Transposition de la directive SRI 2 dans les États de l’UE
Pour chaque État membre : l’acte national qui transpose la directive SRI 2, sa date d’entrée en vigueur et le lien vers la source officielle. Lorsque la transposition n’est pas achevée, la dernière étape connue du projet.
Autorité compétente et point de contact unique : Office fédéral de la sécurité des technologies de l'information (BSI). CSIRT : CERT-Bund du BSI.
6 décembre 2025
13 mois de retard
8 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
2 décembre 2025 · Adoption de la loi nationale National (passée)
6 décembre 2025 · Entrée en vigueur de la loi nationale National (passée)
6 mars 2026 · Date limite d’enregistrement des entités National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Refonte complète de la loi sur le BSI (BSIG). La Commission avait ouvert une procédure d'infraction pour le retard.
Autorité compétente et point de contact unique : Office fédéral de la cybersécurité (Bundesamt für Cybersicherheit), rattaché au ministère de l'Intérieur. CSIRT : GovCERT Austria pour l'administration publique, qui assure aussi les missions du CSIRT national tant que l'Office n'en a pas habilité un ; CERT.at et Austrian HealthCERT sont aussi membres du réseau européen des CSIRT.
1 octobre 2026
23 mois de retard
8 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
12 décembre 2025 · Adoption de la loi nationale National (passée)
1 octobre 2026 · Entrée en vigueur de la loi nationale National (passée)
4 janvier 2027 · Date limite de l'enregistrement initial des entités essentielles et importantes National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Publiée le 23 décembre 2025, elle s'applique depuis le 1er octobre 2026 ; le NISG 2018 restait en vigueur jusque-là. Les mesures de gestion des risques et les critères des incidents importants sont précisés par l'ordonnance NISV 2026 (BGBl. II Nr. 290/2026) de l'Office fédéral de la cybersécurité. L'enregistrement initial doit intervenir dans les trois mois suivant l'entrée en vigueur ; le délai tomberait le 1er janvier 2027, jour férié, et est donc reporté au 4 janvier 2027.
Autorité nationale, point de contact unique et CSIRT : Centre pour la Cybersécurité Belgique (CCB) ; les autorités sectorielles participent aux inspections dans leurs secteurs.
18 octobre 2024
dans les délais
9 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
26 avril 2024 · Adoption de la loi nationale National (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
18 octobre 2024 · Entrée en vigueur de la loi nationale National (passée)
18 mars 2025 · Date limite d’enregistrement des entités National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
18 avril 2027 · Première évaluation de conformité des entités essentielles National (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Transposée dans les délais. L'arrêté royal du 9 juin 2024 en règle l'exécution ; l'autorité est le Centre pour la Cybersécurité Belgique (CCB).
Autorités compétentes : désignées secteur par secteur par le Conseil des ministres ; pour les organes administratifs, le ministère de l'Innovation et de la Transformation numérique, qui accueille aussi le point de contact unique. CSIRT : l'équipe nationale CERT Bulgaria, avec des CSIRT sectoriels auprès des autorités compétentes.
17 février 2026
15 mois de retard
7 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
5 février 2026 · Adoption de la loi nationale National (passée)
17 février 2026 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Transposée en modifiant la loi de 2018 sur la cybersécurité. Le lien renvoie au texte consolidé publié par la Commission de régulation des communications (CRC).
Autorité compétente et point de contact unique : Autorité de la sécurité numérique (DSA). CSIRT : CSIRT-CY, le CSIRT national rattaché à l'Autorité.
25 avril 2025
6 mois de retard
7 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
25 avril 2025 · Publication de la loi nationale National (passée)
25 avril 2025 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Modifie la loi 89(I)/2020 sur la sécurité des réseaux et des systèmes d'information. Publiée au Journal officiel n° 5036 du 25 avril 2025.
Autorité centrale et point de contact unique : Agence de sécurité et de renseignement (SOA), par son Centre national de cybersécurité. Autres autorités compétentes : Bureau du Conseil de sécurité nationale, régulateur des industries de réseau (HAKOM), organe chargé de la société numérique et ministère de la Science et de l'Éducation. CSIRT : celui de la SOA (NCSC-HR) ou celui de CARNET (CERT.hr), selon le secteur.
