donc pas être poursuivi sur le fondement de l’article 20 de la directive comme s’il s’agissait d’un texte pénal français. Il peut, en revanche, engager sa responsabilité de gestion si une faute est établie au regard des lois déjà applicables. La différence est celle qui sépare une obligation de l’État et une faute personnelle prouvée.

L’article 21 décrit les mesures que les États doivent imposer : politiques d’analyse des risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, sécurité de l’acquisition et de la maintenance, évaluation de l’efficacité des mesures, cyberhygiène et formation, cryptographie et chiffrement le cas échéant, sécurité des ressources humaines, contrôle d’accès, gestion des actifs, et, selon les besoins, authentification à plusieurs facteurs. L’article 23 organise la notification d’un incident important : une alerte précoce dans les 24 heures après la connaissance de l’incident, une notification dans les 72 heures, puis un rapport final au plus tard un mois après cette notification. Ces délais sont ceux que la directive assigne aux États membres pour leur droit national futur. Les citer dans un contrat comme des délais déjà sanctionnés par l’autorité française de cybersécurité, pour une société qui n’est pas déjà soumise à un régime spécial, serait inexact.

Le texte adopté par le Sénat le 12 mars 2025 reprend, dans son architecture, cette logique d’entités essentielles et importantes, de mesures proportionnées et de notification. Son article 17, qui n’est pas la loi, prévoit une notification « sans retard injustifié » à l’autorité nationale de sécurité des systèmes d’information, une alerte initiale au plus tard dans les vingt-quatre heures, et une notification intermédiaire au plus tard dans les soixante-douze heures. Le texte adopté par le Sénat le 12 mars 2025 contient un article 16 bis, qui interdit d’imposer aux fournisseurs de services de chiffrement, y compris les prestataires de services de confiance qualifiés, des dispositifs techniques visant à affaiblir volontairement la sécurité, telles des clés de déchiffrement maîtresses ou un accès non consenti aux données protégées. Cette disposition figure dans le texte adopté par le Sénat. Elle ne figure pas au Journal officiel comme loi. Le texte que l’Assemblée doit discuter le 7 octobre est celui de sa commission, déposé le 10 septembre 2025. Il peut avoir conservé, réécrit ou déplacé cette disposition. L’enquête de franceinfo indique qu’un compromis pourrait conduire à amender ou retirer cet article. Cette indication est journalistique. Le seul fait parlementaire certain, à la date de rédaction, est que la séance est inscrite et que la loi n’est pas votée.

Pour une entreprise, la lecture utile de ce bloc est donc négative autant que positive. Négative : ne pas appliquer dès maintenant les délais de 24 et 72 heures de la directive ou du projet comme s’ils étaient le régime général français. Positive : ne pas attendre le vote pour savoir si l’on est déjà opérateur désigné, si l’on participe aux systèmes d’un tel opérateur, ou si l’on traite des données personnelles. C’est le second mouvement qui répond à la suggestion « NIS 2 entreprises concernées », une fois la date de la directive replacée à sa vraie place : une date pour l’État, pas une bascule automatique pour chaque société.

II. NIS 2 entreprises concernées : quelles obligations le droit français impose déjà

A. Opérateurs déjà désignés : coopération, règles de sécurité, notification sans délai et amende

Le droit français de la sécurité des systèmes d’information ne commence pas avec NIS 2. Au 1^er octobre 2026, l’article L. 1332-1 du code de la défense demeure applicable. Légifrance indique une abrogation différée au 16 août 2027. Jusqu’à cette date, le texte est en vigueur. Il dispose : « Les opérateurs publics ou privés exploitant des établissements ou utilisant des installations et ouvrages, dont l’indisponibilité risquerait de diminuer d’une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la nation, sont tenus de coopérer à leurs frais dans les conditions définies au présent chapitre, à la protection desdits établissements, installations et ouvrages contre toute menace, notamment à caractère terroriste. Ces établissements, installations ou ouvrages sont désignés par l’autorité administrative. » La dernière phrase est décisive. Le régime ne vise pas toute entreprise qui se juge importante. Il vise des établissements, installations ou ouvrages désignés.

