C‑DRONE
Zone urbaine surveillée de nuit en vue aérienne

GUIDE C-DRONE · 7 AOÛT 2026

Loi Résilience (NIS2) et prestations drone : ce que les entités essentielles doivent vérifier

Quinze mille entreprises et administrations françaises vont devoir répondre d'une nouvelle exigence : prouver que leurs sous-traitants ne sont pas le maillon faible de leur cybersécurité. La loi Résilience, en cours d'examen au Parlement pour transposer la directive européenne NIS2, étend en effet la sécurité informatique bien au-delà du seul système d'information interne — jusqu'aux prestataires qui accèdent à un site, y compris un télépilote chargé d'une inspection de toiture, d'une orthophoto de site industriel ou d'une thermographie de poste électrique. Voici ce que ce texte change concrètement, à qui il s'adresse, et ce qu'un donneur d'ordre averti doit vérifier avant de commander une mission sur un site sensible.

Publié le 7 août 2026, relu le 7 août 2026 — réglementation en vigueur en août 2026.

Où en est la loi Résilience (NIS2) en France en 2026

La directive européenne NIS2 (texte 2022/2555) impose depuis fin 2022 un niveau de cybersécurité renforcé aux organisations jugées critiques pour le fonctionnement de l'économie et de la société. Sa transposition en droit français, attendue dès octobre 2024, prend la forme du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — la « loi Résilience », qui transpose dans le même texte deux autres directives européennes : celle sur la résilience des entités critiques (REC) et, pour le secteur financier, DORA. Adopté en première lecture au Sénat le 12 mars 2025, le texte doit encore passer en séance publique à l'Assemblée nationale, un passage désormais attendu en septembre 2026 ; sa promulgation, puis la publication des décrets d'application, suivront selon le calendrier parlementaire.

Une fois en vigueur, la loi désignera l'ANSSI comme autorité nationale de contrôle et soumettra environ 15 000 entités françaises à des obligations de gestion des risques cyber, réparties en deux catégories selon leur taille et leur secteur : les « entités essentielles » (énergie, transport, santé, eau potable et eaux usées, infrastructures numériques, espace, administration publique…) et les « entités importantes » (déchets, chimie, agroalimentaire, fabrication, services postaux…). Les sanctions prévues sont sévères — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle — et un incident significatif devra être signalé selon un calendrier strict : alerte précoce sous 24 heures, notification formelle sous 72 heures, rapport final sous un mois.

Pourquoi ce texte concerne aussi vos prestataires drone

La loi Résilience ne se limite pas au système d'information interne de l'entité concernée : son article central sur la gestion des risques impose explicitement d'évaluer la sécurité de la chaîne d'approvisionnement, c'est-à-dire des fournisseurs et prestataires qui accèdent aux systèmes ou aux données de l'entité. Une étude de référence publiée en 2014 dans Technovation par Scott Boyson a largement contribué à installer cette idée dans la doctrine de gestion des risques : l'auteur y montre que le risque cyber d'une organisation dépend autant de sa propre sécurité que de celle, souvent moins maîtrisée, de ses sous-traitants informatiques et de service, et qu'ignorer ce maillon revient à laisser une porte dérobée ouverte sur l'ensemble du système (voir l'étude sur Google Scholar). Un télépilote qui survole une centrale, un poste électrique, un hôpital ou un centre de tri pour une mission de photogrammétrie ou de thermographie entre exactement dans ce périmètre : il produit, transporte et stocke temporairement des données décrivant l'agencement, les équipements et parfois les vulnérabilités physiques du site.

Le drone lui-même ajoute une dimension technique à ce risque. Une synthèse publiée en 2020 dans la revue Internet of Things par Yaacoub, Noura, Salman et Chehab recense les surfaces d'attaque propres aux systèmes de drones — liaison radio entre le drone et la station sol, stockage embarqué, application de pilotage, transfert des données vers le cloud du prestataire — et formule des recommandations pour les sécuriser (voir l'étude sur Google Scholar). Un prestataire drone n'est en général pas lui-même une entité soumise à la loi Résilience — sauf s'il relève par ailleurs d'un des 18 secteurs listés —, mais ses pratiques de sécurité deviennent, de fait, un point que son client essentiel ou important doit désormais documenter.

