NIS2 : la France devant la Cour de justice de l'UE, et après ?

En bref

• Le 8 juillet 2026, la Commission européenne a annoncé saisir la Cour de justice de l'UE contre l'Irlande, l'Espagne, la France et les Pays-Bas pour défaut de transposition de NIS2, en demandant des sanctions financières.
• La date limite était le 17 octobre 2024. Le retard français approche aujourd'hui les vingt-trois mois.
• Le projet de loi de transposition, adopté par le Sénat en mars 2025, n'a toujours pas été examiné en séance publique à l'Assemblée nationale. Un sénateur met en cause un article sur le chiffrement des messageries, sans lien avec les obligations de cybersécurité des entreprises.
• Aucune obligation NIS2 n'est exigible des entreprises françaises aujourd'hui. Mais l'exigence arrive déjà par les contrats commerciaux, et là, il n'y a pas de délai.

Ce qui s'est passé le 8 juillet

La Commission européenne a annoncé le 8 juillet 2026 qu'elle saisissait la Cour de justice de l'Union européenne contre quatre États membres (l'Irlande, l'Espagne, la France et les Pays-Bas) pour ne pas avoir notifié les mesures de transposition de la directive NIS2.

La procédure n'a rien d'expéditif : elle est l'aboutissement d'une procédure d'infraction en plusieurs étapes.

• 17 octobre 2024 : date limite de transposition fixée par l'article 41 de la directive (UE) 2022/2555.
• 28 novembre 2024 : lettres de mise en demeure adressées aux États retardataires.
• 7 mai 2025 : avis motivés, dernière étape avant la saisine.
• 8 juillet 2026 : renvoi devant la Cour, assorti d'une demande de sanctions financières (une somme forfaitaire et des astreintes journalières jusqu'à la notification de la transposition complète).

Ce sont donc les finances publiques françaises qui sont exposées, pas les entreprises. Mais l'affaire dit quelque chose d'utile aux dirigeants, au-delà de l'anecdote institutionnelle.

Pourquoi ça bloque

C'est le point le plus contre-intuitif du dossier, et celui qui explique pourquoi il ne faut pas parier sur un déblocage rapide.

La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose simultanément trois textes européens : la directive REC (résilience des entités critiques), la directive NIS2 et le volet DORA (secteur financier). Son parcours :

• déposé au Sénat le 15 octobre 2024, deux jours avant l'échéance européenne ;
• adopté par le Sénat en première lecture le 12 mars 2025 ;
• rapport de la commission spéciale de l'Assemblée nationale déposé le 10 septembre 2025 ;
• toujours pas examiné en séance publique : il ne figure pas à l'ordre du jour de la session extraordinaire ouverte le 1^er juillet 2026, fixé par le décret du 15 juin 2026.

Le point de friction mis en avant au Parlement ne porte ni sur les obligations de sécurité, ni sur les seuils, ni sur les sanctions applicables aux entreprises. Il porte sur l'article 16 bis, introduit en séance au Sénat le 12 mars 2025 par un amendement du sénateur Olivier Cadic. Cet article interdit d'imposer aux fournisseurs de services de chiffrement des dispositifs visant à affaiblir volontairement la sécurité de leurs systèmes, comme les « portes dérobées ».

Le 1^er juillet 2026, lors d'une audition en commission des lois du Sénat, Olivier Cadic a présenté cet article comme visant « à interdire les portes dérobées dans les messageries chiffrées ». Il a affirmé que « le Gouvernement bloque désormais l'inscription de ce projet de loi à l'ordre du jour de l'Assemblée nationale ». Le Gouvernement n'a pas, à notre connaissance, exposé publiquement ses raisons.

Autrement dit : le texte qui doit faire entrer quelque 15 000 entités françaises dans le champ de la réglementation reste suspendu à un débat sur le chiffrement des messageries.

La conséquence pratique pour un dirigeant est simple : le calendrier ne dépend pas de l'avancement technique du dossier. Il dépend d'un arbitrage politique dont l'issue n'est pas prévisible. Construire son plan de mise en conformité sur une date de vote supposée est un pari.

Ce que ça change pour votre entreprise : rien, et beaucoup

Rien, sur le plan juridique

Soyons précis, car la confusion est répandue et certains contenus commerciaux affirment que NIS2 « s'applique » déjà. Une directive européenne s'adresse aux États membres : elle ne crée pas, par elle-même, d'obligations à la charge des entreprises. Ces obligations naîtront de la loi nationale de transposition et de ses textes d'application. Tant que cette loi n'est pas publiée, aucune obligation NIS2 n'est exigible des entreprises en France, et aucune sanction ne peut leur être infligée à ce titre.

Si un prestataire vous démarche en agitant un risque de sanction NIS2 immédiat, c'est un argument commercial, pas un état du droit.

Beaucoup, sur le plan pratique

Trois raisons de ne pas confondre « pas encore obligatoire » et « pas encore d'actualité ».

1. L'exigence arrive par le contrat avant d'arriver par la loi. La sécurité de la chaîne d'approvisionnement fait partie des mesures de gestion des risques prévues par l'article 21 de la directive. Les organisations qui anticipent leur future régulation peuvent donc interroger leurs fournisseurs, leur envoyer des questionnaires de sécurité et insérer des clauses de notification d'incident dans leurs contrats. Pour une PME sous-traitante d'un grand compte, c'est là que NIS2 peut se manifester en premier : dans un appel d'offres, sans période transitoire, indépendamment du calendrier parlementaire.

