NIS2 et DORA : les postes cyber qui recrutent déjà

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne d'un recours contre la France, aux côtés de l'Espagne, de l'Irlande et des Pays-Bas, pour défaut de transposition de la directive NIS2. Elle demande des sanctions financières : une somme forfaitaire assortie d'astreintes journalières, jusqu'à la notification complète de la transposition. Le projet de loi Résilience, qui porte ce texte en droit français, attend toujours son examen en séance publique à l'Assemblée nationale.

Pour un talent IT, ce calendrier dit surtout une chose : les employeurs, eux, ont cessé d'attendre. Au 15 septembre 2026, notre jobboard comptait 13 offres mentionnant NIS2 et 38 mentionnant DORA, plusieurs publiées dans la semaine. Voici ce que ce blocage déclenche réellement, les chantiers qu’il ouvre et comment vous y positionner.

Le calendrier français

Les États membres devaient transposer NIS2 avant le 17 octobre 2024. La France a manqué l'échéance. Son véhicule législatif, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, a été adopté par le Sénat le 12 mars 2025, puis examiné par la commission spéciale de l'Assemblée nationale jusqu'au 10 septembre 2025. Depuis, le dossier législatif ne fait état d'aucun passage en séance publique. Début juillet 2026, la ministre déléguée chargée de l'intelligence artificielle et du numérique a exprimé l'espoir d'un examen à la rentrée, sans qu'aucune date soit arrêtée à ce jour.

Pour expliquer ce retard, le gouvernement met en avant un désaccord sur l'article 16 bis, qui interdit d'imposer aux fournisseurs de services de chiffrement des mécanismes affaiblissant volontairement la sécurité de leurs produits. Tant que le texte n'est pas promulgué, ni les décrets d'application ni les délais de conformité ne sont fixés. Aucune échéance de mise en conformité résultant de la transposition française de NIS2 n'est donc fixée aujourd'hui par une loi ou un décret.

Pourquoi « fin 2026 » revient-elle dans toutes les notes ?

Une date circule pourtant partout : la fin 2026, présentée comme le moment où les décrets d'application arriveraient. Cette prévision n'engage personne, elle a déjà glissé plusieurs fois, et vous ne la trouverez dans aucun texte officiel. Elle dit néanmoins quelque chose d'utile sur la façon dont les entreprises raisonnent.

Le scénario que redoutent les équipes de sécurité tient en trois temps : une loi promulguée, des décrets publiés dans la foulée, puis un délai de conformité qui commence à courir alors que les travaux prennent, eux, de longs mois. Personne ne sait quelle durée d'adaptation sera retenue. Bon nombre d'organisations préfèrent donc lancer leurs chantiers maintenant, pendant que les profils sont disponibles et que les budgets ne sont pas contraints par une date butoir. Cette anticipation, et non une échéance légale, alimente une partie des offres publiées cet automne.

Ce que l'ANSSI demande d’ores et déjà

Devant le Sénat, le directeur général de l'ANSSI a regretté ce retard tout en rappelant que l'absence de transposition ne dispense ni les entreprises ni les collectivités de se préparer. L'agence a ouvert un service de pré-enregistrement, relayé par le portail MonEspaceNIS2, qui permet à chaque organisation de vérifier si elle relève du périmètre et de s'identifier auprès de l'autorité. Ce périmètre concerne plusieurs milliers d'entités dans les 18 secteurs couverts par la directive, pour l'essentiel des moyennes et grandes entreprises, des collectivités et des administrations. Ces pages ont une valeur informative : la référence juridique reste la directive, puis la future loi française.

Une organisation qui anticipe son assujettissement engage la qualification de son périmètre, la cartographie de ses risques et la documentation de ses mesures. Autant de chantiers susceptibles de mobiliser des profils cyber avant l'entrée en vigueur du dispositif national.

DORA n'attend aucune loi française

DORA est un règlement européen, applicable directement dans tous les États membres depuis le 17 janvier 2025, sans transposition nationale. Le secteur financier est donc déjà dans le concret. L'ACPR a décrit son propre basculement : un accompagnement des entités financières en 2025, puis une supervision progressivement renforcée à partir de 2026, avec la collecte annuelle des registres d'information, la déclaration des incidents majeurs et, pour les plus importantes, un suivi des tests d'intrusion fondés sur la menace.

Un point utile à connaître, si le sujet arrive sur la table en entretien : pour les entités financières, DORA prime sur NIS2 en matière de gestion du risque lié aux technologies de l'information et de notification d'incidents, au titre du principe de lex specialis. Une banque ne construit donc pas deux programmes de conformité en parallèle sur ces sujets.

Cela se voit dans les annonces. Parmi les missions estampillées DORA, reviennent des consultants conformité, des chefs de projet centrés sur le premier pilier du règlement, des spécialistes du risque tiers chargés des clauses contractuelles, des registres fournisseurs et des stratégies de sortie. Les TJM affichés s'échelonnent entre 400 et 750 euros selon le niveau, et la banque comme l'assurance concentrent l'essentiel de ces missions.