L’article L. 1332-2 permet d’étendre certaines obligations à des établissements mentionnés par le code de l’environnement, ou comprenant une installation nucléaire de base, lorsque la destruction ou l’avarie de certaines installations peut présenter un danger grave pour la population. Là encore, la désignation appartient à l’autorité administrative. Une société qui n’a reçu aucune désignation, et dont aucun établissement n’est désigné, n’entre pas dans ce chapitre par la seule lecture de son chiffre d’affaires. Elle peut néanmoins y entrer par un autre bout : la participation aux systèmes d’un opérateur déjà désigné.

L’article L. 1332-6-1 donne au Premier ministre le pouvoir de fixer les règles de sécurité nécessaires à la protection des systèmes d’information des opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2, « et des opérateurs publics ou privés qui participent à ces systèmes » lorsque l’atteinte à la sécurité ou au fonctionnement risquerait de diminuer d’une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation, ou pourrait présenter un danger grave pour la population. Le texte ajoute : « Ces opérateurs sont tenus d’appliquer ces règles à leurs frais. » Il prévoit que ces règles peuvent prescrire des systèmes qualifiés de détection des événements susceptibles d’affecter la sécurité des systèmes d’information, exploités sur le territoire national par des prestataires qualifiés, par l’autorité nationale de sécurité des systèmes d’information, ou par d’autres services de l’État désignés par le Premier ministre. Le nom que les internautes recherchent, l’agence nationale de la sécurité des systèmes d’information, correspond dans le code à cette autorité nationale. Le code ne crée pas, par cet article, une obligation générale d’authentification à plusieurs facteurs pour toutes les sociétés françaises. Il crée une obligation d’appliquer les règles fixées, pour les opérateurs qu’il désigne et pour ceux qui participent à leurs systèmes dans les conditions du texte.

La notification actuelle n’est pas le délai de 24 heures de la directive. L’article L. 1332-6-2 est plus bref et, pour son champ, déjà obligatoire : « Les opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 informent sans délai le Premier ministre des incidents affectant le fonctionnement ou la sécurité des systèmes d’information mentionnés au premier alinéa de l’article L. 1332-6-1 . » Cette formule n’est pas vague que l’on peut renvoyer à la fin du trimestre. C’est une obligation d’information immédiate, dont le manquement est traité plus sévèrement que les autres manquements du même bloc, comme on le verra avec l’amende. Un opérateur désigné qui attend la séance du 7 octobre pour signaler un incident déjà connu prend un risque sur le droit en vigueur, non sur le projet.

L’article L. 1332-6-3 organise les contrôles. À la demande du Premier ministre, les opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 soumettent leurs systèmes d’information à des contrôles destinés à vérifier le niveau de sécurité et le respect des règles prévues à l’article L. 1332-6-1. Ces contrôles sont effectués par l’autorité nationale, par des services de l’État désignés, ou par des prestataires qualifiés. « Le coût des contrôles est à la charge de l’opérateur. » L’article L. 1332-6-4 permet au Premier ministre, pour répondre aux crises majeures menaçant ou affectant la sécurité des systèmes d’information, de décider des mesures que ces opérateurs doivent mettre en œuvre. L’article L. 1332-6-5 ajoute que l’État préserve la confidentialité des informations qu’il recueille auprès de ces opérateurs dans le cadre de la section. Cette confidentialité n’est pas une dispense de notifier. Elle est une garantie donnée à l’opérateur qui notifie, non un motif pour se taire.

La sanction pénale de ce bloc est à l’article L. 1332-7, lui aussi applicable au 1^er octobre 2026, avec la même abrogation différée au 16 août 2027. Le texte punit d’une amende de 150 000 euros le fait, pour les dirigeants des opérateurs mentionnés à l’article L. 1332-4 et à l’expiration du délai de mise en demeure, d’omettre d’établir un plan de protection ou de réaliser les travaux prévus. Il punit de la même amende le fait, pour les mêmes personnes, de ne pas satisfaire aux obligations prévues aux articles L. 1332-6-1 à L. 1332-6-4. La phrase qui suit est essentielle : « Hormis le cas d’un manquement à l’article L. 1332-6-2, cette sanction est précédée d’une mise en demeure. » Le défaut d’information sans délai du Premier ministre peut donc être poursuivi sans la mise en demeure préalable exigée pour les autres manquements visés. Les personnes morales déclarées responsables dans les conditions de l’article 121-2 du code pénal encourent l’amende selon les modalités de l’article 131-38. L’article L. 1332-4, sur lequel le texte renvoie pour désigner les personnes visées par la mise en demeure initiale, concerne le refus de préparer le plan particulier de protection : l’autorité administrative met alors en demeure les chefs d’établissements ou d’entreprises assujettis. On ne peut pas étendre cette amende, par analogie, à tout dirigeant de toute société du seul fait qu’un incident informatique a eu lieu. Le champ est celui des opérateurs et des chefs d’établissements assujettis, dans les conditions écrites.