2. Le retard ne suspend pas la menace. Pendant que le texte attend son examen, l'ANSSI recense dans son Panorama de la cybermenace 2025 128 compromissions par rançongiciel portées à sa connaissance, dont 48 % touchent des TPE, PME et ETI. L'actualité de l'été 2026 le rappelle aussi : les accès illégitimes au système d'information de la DGFiP ont concerné 678 000 particuliers et professionnels selon le ministère. Le calendrier des attaquants n'est pas indexé sur celui du législateur.

3. La mise en conformité prend des mois. Analyse de risques, plan de continuité, procédure de notification, sécurisation de la chaîne d'approvisionnement, formation des dirigeants : ces chantiers se comptent en trimestres. D'après le rapport de la commission spéciale du Sénat, environ 500 entités étaient régulées au titre de NIS 1 ; elles seront « quelque 15 000 » avec NIS2. Quand la loi sera publiée, beaucoup d'entre elles chercheront le même accompagnement au même moment.

Que faire en attendant

Malgré le retard législatif, l'ANSSI indique que « les futures entités essentielles et importantes sont invitées à s'engager dès à présent dans une démarche de sécurisation cohérente avec NIS 2 ». Depuis le 17 mars 2026, elle met à disposition une version de travail du Référentiel Cyber France (ReCyF), qui liste les mesures qu'elle recommande pour atteindre les objectifs de sécurité de NIS2. Selon l'Agence, « ce référentiel, par défaut non-obligatoire, permettra aux futurs assujettis qui décident de l'appliquer de s'en prévaloir en cas de contrôle de l'ANSSI ». C'est, à ce jour, la meilleure feuille de route disponible.

Quatre étapes réalistes :

1. Déterminer votre statut. Le test en ligne de la plateforme MesServicesCyber de l'ANSSI indique si votre entité serait régulée et à quelle catégorie elle appartiendrait (entité essentielle ou importante).
2. Mesurer l'écart entre votre situation actuelle et les mesures du ReCyF, pour disposer d'une liste de chantiers hiérarchisée plutôt que d'une intention.
3. Traiter les fondamentaux, qui ne dépendent d'aucune version du texte : correctifs sur les équipements exposés à Internet, sauvegardes hors ligne testées, authentification multifacteur, inventaire des accès, procédure d'incident écrite. Ces mesures servent immédiatement, réglementation ou pas.
4. Préparer vos réponses fournisseur. Disposer d'un dossier à jour (mesures en place, délais de correctif, procédure de notification) est un argument commercial autant qu'une préparation aux obligations à venir.

Un point de gouvernance, enfin, à ne pas repousser : l'article 20 de la directive prévoit que les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres sont en outre tenus de suivre une formation. C'est l'un des changements les plus structurants du texte, et l'un de ceux qui prennent le plus de temps à installer dans les habitudes d'une entreprise.

Questions fréquentes

Quand la loi sera-t-elle finalement votée ?

Personne ne peut le dire. Le texte ne figurait pas à l'ordre du jour de la session extraordinaire de juillet 2026, et le dossier législatif de l'Assemblée nationale n'annonce à ce jour aucune date d'examen en séance publique. Le blocage étant politique, tout calendrier évoqué reste conditionnel.

La France risque-t-elle vraiment une amende ?

La Commission demande à la Cour d'imposer une somme forfaitaire et des astreintes journalières jusqu'à la transposition complète. Il appartient désormais à la Cour de statuer. Si une sanction est prononcée, elle visera l'État, pas les entreprises.

Faut-il attendre la loi pour lancer un projet de conformité ?

Non. Les grands blocs d'obligations (gouvernance, gestion des risques, notification d'incident, sécurité de la chaîne d'approvisionnement) sont fixés par la directive elle-même ; la transposition en précisera les modalités. Les fondamentaux techniques, eux, sont utiles quel que soit le texte final.

Où trouver la liste officielle des entités concernées ?

Elle n'existe pas encore, faute de transposition. L'ANSSI propose en revanche un test en ligne pour évaluer si votre entité serait concernée selon les critères de la directive.

Pour aller plus loin

Notre guide détaillé NIS2 : votre PME est-elle concernée ? présente les secteurs, les seuils et les obligations attendues. Voir aussi notre définition de NIS2 et notre article sur les tendances cybersécurité 2026. Pour situer votre niveau de préparation, réalisez notre diagnostic de maturité cyber, puis consultez des prestataires certifiés sur les chantiers identifiés.

Sources

• Commission européenne, Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity, 8 juillet 2026.
• EUR-Lex, Directive (UE) 2022/2555 (NIS2), articles 20, 21 et 41.
• Assemblée nationale, Dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
• Sénat, Amendement n° 1 rectifié quinquies (article 16 bis), séance du 12 mars 2025.
• Sénat, Rapport de la commission spéciale sur le projet de loi.
• Sénat, Commission des lois, compte rendu de la semaine du 29 juin 2026.
• Légifrance, Décret du 15 juin 2026 portant convocation du Parlement en session extraordinaire.
• ANSSI, La directive NIS 2 et MesServicesCyber, directive NIS 2.
• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• Ministère de l'Économie, Accès illégitimes au système d'information de la DGFiP, communiqué du 14 août 2026.