15 février 2024
dans les délais
8 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
26 janvier 2024 · Adoption de la loi nationale National (passée)
15 février 2024 · Entrée en vigueur de la loi nationale National (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
15 février 2025 · Date limite de la première catégorisation des entités par les autorités et de la création du registre des entités National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Parmi les premiers États à transposer la directive. Elle a remplacé la loi de 2018 sur les opérateurs de services essentiels (NN 64/18).
Autorités compétentes : sectorielles, dont l'Agence de la sécurité de la société (Styrelsen for Samfundssikkerhed), l'Agence du numérique, l'Agence de l'énergie, l'Autorité des données de santé, l'Autorité des transports et l'Autorité maritime. CSIRT : le Service de renseignement de la défense (FE), ancien Centre pour la cybersécurité (CFCS).
1 juillet 2025
8 mois de retard
8 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
6 mai 2025 · Adoption de la loi nationale National (passée)
1 juillet 2025 · Entrée en vigueur de la loi nationale National (passée)
1 octobre 2025 · Date limite d’enregistrement des entités National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Les télécommunications et l'énergie relèvent de lois sectorielles distinctes (Lov nr. 435/2025 et Lov nr. 258/2025).
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad Avant-projet de loi sur la coordination et la gouvernance de la cybersécurité Source officielle (s’ouvre dans un nouvel onglet)
Aujourd'hui, en vertu du Real Decreto-ley 12/2018 : autorités compétentes sectorielles et, comme point de contact unique, le Département de la sécurité nationale ; CSIRT de référence INCIBE-CERT, CCN-CERT et ESPDEF-CERT. L'avant-projet prévoit un Centre national de cybersécurité.
–
24 mois et toujours en retard
6 étapes, dont 4 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
14 janvier 2025 · Adoption de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Loi nationale de transposition pas encore en vigueur
Notes · L'avant-projet a été approuvé en première lecture par le Conseil des ministres le 14 janvier 2025, mais n'a jamais été transmis aux Cortes. Le 6 octobre 2026, les Cortes ont été dissoutes (décret royal 806/2026) et les élections fixées au 29 novembre 2026, si bien que le projet de loi ne pourra être déposé qu'au cours de la nouvelle législature ; d'ici là, le décret-loi royal 12/2018 reste en vigueur. Saisine de la Cour de justice le 8 juillet 2026. En attendant, reste en vigueur : Real Decreto-ley 12/2018.
Autorité compétente et point de contact unique : Autorité des systèmes d'information (RIA). CSIRT : CERT-EE, au sein de la RIA.
1 janvier 2026
14 mois de retard
9 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
10 décembre 2025 · Adoption de la loi nationale National (passée)
1 janvier 2026 · Entrée en vigueur de la loi nationale National (passée)
1 avril 2026 · Date limite pour les entités déjà concernées de transmettre leurs données à la RIA National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
1 janvier 2029 · Date limite pour les entités déjà concernées de se conformer à toutes les exigences de la loi National (à venir)
Notes · Transposée en modifiant la loi sur la cybersécurité (KüTS). Les entités déjà concernées devaient transmettre leurs données à la RIA dans les trois mois et doivent satisfaire à toutes les exigences dans les trois ans. Depuis le 1er septembre 2026 s'applique la nouvelle version de la norme estonienne de sécurité de l'information (E-ITS, règlement n° 30, RT I, 29.08.2026, 1). Une modification de la KüTS (RT I, 06.10.2026, 1), en vigueur depuis le 16 octobre 2026, introduit la notification volontaire des quasi-incidents et permet à la RIA d'ordonner des audits de sécurité des entités essentielles, périodiques (une fois tous les trois ans) ou ciblés.
Autorités : Agence des transports et des communications (Traficom), qui est aussi le point de contact unique, avec les autorités de surveillance sectorielles. CSIRT : Centre national de cybersécurité (NCSC-FI) de Traficom.
