NIS2 à l'Assemblée : ce qui attend les ESN et leurs clients

« NIS2 ne concerne que les grands groupes. » Nous avons confronté cette idée reçue, fréquente chez les dirigeants d'ESN, à la directive et au projet de loi français. Verdict : elle est fausse. Selon l'étude d'impact du projet de loi, le nombre d'entités régulées en France passerait d'environ 500 à 15 000, dans 18 secteurs, dont les services informatiques gérés. Et une ESN hors champ sera tout de même questionnée par ses clients, tenus de sécuriser leur chaîne de sous-traitance. Le projet de loi Résilience, qui transpose NIS2, arrive en séance publique à l'Assemblée nationale le 7 octobre 2026. À la date de rédaction (23 septembre 2026), il n'est pas voté : nous mettrons cet article à jour après le vote.

NIS2 arrive à l'Assemblée : où en est la France ?

La directive NIS2 (directive (UE) 2022/2555) devait être transposée au plus tard le 17 octobre 2024 (article 41). En France, elle passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose aussi deux autres textes européens. Son parcours, d'après le dossier législatif de l'Assemblée nationale :

• 15 octobre 2024 : dépôt au Sénat, en procédure accélérée ;
• 12 mars 2025 : adoption par le Sénat ;
• 10 septembre 2025 : texte adopté par la commission spéciale de l'Assemblée ;
• 7 octobre 2026 : début de l'examen en séance publique, poursuivi le 9 octobre selon l'ordre du jour fixé le 22 septembre.

Bruxelles s'impatiente : après une mise en demeure (28 novembre 2024) et un avis motivé (7 mai 2025), la Commission européenne a saisi le 8 juillet 2026 la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières.

Après le vote, les modalités seront fixées par décret. L'ANSSI a déjà publié, le 17 mars 2026, une version de travail de son Référentiel Cyber France (ReCyF).

Qui est concerné ? Le cas des ESN et des services gérés

NIS2 distingue les entités essentielles et importantes. Dans le texte de la commission spéciale :

• Entités essentielles : entreprises d'un secteur « hautement critique » d'au moins 250 salariés, ou dont le chiffre d'affaires dépasse 50 M€ et le bilan 43 M€ ;
• Entités importantes : entreprises d'un secteur hautement critique ou critique d'au moins 50 salariés, ou dont le chiffre d'affaires et le bilan dépassent chacun 10 M€.

Quelques acteurs sont visés quelle que soit leur taille, et le Premier ministre peut désigner une entité critique.

Pour les ESN, tout se joue à l'annexe I de la directive : la « gestion des services TIC (interentreprises) » y figure parmi les secteurs hautement critiques. Elle couvre les fournisseurs de services gérés (installation, gestion, exploitation ou entretien de systèmes TIC, par une administration active, chez le client ou à distance) et les fournisseurs de services de sécurité gérés. Infogérance, supervision, maintenance, TMA avec accès d'administration : une ESN qui exerce ces métiers devient en principe entité importante dès 50 salariés, essentielle dès 250. La pure régie appelle une analyse au cas par cas. À surveiller : la commission spéciale a ajouté les « éditeurs de logiciels » aux entités essentielles, au-delà de la directive.

Et en Suisse ? NIS2 ne s'y applique pas. Mais depuis le 1er avril 2025, la loi sur la sécurité de l'information oblige les infrastructures critiques, dont les fournisseurs de cloud et de centres de calcul ayant leur siège en Suisse, à signaler toute cyberattaque à l'Office fédéral de la cybersécurité dans les 24 heures, sous peine d'amende depuis le 1er octobre 2025.

Cet article informe ; il ne constitue pas un conseil juridique.

Ce que NIS2 exige concrètement

Les MSP et MSSP concernés devront aussi appliquer le règlement d'exécution (UE) 2024/2690, et chaque entité se déclarer auprès de l'ANSSI. Aucun délai de mise en conformité n'est fixé : selon la presse spécialisée, l'ANSSI a évoqué une tolérance d'environ trois ans, la notification des incidents pouvant s'appliquer plus tôt.