Que faire, concrètement, si l’on dirige une société et que l’on se demande si l’on est « concerné » au sens de la suggestion Google ? D’abord chercher la désignation, non le slogan. Un arrêté, un courrier de l’autorité administrative, une clause de contrat qui rappelle une désignation déjà notifiée, un plan particulier de protection déjà exigé : ce sont des pièces. L’absence de ces pièces ne prouve pas à elle seule que l’on est hors champ, surtout si l’on exploite un établissement dont l’indisponibilité serait nationale, ou si l’on participe aux systèmes d’un opérateur désigné. Ensuite, si l’on est dans le champ, documenter l’application des règles fixées par le Premier ministre, le recours éventuel à des systèmes de détection qualifiés, et la chaîne qui permet d’informer sans délai. Enfin, ne pas confondre cette information au Premier ministre avec les autres notifications, pénale, contractuelle ou relative aux données personnelles. Ce sont des canaux distincts. En informer un ne dispense pas d’informer l’autre lorsque la loi l’exige.

Le fournisseur qui participe à ces systèmes a un intérêt propre à relire ses contrats. L’article L. 1332-6-1 ne se limite pas à l’opérateur désigné. Il vise aussi des opérateurs publics ou privés qui participent aux systèmes pour lesquels l’atteinte présenterait le risque décrit. Un infogéreur, un éditeur dont le logiciel est intégré au système d’importance vitale, un mainteneur qui dispose d’accès d’administration, peut déjà être tenu d’appliquer des règles de sécurité à ses frais, si les conditions du texte sont remplies. Ce n’est pas une conséquence du débat du 7 octobre. C’est une lecture de l’article en vigueur. Le contrat peut répartir le coût. Il ne peut pas écarter l’obligation légale lorsque celle-ci s’applique. Un client qui découvre, après un incident, que son prestataire n’avait pas appliqué une règle prescrite à l’opérateur dont il partage le système, n’a pas à attendre la transposition de NIS 2 pour poser la question de la faute.

B. Données personnelles, dirigeants et réparation : ce qu’un incident peut déjà coûter sans NIS 2

Hors opérateurs désignés, la plupart des sociétés qui lisent l’actualité du 1^er octobre traitent malgré tout des données à caractère personnel : clients, salariés, prospects, fournisseurs personnes physiques. Le code pénal ne subordonne pas sa répression à la transposition de NIS 2. L’article 226-17 dispose : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. ». Le renvoi est précis. Il ne punit pas l’incident en tant que tel. Il punit le fait de traiter sans mettre en œuvre les mesures que ces textes prescrivent. Une société qui n’a ni analyse des mesures appropriées, ni capacité à démontrer ce qu’elle a mis en place, se place dans la zone que cet article décrit, que le projet de loi résilience soit voté ou non.

L’accès frauduleux au système est une infraction distincte, qui vise l’auteur de l’intrusion et non, par principe, la victime. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données. Lorsque l’accès a entraîné la suppression ou la modification de données, ou une altération du fonctionnement du système, la peine est de cinq ans et 150 000 euros. Lorsque les faits visent un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à sept ans et 300 000 euros. L’article 323-3 punit de cinq ans et 150 000 euros le fait d’introduire frauduleusement des données, ou d’extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement les données contenues dans le système, avec la même aggravation lorsque le système est un traitement de données personnelles mis en œuvre par l’État. Ces textes intéressent l’entreprise à deux titres. Comme victime, elle peut déposer plainte : l’infraction ne dépend pas de NIS 2. Comme responsable d’un système, elle ne devient pas auteur de l’article 323-1 du seul fait d’avoir été attaquée. Confondre la victime et l’auteur est une erreur que la médiatisation d’un vol de données favorise. Le point déjà publié sur le vol de données fiscales et les peines encourues par les auteurs traite le versant de la personne concernée et de la répression de l’intrusion. Il ne dit pas quelles obligations pèsent, aujourd’hui, sur une société qui n’est pas l’administration fiscale.