8 avril 2025
5 mois de retard
9 étapes, dont 7 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
7 avril 2025 · Adoption de la loi nationale National (passée)
8 avril 2025 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
8 mai 2025 · Date limite d’enregistrement des entités National (passée)
8 juillet 2025 · Date limite de mise en œuvre des mesures de sécurité National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · L'autorité centrale est Traficom, avec des autorités de surveillance sectorielles. La loi 785/2026 étend le champ d'application, à partir du 1er janvier 2027, aux titulaires d'une autorisation d'exploitation d'installation nucléaire, placés sous la surveillance de l'Autorité de radioprotection et de sûreté nucléaire (STUK).
Dans le projet de loi : autorité nationale et point de contact unique, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ; CSIRT national, le CERT-FR de l'ANSSI. En attendant la transposition, l'ANSSI reste l'autorité au titre de NIS 1.
–
24 mois et toujours en retard
5 étapes, dont 3 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Loi nationale de transposition pas encore en vigueur
Notes · Le projet transpose ensemble SRI 2, la directive REC et une partie de DORA. Adopté par le Sénat le 12 mars 2025 et par la commission spéciale de l'Assemblée nationale le 10 septembre 2025 ; le 6 octobre 2026, l'examen en séance prévu les 7 et 9 octobre a été retiré de l'ordre du jour. La Conférence des présidents du 27 octobre 2026 ne l'a pas réinscrit (ordre du jour fixé jusqu'à la semaine du 16 novembre). Saisine de la Cour de justice le 8 juillet 2026. En attendant, reste en vigueur : Loi n° 2018-133.
Autorité compétente, point de contact unique et CSIRT : Autorité nationale de cybersécurité, avec son EL-CSIRT. Le GR-CSIRT de la Défense et le NCERT-GR sont aussi membres du réseau européen des CSIRT.
27 novembre 2024
1 mois de retard
9 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
27 novembre 2024 · Publication de la loi nationale National (passée)
27 novembre 2024 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
30 septembre 2025 · Date limite prorogée pour l'enregistrement des entités sur la plateforme de l'Autorité nationale de cybersécurité National (passée)
27 novembre 2026 · La loi s'applique aux communes (collectivités locales du premier degré), après un report d'un an National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · En vigueur dès sa publication. Le lien renvoie au Journal officiel publié par l'Autorité nationale de cybersécurité ; le cadre des exigences est fixé par la décision 1689/2025. Le délai d'enregistrement a été prorogé au 30 septembre 2025 par la décision conjointe 1990/2025 (JO B' 4241) ; la décision conjointe 2267/2025 (JO B' 5472) a reporté au 27 novembre 2026 l'application de la loi aux communes.
Autorités : le Service spécial de sécurité nationale (NBSZ), avec son Institut national de cyberdéfense (NKI), comme autorité nationale ; l'Autorité de surveillance des activités réglementées (SZTFH) pour les entreprises visées par la loi ; le ministre de la Défense pour la défense. CSIRT : le centre national de traitement des incidents du NBSZ (NKI).
1 janvier 2025
2 mois de retard
9 étapes, dont 7 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
20 décembre 2024 · Publication de la loi nationale National (passée)
1 janvier 2025 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
31 août 2025 · Date limite pour les entités actives avant 2025 de conclure un contrat avec un auditeur enregistré National (passée)
30 juin 2026 · Date limite du premier audit de cybersécurité des entités actives avant 2025 National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Remplace la loi XXIII de 2023. Son champ d'application a été redéfini par des modifications ultérieures en 2026.
Aujourd'hui, en vertu des règles NIS 1 de 2018, des autorités compétentes sectorielles et le National Cyber Security Centre (NCSC) ; le schéma de loi donnerait au NCSC une base légale comme CSIRT national et point de contact unique. CSIRT : CSIRT-IE, au sein du NCSC.
–
24 mois et toujours en retard
5 étapes, dont 3 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Loi nationale de transposition pas encore en vigueur
Notes · Le schéma général a été publié le 30 août 2024 et la commission de la justice de l'Oireachtas en a achevé l'examen prélégislatif en février 2025. Selon la stratégie nationale de cybersécurité 2030 (octobre 2026), le ministère de la Justice rédige le texte avec l'Office of Parliamentary Counsel et l'Attorney General ; fin octobre 2026, le projet de loi n'a pas encore été déposé à l'Oireachtas. Saisine de la Cour de justice le 8 juillet 2026. En attendant, reste en vigueur : S.I. No. 360 of 2018.