Même non concernée, votre ESN sera interrogée par ses clients

L'article 21 oblige les entités régulées à tenir compte des vulnérabilités et des pratiques de cybersécurité de chacun de leurs fournisseurs directs. Le projet de loi exige de protéger les systèmes « y compris en cas de recours à la sous-traitance ». La cybersécurité des sous-traitants devient un sujet contractuel, quelle que soit leur taille. Les questions typiques d'un client régulé :

1. Qui accède à nos systèmes, avec quels droits, et comment ces accès sont-ils retirés au départ d'un collaborateur ?
2. La double authentification est-elle imposée sur vos comptes à privilèges et vos outils de télémaintenance ?
3. En combien de temps nous prévenez-vous d'un incident ? (Nous n'avons que 24 heures pour alerter l'ANSSI.)
4. Où sont hébergées nos données, y compris dans vos outils (ERP, ticketing), et par quels sous-traitants ?
5. Quand avez-vous testé une restauration de sauvegarde pour la dernière fois ?
6. Vos équipes et votre direction sont-elles formées ?
7. Pouvez-vous fournir des preuves : politique de sécurité, attestations, référentiel suivi ?

L'ESN qui répond preuves à l'appui gagne un argument commercial ; celle qui improvise risque d'être écartée.

Et votre ERP ? Ce qu'Odoo apporte, et ce qu'il n'apporte pas

Aucun logiciel n'est « conforme NIS2 » en soi : la conformité porte sur votre organisation. Un ERP peut outiller la démarche. La documentation d'Odoo 19 décrit :

• Authentification : double authentification (TOTP), que l'administrateur peut imposer à tous ; clés d'accès (passkeys).
• Droits d'accès par application et par groupe. Depuis la SaaS 19.4 (Odoo Online), et pour toutes les bases avec Odoo 20, les règles d'enregistrement sont remplacées par un domaine défini sur le droit d'accès : à revoir lors d'une migration.
• Mots de passe et sessions : longueur minimale configurable, appareils connectés avec leur adresse IP, révocation des sessions.
• Traçabilité : le chatter conserve l'historique des champs suivis (ancienne valeur, nouvelle, date).
• Incidents : l'app Assistance (Helpdesk) horodate les tickets et suit vos SLA.
• Preuves : l'app Documents centralise politiques et attestations, avec des droits de partage.

Pour Odoo Online, Odoo annonce un chiffrement AES-256 au repos, HTTPS en transit et des sauvegardes répliquées dans trois centres de données au moins ; en Europe, la production est hébergée en France et en Belgique. Odoo déclare participer au programme CSA STAR ; sa page ne mentionne pas de certification ISO 27001.

Pensez aussi à l'IA. Sur Odoo Online, les fonctions IA d'Odoo 20 passent par des modèles de Google ou d'OpenAI choisis par Odoo, sans possibilité d'utiliser votre propre fournisseur ; Odoo dit disposer de contrats entreprise qui excluent l'entraînement sur vos données. Et le serveur MCP, disponible depuis la SaaS 19.4, ouvre un accès à la base par clé d'API : à inclure dans votre cartographie des accès.

Ce qu'Odoo n'apporte pas : l'analyse de risques, la gouvernance, la formation, la déclaration à l'ANSSI, ni, selon sa documentation, un journal d'audit exhaustif. La configuration reste votre responsabilité. Reprenez aussi les 7 critères pour choisir un ERP d'ESN, et découvrez notre approche d'Odoo pour les ESN.

Questions fréquentes

Mon ESN de 30 salariés est-elle concernée ?

En principe, pas directement, tant que votre chiffre d'affaires et votre bilan ne dépassent pas tous deux 10 M€. Réserves : l'appartenance à un groupe peut compter, et le sort des éditeurs de logiciels n'est pas tranché. Surtout, vos clients régulés vous appliqueront leurs exigences. Testez votre situation avec le simulateur NIS 2 de l'ANSSI.

Quelles sanctions sont prévues ?

Le texte de la commission spéciale prévoit jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les importantes, le montant le plus élevé étant retenu, conformément à l'article 34 de la directive. S'y ajoutent avertissements, injonctions et astreintes.

Par où commencer dès maintenant ?

1. Qualifiez votre activité, effectif et bilan compris.
2. Listez vos clients régulés et relisez vos contrats.
3. Cartographiez vos accès aux systèmes clients et imposez la double authentification.
4. Rédigez une procédure d'incident compatible avec l'horloge des 24 heures.
5. Formez la direction, puis les équipes exposées.
6. Constituez un dossier de preuves en vous appuyant sur le ReCyF, disponible sur le site de l'ANSSI.

Conclusion

NIS2 ne concerne pas que les grands groupes : environ 15 000 entités, 18 secteurs, et une exigence sur la chaîne d'approvisionnement qui atteint toutes les ESN. Le calendrier dépend du vote, puis des décrets : nous mettrons cet article à jour après le vote. Préparer vos preuves dès maintenant reste le meilleur investissement.