Un nouveau coup de tonnerre est en train de frapper le front de la régulation numérique. La Commission européenne a décidé de renvoyer la France et l’Espagne devant la Cour de justice de l’Union européenne (CJUE) pour un retard critique d’un an dans la transposition de la directive NIS2, la législation phare destinée à renforcer la cybersécurité à l’échelle du continent. Une procédure qui expose Paris à de lourdes sanctions financières.
Alors que l’administration française fait face à une recrudescence historique de cyberattaques, elle s’apprête désormais à livrer une autre bataille juridique, cette fois, face à Bruxelles.
Un délai dépassé, une procédure inévitable
Les États membres avaient jusqu’au 17 octobre 2024 pour transposer les exigences de NIS2 dans leur droit national. Faute de résultats, la Commission est passée à l’offensive judiciaire en saisissant la CJUE, faisant de Paris et Madrid les principales cibles de ce recours ultime.
L’escalade avait pourtant suivi une progression méthodique. En effet, une lettre de mise en demeure avait été envoyée dès novembre 2024, puis un avis motivé en mai 2025. Face à l’inertie persistante des gouvernements visés, Bruxelles a finalement décidé de franchir le pas.
Pourquoi NIS2 ne souffre aucun délai
La directive NIS2 est loin d’être un simple texte administratif. Elle élargit radicalement le périmètre des entités soumises à des obligations strictes de sécurité et de notification des incidents, couvrant désormais les secteurs de l’énergie, de la santé ou des transports. En France, ce périmètre devait bondir de 600 entités régulées sous NIS1 à plus de 15 000 sous NIS2.
En traînant des pieds, les États retardataires créent un véritable zone grise législative au sein du marché unique. Les fédérations industrielles tirent la sonnette d’alarme : les entreprises opérant dans plusieurs pays européens se retrouvent dans un flou juridique total, ne sachant plus quelles obligations appliquer ni à quel calendrier se conformer.
Chiffrement et blocages politiques : les raisons du retard français
Comment expliquer un tel retard dans un pays qui se revendique à la pointe de la cyberdéfense ? Le parcours législatif français s’est révélé particulièrement sinueux. Le gouvernement a choisi d’intégrer NIS2 au sein d’un texte plus vaste, englobant également la directive REC sur la résilience des entités critiques et le règlement DORA pour le secteur financier, une ambition qui a ralenti l’ensemble du processus.
Mais le véritable point de friction est d’ordre politique et sécuritaire. Les débats parlementaires ont bloqué sur un article particulièrement sensible, visant à protéger le chiffrement de bout en bout et à interdire l’installation de portes dérobées dans les messageries grand public. Une disposition fermement défendue par les partisans des libertés numériques, mais contestée en coulisses par les services de renseignement intérieurs.
Ce que risque la France
Le Secrétariat général des affaires européennes prépare activement sa défense pour l’audience à Luxembourg, mais la marge de manœuvre reste étroite. La CJUE est la seule instance habilitée à infliger des sanctions financières à un État membre qui ne respecte pas le droit communautaire.
L’ironie du calendrier n’échappe à personne car la directive NIS2 prévoit, à terme, des amendes records pour les entreprises en retard, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Pour l’instant, c’est l’État français lui-même qui s’apprête à payer la note de sa propre lenteur réglementaire.
Sources :
- https://www.politico.eu/article/lue-va-poursuivre-la-france-et-lespagne-pour-leur-retard-dans-ladoption-dune-loi-sur-la-cybersecurite/
- https://www.usine-digitale.fr/cybersecurite/retard-sur-nis-2-la-france-risque-une-double-peine-entre-sanctions-europeennes-et-perte-dinfluence-a-bruxelles-sur-les-sujets-cyber.5DII4Q6NTRHGNH5KGDDFEHXW4Q.html
- https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