Autorité nationale compétente et point de contact unique : Agence pour la cybersécurité nationale (ACN), avec les autorités sectorielles désignées par le décret. CSIRT : CSIRT Italia, au sein de l'ACN.
16 octobre 2024
dans les délais
10 étapes, dont 7 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
4 septembre 2024 · Adoption de la loi nationale National (passée)
16 octobre 2024 · Entrée en vigueur de la loi nationale National (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
28 février 2025 · Date limite d’enregistrement des entités National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
15 janvier 2026 · Notification des incidents pleinement applicable National (passée)
octobre 2026 · Date limite de mise en œuvre des mesures de sécurité National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Transposée dans les délais. L'autorité nationale compétente est l'Agence nationale pour la cybersécurité (ACN).
Autorité compétente et point de contact unique : Centre national de cybersécurité, au sein du ministère de la Défense. CSIRT : CERT.LV.
1 septembre 2024
dans les délais
9 étapes, dont 7 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
20 juin 2024 · Adoption de la loi nationale National (passée)
1 septembre 2024 · Entrée en vigueur de la loi nationale National (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
1 avril 2025 · Date limite d’enregistrement des entités National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
1 octobre 2025 · Date limite d’autoévaluation et de désignation du responsable National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Elle a remplacé la loi sur la sécurité des technologies de l'information et créé le Centre national de cybersécurité.
Autorité compétente, point de contact unique et CSIRT : Centre national de cybersécurité (NKSC), rattaché au ministère de la Défense nationale, qui gère CERT-LT.
18 octobre 2024
dans les délais
7 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
11 juillet 2024 · Adoption de la loi nationale National (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
18 octobre 2024 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Transposée dans les délais par une nouvelle version de la loi sur la cybersécurité ; le lien renvoie au texte consolidé, modifié en dernier lieu en 2026.
Autorité compétente et point de contact unique : Institut Luxembourgeois de Régulation (ILR) ; la CSSF pour le secteur bancaire et les infrastructures des marchés financiers. CSIRT : GOVCERT.LU pour le secteur public et CIRCL pour le secteur privé.
10 mai 2026
18 mois de retard
8 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
5 mai 2026 · Adoption de la loi nationale National (passée)
10 mai 2026 · Entrée en vigueur de la loi nationale National (passée)
10 juillet 2026 · Date limite d’enregistrement des entités National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · L'autorité est l'Institut Luxembourgeois de Régulation (ILR), la CSSF pour le secteur financier. La loi de transposition de la directive REC a été adoptée le même jour.
Autorités compétentes : Département de la protection des infrastructures critiques (CIP) et, pour les infrastructures numériques et les services postaux, la Malta Communications Authority (MCA). CSIRT : CSIRTMalta, au sein de l'agence MITA (désignation mise à jour par le L.N. 89 de 2026).
23 janvier 2026
15 mois de retard
7 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
8 avril 2025 · Publication de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
23 janvier 2026 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Publié le 8 avril 2025, il est entré en vigueur le 23 janvier 2026 par l'avis L.N. 22 de 2026 ; modifié par le L.N. 89 de 2026.
Autorités compétentes : autorités de surveillance sectorielles, dont l'Inspection des infrastructures numériques (RDI), l'Inspection de l'environnement et des transports (ILT), l'Inspection de la santé (IGJ) et la banque centrale (DNB). Point de contact unique : le ministre de la Justice et de la Sécurité. CSIRT : Centre national de cybersécurité (NCSC), aussi pour les communes, et CSIRT sectoriels comme Z-CERT pour la santé.
15 août 2026
21 mois de retard
9 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
8 juillet 2026 · Adoption de la loi nationale National (passée)
15 août 2026 · Entrée en vigueur de la loi nationale National (passée)
15 septembre 2026 · Date limite de création du registre national des entités (un mois après l'entrée en vigueur) National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
15 août 2028 · Date limite à laquelle les membres des organes de direction doivent disposer de connaissances et de compétences en cybersécurité National (à venir)
Notes · Elle remplace la Wbni et est entrée en vigueur avec la loi sur la résilience des entités critiques (Wwke). Le 8 juillet 2026, avant son adoption, la Commission avait saisi la Cour de justice contre les Pays-Bas. Le décret d'application (Cyberbeveiligingsbesluit, Stb. 2026, 189) a fixé l'entrée en vigueur au 15 août 2026 et précise les mesures de gestion des risques, la formation des dirigeants et les informations destinées au registre ; il abroge le décret sur la sécurité des réseaux et des systèmes d'information (Bbni).
