NIS2 non transposée : vos clients peuvent-ils déjà imposer ses exigences à l'infogéreur ?

Proposer, oui ; imposer, non. Au 14 octobre 2026, la directive (UE) 2022/2555, dite NIS2, n'est toujours pas transposée en France : le projet de loi a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026, et aucun texte français ne vous impose donc encore ses obligations. Un client peut en revanche proposer dès aujourd'hui, dans votre contrat d'infogérance, des exigences calquées sur la directive (délai d'alerte, audits, authentification multifacteur), que vous restez libre de négocier ou de refuser. Mais tout ce que vous signez vous engage : « les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits » (article 1103 du code civil).

La directive (UE) 2022/2555 du 14 décembre 2022 imposait aux États membres d'adopter et de publier leurs dispositions de transposition au plus tard le 17 octobre 2024 (article 41). Ses destinataires sont les États membres (article 46) : les obligations des entreprises naissent de la loi nationale qui la transpose.

En France, ce rôle revient au projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat. Sous la rubrique « Modifications de l'ordre du jour des semaines du 5 octobre et du 26 octobre 2026 », le relevé de la conférence des présidents du 6 octobre indique, pour les séances des 7 et 9 octobre :

« retrait du projet de loi, adopté par le Sénat, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité »
Assemblée nationale, relevé de conclusions de la Conférence des présidents du mardi 6 octobre 2026

Ce retrait de l'ordre du jour ne vaut pas abandon du texte, mais aucune nouvelle date n'est annoncée : au 14 octobre 2026, le dossier législatif ne mentionne aucune séance publique à l'Assemblée. Les étapes figurent dans le calendrier ci-dessous.

La directive range les fournisseurs de services gérés dans son annexe I (secteur 9, « Gestion des services TIC (interentreprises) »). Son article 6, point 39, vise les services liés à « l'installation, à la gestion, à l'exploitation ou à l'entretien » de produits, réseaux, infrastructures ou applications TIC, « soit dans les locaux des clients, soit à distance » : c'est la définition même de l'infogérance. Sauf cas particuliers prévus à l'article 2, elle ne vise toutefois directement que les entités au moins de taille moyenne au sens de la recommandation 2003/361/CE.

Même hors de ce champ, vous pouvez être concerné par ricochet. L'article 21, paragraphe 2, prévoit que les mesures que les États membres doivent faire prendre aux entités essentielles et importantes comprennent au moins :

« la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs »
Directive (UE) 2022/2555, article 21, paragraphe 2, point d)

Le considérant 85 encourage d'ailleurs les entités à intégrer ces mesures « dans les accords contractuels » conclus avec leurs fournisseurs et prestataires. L'infogéreur, qui détient les accès d'administration, est en première ligne : un client qui anticipe la future loi, ou qui relève déjà d'une loi de transposition d'un autre État membre, n'a aucune raison d'attendre.

Les annexes sécurité peuvent reprendre l'article 21 et les délais de l'article 23. Quatre situations de terrain, présentées comme des exemples :

• Le délai d'alerte. Une fois la loi de transposition en vigueur, l'entité concernée devra adresser au CSIRT ou à l'autorité compétente une alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important, une notification dans les 72 heures, puis un rapport final au plus tard un mois après cette notification (article 23, paragraphe 4). Pour les tenir, le client voudra être prévenu bien avant. Si votre astreinte ne couvre que les jours ouvrés, une alerte de l'outil de détection (EDR) remontée un samedi à 2 heures et lue seulement le lundi à 8 heures arrive 54 heures plus tard : la clause est violée avant toute analyse.
• Les audits. Un audit annuel sur site, à vos frais, de deux jours d'ingénieur par client : avec dix clients, vingt jours par an absents de vos prix.
• Les mesures listées. L'article 21 cite les sauvegardes (point c), le traitement des vulnérabilités (point e) et l'authentification multifacteur (point j). Écrites comme des résultats (« 100 % des comptes d'administration sous MFA »), elles ne laissent aucune marge.
• Vos propres fournisseurs. Supervision à distance, hébergeur, sauvegarde : faute de leur répercuter les mêmes exigences, vous répondez seul de leur défaillance face au client.

Méfiez-vous enfin de la clause générale « Le prestataire se conforme à la directive NIS2 et à ses textes de transposition » : au 14 octobre 2026, ces textes n'existent pas en France. Vous vous engagez sur un contenu inconnu.

Une exigence que la loi ne vous impose pas encore mais que le contrat contient reste une obligation : inexécutée, elle peut ouvrir au client des dommages et intérêts, des pénalités ou une résiliation, selon les termes signés. Après un rançongiciel passé par vos accès, l'annexe sécurité pourra servir de grille de lecture : MFA réellement activée, restauration réellement testée, alerte envoyée dans le délai.

Deux contrats d'assurance sont en jeu :

• La responsabilité civile professionnelle vise, dans les limites de ses conditions, les conséquences pécuniaires de votre responsabilité envers vos clients. Elle peut limiter ou exclure ce qui dépasse la responsabilité de droit commun, comme les pénalités ou certains engagements de résultat.
• L'assurance cyber vise d'abord vos propres pertes et la gestion de l'incident et, selon les formules, certaines réclamations de tiers ; son articulation avec la RC professionnelle se vérifie contrat par contrat.

Tout dépend des conditions, exclusions et plafonds de vos contrats et de l'activité déclarée : un plafond de garantie inférieur au plafond de responsabilité accepté dans l'annexe peut laisser la différence à votre charge.

1. Recensez les contrats, annexes sécurité et questionnaires qui citent NIS2.
2. Demandez à chaque client son statut attendu (entité essentielle, importante ou hors champ) : il justifie le niveau d'exigence.
3. Remplacez toute référence générale à « NIS2 » par une liste fermée de mesures ; toute évolution liée à la future loi passera par avenant, prix compris.
4. Calez le délai d'alerte sur votre astreinte réelle : point de départ (détection confirmée plutôt que soupçon), canal, contenu minimal.
5. Encadrez audits et responsabilité : fréquence, préavis, périmètre, coûts ; vérifiez qu'une clause « l'annexe prévaut » n'efface pas la limitation de responsabilité du contrat principal.
6. Répercutez par écrit les exigences acceptées sur vos fournisseurs et documentez vos mesures (MFA, tests de restauration, correctifs) : en cas de litige, vous devrez prouver ce que vous avez fait.
7. Transmettez l'annexe à votre courtier avant signature pour la confronter à vos garanties de RC professionnelle et cyber.

Pour les autres risques du métier, voir la page infogérance.