NIS2 : des chantiers ouverts sans attendre le texte

Côté NIS2, les employeurs recrutent sur un cadre qui existe déjà au niveau européen, sans attendre sa déclinaison française. Les offres qui mentionnent NIS2 portent moins sur des intitulés inédits que sur des chantiers précis : qualification des entités essentielles ou importantes, analyses de risques, plans de remédiation, sécurisation des environnements industriels OT, préparation des audits. Elles se répartissent entre postes de RSSI, y compris en transition, consultants gouvernance et risques, ingénieurs sécurité et chefs de projet réglementaires.

Ce mouvement s'inscrit dans un marché qui trie. Plus de 23 000 offres d'emploi en cybersécurité ont été publiées en France entre juin 2023 et juin 2024, selon l'Observatoire des métiers de la cybersécurité de l'ANSSI, de la DGEFP et de l'Afpa. Selon notre analyse du marché IT 2026, la cybersécurité est citée par 47 % des recruteurs parmi les compétences en tension, et les experts cyber décrochent des hausses de rémunération de 6 à 7 %, loin devant la moyenne du secteur. Notre bilan du premier semestre tech 2026 situe les experts positionnés sur NIS2 et DORA entre 65 et 100 k€ en CDI, et entre 650 et 850 euros de TJM.

Ce que ces chantiers demandent concrètement

En parcourant les annonces publiées ces dernières semaines, quatre briques reviennent presque systématiquement :

L'analyse de risques outillée, avec EBIOS RM en méthode de référence et les normes ISO 27001 et 27005 en toile de fond
Le risque tiers : questionnaires fournisseurs, clauses contractuelles, registres, plans de sortie, suivi des sous-traitants
La gestion et la déclaration d'incidents, avec des délais courts et des autorités compétentes différentes : l'ANSSI pour NIS2, l'ACPR ou l'AMF selon le périmètre pour DORA, la CNIL dès que des données personnelles sont concernées
Le pilotage et le reporting : tableaux de bord de conformité, indicateurs, préparation des comités de direction.

Une cinquième compétence, moins technique, apparaît dans presque toutes les annonces : savoir traduire une exigence réglementaire pour des équipes métiers qui n'ont pas le texte en tête.

Comment vous positionner pendant l'attente ?

Nommez la réglementation avec précision dans votre CV, en citant le chantier concerné plutôt que l'acronyme seul. « Conformité DORA, risque tiers, registre d'information et clauses contractuelles » pèse davantage qu'une ligne « connaissance de DORA »
Apportez des preuves : un registre tenu à jour, une analyse de risques menée de bout en bout, un plan de remédiation suivi jusqu'à sa clôture. Ces livrables se racontent en entretien mieux qu'une certification isolée
Surveillez enfin les deux calendriers : celui de l'Assemblée nationale pour NIS2, celui de l'ACPR pour DORA. Une alerte sur ces deux mots-clés vous place sur les offres dès leur publication, sans dépendre du rythme parlementaire.

NIS2 n'est toujours pas transposée, et la Commission européenne a porté le dossier devant la Cour de justice. DORA s'applique depuis janvier 2025, avec une supervision qui monte en puissance. Les postes existent donc déjà : dans la finance pour DORA, dans les secteurs couverts par la directive pour NIS2. Une reprise du parcours parlementaire accélérerait une dynamique déjà visible, surtout dans les organisations qui n'ont rien engagé. Les profils capables de transformer une exigence réglementaire en chantier opérationnel y auront un avantage.

FAQ

NIS2 est-elle applicable en France aujourd'hui ?

La directive est en vigueur au niveau européen, mais la France n'a pas achevé sa transposition. Le projet de loi Résilience, adopté par le Sénat en mars 2025 et examiné en commission en septembre 2025, attend son passage en séance publique. Ce texte et les actes réglementaires qui l'accompagneront fixeront le cadre national. D'autres obligations de sécurité, à commencer par le RGPD, continuent de s'appliquer entre-temps.

Les échéances de fin 2026 annoncées un peu partout sont-elles fiables ?

Elles relèvent de la prévision, pas du droit. Aucune loi ni aucun décret français ne fixe aujourd'hui de date de mise en conformité NIS2. Ces annonces traduisent l'anticipation des cabinets et des éditeurs quant à la publication des décrets. Elles méritent d'être suivies, sans être présentées comme des obligations datées.

Quelle différence entre NIS2 et DORA pour un candidat ?

DORA s'applique directement depuis le 17 janvier 2025 au secteur financier, sous la supervision de l'ACPR et de l'AMF, et prime sur NIS2 pour les entités financières. NIS2 est une directive qui doit passer par une loi nationale et vise 18 secteurs, de l'énergie à la santé. Les missions DORA se concentrent donc dans la banque et l'assurance, les missions NIS2 sont bien plus dispersées.

Faut-il une certification pour travailler sur ces sujets ?

Aucune certification n'est imposée par les deux textes. Les annonces citent régulièrement l'ISO 27001, l'ISO 27005 et la méthode EBIOS RM, davantage comme repères de niveau que comme conditions d'accès. Une expérience documentée sur un chantier de conformité réel pèse souvent plus lourd.

Faut-il attendre la promulgation de la loi pour se positionner ?

Les recrutements liés à NIS2 ont déjà commencé, dans des organisations qui préfèrent anticiper plutôt que subir un calendrier resserré une fois les décrets publiés. Se positionner maintenant vous évite d'arriver en même temps que tout le monde si le parcours parlementaire redémarre.

Sources