La réparation civile suit une autre voie. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » La faute, le dommage et le lien de causalité restent à prouver. Un incident n’est pas, à lui seul, la preuve d’une faute de l’entreprise attaquée. Un client, un salarié ou un fournisseur qui agit sur ce fondement doit établir ce que la société aurait dû faire, ce qu’elle n’a pas fait, et le préjudice qui en est résulté. Le projet de loi du 7 octobre ne modifie pas cette équation tant qu’il n’est pas la loi.

Deux décisions récentes, lues intégralement, montrent comment les juges séparent déjà ces questions, sans appliquer NIS 2. La cour d’appel de Poitiers, chambre sociale, dans un arrêt du 26 juin 2025, numéro 22/01398, a statué sur la géolocalisation de téléphones professionnels dont une salariée soutenait que les données étaient accessibles sur internet. La cour a confirmé le rejet de la demande de dommages et intérêts fondée sur la violation du règlement général sur la protection des données. Elle écrit : « Pour obtenir réparation sur le fondement de ce texte, il appartient au requérant de rapporter la preuve des préjudices qu’il a subis en lien direct et certain avec les fautes retenues. » Elle ajoute : « une simple violation du RGPD est insuffisante à conférer un droit à réparation de la personne concernée », en visant l’arrêt de la Cour de justice du 25 janvier 2024, affaire C-687/21. Elle a en revanche condamné la société, sur un fondement distinct, l’obligation de sécurité de l’employeur, à 3 000 euros de dommages et intérêts. Le dispositif ne doit pas être lu à l’envers : le rejet de l’indemnisation RGPD ne signifie pas que le traitement était régulier. La cour relève que des données de géolocalisation étaient traitées et que l’employeur ne justifiait pas de la soumission de ce traitement au règlement. Elle refuse l’indemnisation de ce chef faute de préjudice distinct de celui déjà réparé au titre de l’obligation de sécurité. Pour une entreprise, la leçon n’est pas qu’un manquement au règlement est sans conséquence. Elle est qu’une personne concernée doit prouver un préjudice propre, et que d’autres fondements, ici l’obligation de sécurité due au salarié, peuvent aboutir à une condamnation séparée.

Le tribunal judiciaire de Nice, dans un jugement du 18 novembre 2025, numéro 22/03193, a condamné une société d’agence immobilière, désignée dans la décision publique sous une forme anonymisée, à payer 8 899,95 euros de dommages et intérêts à un locataire. Le tribunal retient que cette société « était tenue de mettre en oeuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté à son réseaux informatiques ». Il ajoute qu’en application de la jurisprudence européenne, « une présomption simple de manquement envers le responsable de traitement est posée », et que l’agence « échoue à rapporter la preuve que le fait qui a provoqué le dommage ne lui est nullement imputable ». Il s’agit d’un jugement de première instance, sur des faits d’espèce, non d’un arrêt de la Cour de cassation. Il ne crée pas une présomption générale que toute société victime d’un courriel frauduleux serait en faute. Il montre toutefois qu’un juge du fond peut condamner un professionnel qui ne répond pas sur les mesures de sécurité et ne date pas sa connaissance de l’incident. Une société qui, le 1^er octobre 2026, n’a aucun journal des accès, aucune trace de la date à laquelle elle a su qu’une boîte de messagerie avait été utilisée pour détourner un virement, et aucune description des mesures prises, se prive des éléments que ce tribunal a recherchés.

