Tout commence par un test de positionnement. Avant le moindre plan, le dirigeant doit savoir si son entreprise est essentielle, importante ou hors champ — l’outil MonEspaceNIS2 de l’ANSSI, ouvert au pré-enregistrement depuis novembre 2025, sert à ce pré-diagnostic. La réponse conditionne le reste : régime de contrôle, plafond de sanction, profondeur des mesures. Elle donne une orientation, pas une certitude juridique tant que la liste officielle des entités n’est pas arrêtée.
Vient ensuite l’inscription du sujet à l’agenda du Comex, puis la désignation d’un référent : pas forcément le RSSI, souvent un binôme métier et technique. Le dernier chantier est un plan de remédiation sur douze mois, calé sur le ReCyF, qui confronte l’existant aux mesures attendues et hiérarchise les écarts. Un cycle de ce type prend quatre à huit mois pour une organisation de maturité moyenne. Démarrer tôt évite aussi la file d’attente chez les cabinets d’audit qualifiés, déjà sous tension depuis le premier semestre 2026.
La menace, elle, n’attend pas le vote. L’ANSSI rappelle dans son Panorama de la cybermenace 2025 que 48 % des victimes de rançongiciel en France sont des PME, TPE et ETI. C’est aussi la responsabilité du dirigeant que de ne pas s’en remettre au calendrier parlementaire pour protéger son entreprise.
La vraie question n’est pas quand la date de promulgation l’applique, mais ce que le Comex aura fait du délai. Les premiers contrôles de l’ANSSI sont attendus en 2027, les sanctions effectives après. Entre les deux s’ouvre une fenêtre où la conformité se construit sans pression de calendrier — rare, pour un sujet réglementaire.