Autorités compétentes : ministres sectoriels et, pour la finance, l'Autorité de surveillance financière (KNF). Point de contact unique : le ministre chargé du numérique. CSIRT nationaux : CSIRT NASK (CERT Polska), CSIRT GOV (Agence de sécurité intérieure) et CSIRT MON (Défense), ainsi que des CSIRT sectoriels.
3 avril 2026
17 mois de retard
10 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
23 janvier 2026 · Adoption de la loi nationale National (passée)
3 avril 2026 · Entrée en vigueur de la loi nationale National (passée)
3 octobre 2026 · Date limite d’enregistrement des entités National (passée)
3 avril 2027 · Date limite de mise en œuvre des mesures de sécurité National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
3 avril 2028 · Date limite du premier audit des entités essentielles ; à partir de cette date, des amendes peuvent être infligées National (à venir)
Notes · Transposée en modifiant la loi de 2018 sur le système national de cybersécurité (KSC). Le Président a saisi le Tribunal constitutionnel des dispositions sur les fournisseurs à haut risque. Les entités déjà concernées doivent appliquer les mesures de sécurité et de gestion des incidents dans les 12 mois suivant l'entrée en vigueur ; les entités essentielles doivent réaliser leur premier audit dans les 24 mois, et les amendes ne peuvent être infligées qu'à partir de cette date.
Autorité nationale, point de contact unique et CSIRT : Centre national de cybersécurité (CNCS), qui gère CERT.PT, avec des autorités sectorielles pour certains domaines.
3 avril 2026
17 mois de retard
8 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
5 novembre 2025 · Adoption de la loi nationale National (passée)
3 avril 2026 · Entrée en vigueur de la loi nationale National (passée)
3 avril 2027 · Fin de la tolérance sur les sanctions National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Entré en vigueur 120 jours après sa publication ; il remplace le décret-loi 65/2021. Le CNCS en a fixé la mise en œuvre par le règlement 756/2026. Les obligations relatives aux mesures de cybersécurité (articles 27, paragraphes 1 et 2, 28 à 30 et 33 du régime) et les sanctions correspondantes prennent effet 24 mois après la publication de la réglementation du CNCS (article 10, paragraphe 2, du décret-loi).
Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil OUG 155/2024 (Monitorul Oficial nr. 1332 din 31.12.2024) Source officielle (s’ouvre dans un nouvel onglet) · Fiche dans la base
Autorité compétente, point de contact unique et CSIRT national : Direction nationale de la cybersécurité (DNSC), avec des autorités sectorielles pour certains domaines.
31 décembre 2024
2 mois de retard
8 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
30 décembre 2024 · Adoption de la loi nationale National (passée)
31 décembre 2024 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
22 septembre 2025 · Date limite d’enregistrement des entités National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · L'ordonnance a été approuvée avec modifications par la loi 124/2025, en vigueur depuis le 10 juillet 2025 ; l'autorité est la DNSC. Le texte consolidé se trouve sur le portail législatif du ministère de la Justice.
Autorité compétente et point de contact unique : Office national de sécurité (NBÚ). CSIRT : SK-CERT, le CSIRT national du NBÚ, et CSIRT.SK pour l'administration publique.
1 janvier 2025
2 mois de retard
8 étapes, dont 5 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
28 novembre 2024 · Adoption de la loi nationale National (passée)
1 janvier 2025 · Entrée en vigueur de la loi nationale National (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
31 décembre 2026 · Fin de la période transitoire pour les opérateurs déjà désignés (mesures de sécurité et audits selon les règles antérieures) National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Transposée en modifiant la loi 69/2018 sur la cybersécurité ; l'autorité est l'Office national de sécurité (NBÚ).