La responsabilité des dirigeants ne se déduit pas non plus du titre d’un journal. Pour les sociétés anonymes, l’article L. 225-251 du code de commerce dispose que les administrateurs et le directeur général sont responsables individuellement ou solidairement, envers la société ou envers les tiers, des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, des violations des statuts, ou des fautes commises dans leur gestion. Si plusieurs ont coopéré aux mêmes faits, le tribunal détermine la part de chacun. Pour les sociétés à responsabilité limitée, l’article L. 223-22 pose une règle parallèle pour les gérants, et organise l’action sociale des associés. Ces textes n’écrivent pas le mot cybersécurité. Ils permettent une action si une faute de gestion est prouvée, ou si une loi déjà applicable aux sociétés a été méconnue. Ne pas avoir anticipé un projet de loi non voté n’est pas, en soi, une telle faute. Ne pas avoir mis en œuvre les mesures qu’un texte déjà en vigueur prescrivait, laisser un incident connu sans information alors que l’article L. 1332-6-2 l’imposait, ou ne conserver aucune trace permettant de répondre à un client lésé, peut, selon les faits, être discuté comme une faute de gestion. Le juge décide. Une clause statutaire qui prétendrait éteindre d’avance l’action sociale contre les gérants est réputée non écrite par l’article L. 223-22. Ce point intéresse les associés qui découvrent, après un incident, que le gérant n’a rien documenté.

Le geste utile, avant et après le 7 octobre, est donc documentaire plus que déclaratif. Recenser les traitements de données personnelles et les systèmes qui les portent. Vérifier si un établissement a été désigné au titre du code de la défense, et si un contrat fait participer la société aux systèmes d’un opérateur désigné. Écrire qui alerte qui, et dans quel délai, si un incident affecte le fonctionnement ou la sécurité de ces systèmes. Conserver la date de connaissance d’un incident, les mesures prises, et ce qui a été dit aux personnes concernées lorsque le droit des données l’exige, sans inventer un délai de 24 heures qui n’est pas encore le droit commun français. Ne pas signer une attestation de conformité à une loi de transposition qui n’existe pas. Ne pas écrire, non plus, à ses clients que l’absence de vote dispense de toute sécurité. Les deux phrases sont fausses, et toutes deux peuvent se retourner contre leur auteur, l’une comme déclaration inexacte, l’autre comme aveu d’indifférence aux textes déjà en vigueur.

Les contrats signés priment sur le commentaire général dès lors qu’ils ne contredisent pas une loi impérative. Une clause qui impose contractuellement une authentification à plusieurs facteurs, une notification en 24 heures ou un audit annuel peut être valable comme obligation contractuelle, même si NIS 2 n’est pas transposée. Elle s’exécute alors comme un contrat, avec ses propres sanctions, non comme une amende de l’article L. 1332-7. Une clause qui prétendrait interdire à un opérateur désigné d’informer le Premier ministre serait inopposable à l’obligation légale. Lire le contrat à la lumière du champ réel, désignation ou simple prestation, évite de négocier le 7 octobre comme si le Journal officiel avait déjà parlé.

Conclusion

La montée des recherches sur l’agence nationale de la sécurité des systèmes d’information, le 1^er octobre 2026, s’explique par l’enquête sur le blocage de la transposition de la directive NIS 2 et par l’actualité du vol de données, non par une loi nouvelle entrée en vigueur ce matin-là. La directive devait être transposée au plus tard le 17 octobre 2024. La Commission a saisi la Cour de justice le 8 juillet 2026 parce que la France n’a pas notifié une transposition complète. Le Sénat a voté un projet le 12 mars 2025. L’Assemblée doit l’examiner en séance le 7 octobre 2026. Ce calendrier n’a pas encore produit une loi. Les entreprises concernées, au sens du droit applicable aujourd’hui, sont d’abord les opérateurs désignés et ceux qui participent à leurs systèmes, tenus d’appliquer les règles de sécurité, d’informer sans délai et, pour les dirigeants visés, exposés à l’amende de 150 000 euros dans les conditions de l’article L. 1332-7. Elles sont ensuite toutes celles qui traitent des données personnelles, déjà soumises aux mesures que vise l’article 226-17 du code pénal, à la réparation de l’article 1240 lorsqu’une faute et un préjudice sont prouvés, et à la responsabilité de gestion des articles L. 225-251 et L. 223-22 lorsque ses conditions sont réunies. Le débat du 7 octobre mérite d’être suivi. Il ne remplace pas les textes qui obligent déjà.