Ce qu'un donneur d'ordre doit vérifier avant de commander une mission

Concrètement, une entreprise ou une collectivité relevant d'un secteur essentiel ou important n'a pas besoin d'attendre la promulgation définitive du texte pour commencer à intégrer ces questions dans son cahier des charges — plusieurs donneurs d'ordre de l'énergie et de la santé le font déjà par anticipation. Quelques points à vérifier auprès d'un prestataire avant de commander une mission sur un site sensible :

Ce niveau de vérification s'ajoute à — sans le remplacer — celui déjà imposé par le RGPD lorsque la mission capte des personnes ou des biens identifiables, détaillé dans notre guide sur le RGPD appliqué au drone professionnel : le RGPD protège les données personnelles, la loi Résilience protège la disponibilité et l'intégrité des systèmes et des données de l'entité elle-même, y compris lorsqu'elles ne concernent aucune personne physique — le plan d'un poste électrique HTA/HTB ou l'orthophoto d'un site industriel n'entrent dans aucune des deux catégories du RGPD, mais restent bien dans le périmètre de la loi Résilience si le donneur d'ordre est une entité concernée.

Internaliser sa flotte ou faire appel à un prestataire externe : l'angle change, pas l'obligation

Face à ces nouvelles exigences, certaines entités essentielles s'interrogent sur l'intérêt d'internaliser leur flotte de drones plutôt que de faire appel à un prestataire externe — question que nous détaillons plus largement, coûts inclus, dans notre guide internaliser sa flotte drone ou sous-traiter. Sur le seul plan de la loi Résilience, internaliser ne supprime pas l'obligation : les données restent à sécuriser, mais leur traitement entre alors directement dans le système de management de la sécurité de l'information de l'entité, déjà audité au titre de ses autres obligations. Sous-traiter déplace la charge : l'entité doit formaliser une évaluation du risque du prestataire — la chaîne d'approvisionnement visée par le texte — et la documenter, ce qui, en pratique, prend la forme d'une clause contractuelle et d'un questionnaire de sécurité plutôt que d'un audit technique complet pour une mission ponctuelle.

Pour un site classé ICPE comme un poste électrique HTA/HTB, un établissement de santé ou un centre de tri de déchets, cette formalisation reste légère par rapport aux enjeux de sécurité déjà en place sur le site : badge d'accès, plan de prévention, coordination avec l'exploitant. Elle vient s'y ajouter comme un point de plus sur la liste, pas comme un nouveau chantier séparé.

Ce que ça coûte, et les questions à se poser

La loi Résilience n'étant pas encore promulguée à l'été 2026, aucun prestataire sérieux ne facture aujourd'hui de surcoût pour s'y conformer : les bonnes pratiques décrites plus haut — hébergement identifié, suppression des données après livraison, transfert chiffré — relèvent d'une hygiène numérique de base, pas d'une prestation additionnelle. Le bon réflexe reste de les faire figurer noir sur blanc dans le devis ou le bon de commande, en même temps que les garanties d'assurance responsabilité civile professionnelle déjà exigées pour toute mission. Demandez un devis en précisant, si votre organisation relève d'un secteur essentiel ou important, les points de sécurité des données que vous souhaitez voir figurer au contrat.

Un prestataire drone est-il directement soumis à la loi Résilience ? En général non, sauf s'il relève par ailleurs d'un des 18 secteurs visés ; mais ses pratiques de sécurité deviennent un point que son client soumis à la loi doit vérifier et documenter.

Quand la loi entrera-t-elle en vigueur ? Le texte doit encore être examiné en séance publique à l'Assemblée nationale, un passage attendu en septembre 2026 ; sa promulgation et ses décrets d'application suivront ensuite.

Le RGPD ne suffit-il pas déjà ? Non : le RGPD protège les données à caractère personnel, la loi Résilience protège la disponibilité et l'intégrité des systèmes et données de l'entité, y compris celles qui ne concernent aucune personne physique.

Que risque une entité essentielle qui ne vérifie pas ses sous-traitants ? Les sanctions visent l'entité elle-même, pas le sous-traitant : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial en cas de manquement grave à ses obligations de gestion des risques, y compris ceux liés à sa chaîne d'approvisionnement.

Demander un devis gratuit

Passer à la pratique

À lire aussi