Autorité compétente et point de contact unique : Office gouvernemental de la sécurité de l'information (URSIV). CSIRT : SI-CERT, au sein du réseau académique Arnes, et SIGOV-CERT pour les organes de l'État.
19 juin 2025
8 mois de retard
10 étapes, dont 7 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
23 mai 2025 · Adoption de la loi nationale National (passée)
19 juin 2025 · Entrée en vigueur de la loi nationale National (passée)
19 décembre 2025 · Date limite d’enregistrement des entités National (passée)
19 juin 2026 · Date limite des mesures de gestion des risques des anciens opérateurs de services essentiels, des organes de l'État et des opérateurs de communications électroniques National (passée)
19 décembre 2026 · Date limite de mise en œuvre des mesures de sécurité National (à venir)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Le Journal officiel la présente comme une transposition partielle ; l'autorité est l'Office gouvernemental de la sécurité de l'information (URSIV).
Autorités de surveillance : sectorielles, dont l'Agence de l'énergie, l'Agence des transports, l'Autorité de surveillance financière, l'Autorité des postes et télécommunications (PTS) et certaines préfectures (länsstyrelser). Point de contact unique et CSIRT : l'Établissement radio de la défense (FRA), par le Centre national de cybersécurité, dont fait partie CERT-SE.
15 janvier 2026
14 mois de retard
10 étapes, dont 8 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
11 décembre 2025 · Adoption de la loi nationale National (passée)
15 janvier 2026 · Entrée en vigueur de la loi nationale National (passée)
2 février 2026 · Entrée en vigueur des règles sur la notification et l'identification des entités essentielles et importantes (MCFFS 2026:1) National (passée)
1 juillet 2026 · Entrée en vigueur des règles sur le signalement des incidents et les obligations d'information (MCFFS 2026:8) National (passée)
1 octobre 2026 · Entrée en vigueur des règles sur les mesures de sécurité et la formation des dirigeants (MCFFS 2026:11) et sur les audits de sécurité (MCFFS 2026:12) National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Elle abroge la loi 2018:1174 sur la sécurité de l'information des services essentiels et numériques ; accompagnée de l'ordonnance 2025:1507.
Autorité compétente et point de contact unique : Agence nationale de sécurité cybernétique et de l'information (NÚKIB). CSIRT : GovCERT.CZ du NÚKIB et CSIRT.CZ, le CSIRT national géré par CZ.NIC.
1 novembre 2025
12 mois de retard
8 étapes, dont 6 déjà passées
16 janvier 2023 · Entrée en vigueur de la directive UE (passée)
17 octobre 2024 · Date limite de transposition pour les États membres UE (passée)
17 avril 2025 · Les États membres établissent la liste des entités essentielles et importantes UE (passée)
11 juin 2025 · Adoption de la loi nationale National (passée)
1 novembre 2025 · Entrée en vigueur de la loi nationale National (passée)
31 décembre 2025 · Date limite d’enregistrement des entités National (passée)
17 avril 2027 · Première mise à jour biennale des listes d'entités essentielles et importantes et communication des chiffres à la Commission UE (à venir)
17 octobre 2027 · Premier réexamen de la directive par la Commission UE (à venir)
Notes · Nouvelle loi remplaçant la loi 181/2014 Sb. Les mesures de sécurité sont fixées par les décrets 409/2025 et 410/2025 Sb. ; l'autorité est le NÚKIB.
Procédures d’infraction de la Commission européenne
28 novembre 2024 · Lettres de mise en demeure (s’ouvre dans un nouvel onglet): 23 États membres (Bulgarie, Tchéquie, Danemark, Allemagne, Estonie, Irlande, Grèce, Espagne, France, Chypre, Lettonie, Luxembourg, Hongrie, Malte, Pays-Bas, Autriche, Pologne, Portugal, Roumanie, Slovénie, Slovaquie, Finlande, Suède)
7 mai 2025 · Avis motivés (s’ouvre dans un nouvel onglet): 19 États membres (Bulgarie, Tchéquie, Danemark, Allemagne, Estonie, Irlande, Espagne, France, Chypre, Lettonie, Luxembourg, Hongrie, Pays-Bas, Autriche, Pologne, Portugal, Slovénie, Finlande, Suède)