NIS2 : la France devant la Cour de justice, et vous devant vos clients

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition de la directive NIS2. Elle demande à la Cour d’imposer des sanctions financières : une somme forfaitaire pour le retard accumulé, assortie d’astreintes journalières jusqu’à la notification complète des mesures de transposition.

La France n’est pas seule. L’Espagne, l’Irlande et les Pays-Bas font l’objet de la même procédure. Mais elle figure parmi les derniers États membres sans régime national opérationnel, vingt et un mois après une échéance fixée au 17 octobre 2024.

Pour les entreprises concernées, ce n’est pas une nouvelle de plus dans un feuilleton. C’est un changement de nature : on passe d’un retard administratif à un contentieux assorti d’une demande de sanctions, ce qui déplace le calendrier politique du texte français.

Pourquoi le texte français est bloqué

Le blocage n’est pas un problème de calendrier parlementaire. Il porte sur un article.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose trois directives européennes dans un seul texte : NIS2 pour la cybersécurité, REC pour la résilience des entités critiques, DORA pour le secteur financier. Cette architecture a un défaut structurel : un désaccord sur l’un des trois volets fige l’ensemble du paquet.

Le point de friction concerne l’encadrement du chiffrement et l’accès des services de renseignement aux communications, avec une opposition entre les services de l’État et une partie des parlementaires. Le texte n’a pas figuré parmi ceux retenus pour la session extraordinaire de juillet. Son examen a été renvoyé, au mieux, à la rentrée parlementaire de septembre.

Ce que le vide juridique ne suspend pas

Trois choses continuent d’exister en l’absence de loi.

Le référentiel de l’ANSSI. Le ReCyF — Référentiel Cyber France — a été rendu public le 17 mars 2026. Il structure vingt objectifs de sécurité pour les entités essentielles et quinze pour les entités importantes, en distinguant les objectifs, qui seront obligatoires, des moyens acceptables de conformité, qui restent recommandés. Il est diffusé comme document de travail, sans version définitive tant que la transposition n’a pas eu lieu. C’est néanmoins le seul document qui indique ce qui sera demandé, et il est disponible.

Le pré-enregistrement. MonEspaceNIS2 est ouvert depuis novembre 2025. Il n’a pas de valeur déclarative obligatoire aujourd’hui, mais il constitue le canal de dialogue avec l’agence, et il oblige à trancher une question qui prend du temps : le périmètre.

Le réseau des CSIRT régionaux, dont l’ANSSI a annoncé en janvier 2026 qu’il couvre désormais l’ensemble du territoire. Pour une collectivité ou une PME sans équipe interne, c’est l’interlocuteur de première intention en cas d’incident, indépendamment du statut réglementaire.

La pression ne viendra pas du régulateur en premier

C’est le point que le débat sur la transposition fait perdre de vue. Une organisation qui attend la promulgation pour commencer se prépare à la mauvaise contrainte.

La demande arrive déjà par la chaîne commerciale. Les grands comptes intègrent des clauses de sécurité alignées sur NIS2 dans leurs contrats fournisseurs, parce qu’eux-mêmes anticipent l’obligation de maîtriser leur chaîne d’approvisionnement. Les questionnaires fournisseurs se sont alourdis. Les assureurs posent les mêmes questions. Aucun de ces acteurs n’attend le Journal officiel.

Et lorsque la loi sera promulguée, le délai de mise en conformité annoncé — de l’ordre de trois ans après publication des exigences — ne s’appliquera pas aux travaux longs. Un inventaire d’actifs, une cartographie de sous-traitants critiques, une chaîne de notification testée : ce sont des chantiers de plusieurs trimestres, qui ne se compressent pas parce qu’une date approche.

Quatre décisions à prendre avant la rentrée

• Déterminer le périmètre par entité juridique, pas par groupe. C’est l’erreur la plus fréquente. Le croisement secteur / taille se fait entité par entité, et une filiale peut être concernée quand la maison mère ne l’est pas, ou l’inverse.
• Trancher entre entité essentielle et entité importante. La différence porte sur le régime de supervision — contrôle a priori d’un côté, a posteriori de l’autre — et sur le plafond des sanctions.
• Mesurer l’écart avec le ReCyF. Vingt objectifs, une colonne « en place / partiel / absent », une estimation de charge. Deux jours de travail donnent une trajectoire chiffrée, ce qui est exactement ce qu’un comité de direction demandera en septembre.
• Écrire la chaîne de notification. Alerte précoce à vingt-quatre heures, notification complète à soixante-douze heures, rapport final à un mois. Qui décide, qui rédige, qui envoie, et ce qui se passe un dimanche. Ce sont les mêmes ordres de grandeur que le CRA et que le RGPD, avec des destinataires différents.

Ne pas confondre les régimes

Dernier point, parce qu’il génère des erreurs coûteuses. Le RGPD protège les données personnelles et relève de la CNIL. NIS2 protège les systèmes d’information et relèvera de l’ANSSI. Les mesures techniques se recoupent largement, mais les autorités, les délais et les sanctions ne sont pas les mêmes.

Un incident peut déclencher les deux obligations simultanément, avec deux notifications distinctes à deux destinataires différents. Une procédure interne qui n’en prévoit qu’une expose à un manquement sur l’autre.

Sources

• Directive (UE) 2022/2555 (NIS2), échéance de transposition au 17 octobre 2024
• Commission européenne — mises en demeure du 28 novembre 2024, avis motivés du 7 mai 2025, saisine de la CJUE du 8 juillet 2026
• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
• ANSSI — Référentiel Cyber France (ReCyF), 17 mars 2026 ; plateforme MonEspaceNIS2 ; réseau des CSIRT régionaux