La transposition NIS2 tourne au contentieux. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne (CJUE) contre l’Irlande, l’Espagne, la France et les Pays-Bas. Ces quatre États n’ont pas notifié les mesures transposant intégralement la directive (UE) 2022/2555, dite NIS2.
Pour les organismes français, la décision met donc fin à une ambiguïté confortable. Attendre le texte national ne tient plus.
Transposition NIS2 : une procédure d’infraction arrivée à son terme
En effet, les États membres avaient jusqu’au 17 octobre 2024 pour transposer la directive. La Commission a adressé des lettres de mise en demeure le 28 novembre 2024, puis des avis motivés le 7 mai 2025. Elle demande désormais à la Cour d’infliger une somme forfaitaire et des astreintes journalières, jusqu’à la notification d’une transposition complète.
En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le Sénat l’a adopté le 12 mars 2025 et l’a transmis à l’Assemblée nationale le lendemain. Depuis, le texte attend toujours son adoption définitive. Il désigne l’Agence nationale de la sécurité des systèmes d’information (ANSSI) comme autorité nationale pour NIS2.
La directive couvre 18 secteurs critiques, dont la santé, l’énergie, les transports et le secteur public. Un établissement de santé ou le prestataire informatique d’un hôpital a donc toutes les raisons de vérifier sa situation sans attendre le vote.
Pourquoi le retard de la directive NIS2 ne vous protège pas
Beaucoup de responsables raisonnent ainsi : tant que la loi française n’est pas publiée, aucune obligation nouvelle ne pèse sur eux. Ce calcul ignore d’abord le RGPD, déjà en vigueur. L’article 32 exige des mesures techniques et organisationnelles adaptées au risque. L’article 33 impose de notifier à la Commission nationale de l’informatique et des libertés (CNIL) une violation présentant un risque, dans les 72 heures. Enfin, l’article 34 impose d’informer les personnes lorsque le risque est élevé.
Une organisation incapable de détecter, qualifier et notifier un incident manque donc déjà à ses obligations, indépendamment de NIS2. De plus, une fois la loi votée, une même cyberattaque pourra déclencher deux régimes de notification : celui du RGPD auprès de la CNIL, celui de NIS2 auprès de l’ANSSI.
Ensuite, la chaîne contractuelle n’attend pas le législateur. L’article 21 de la directive impose aux entités essentielles et importantes de gérer la sécurité de leur chaîne d’approvisionnement, y compris leurs relations avec leurs fournisseurs directs. Par conséquent, leurs clauses et questionnaires de sécurité atteignent leurs prestataires avant la loi française.
Enfin, les attentes sont connues. L’ANSSI a dévoilé le 17 mars 2026 le Référentiel Cyber France (ReCyF), en version document de travail, pour permettre aux entités d’anticiper.
NIS2 en France : les actions à lancer cet été
D’abord, déterminez si votre organisme entre dans le champ de NIS2, en croisant secteur d’activité, effectif et chiffre d’affaires. Documentez ainsi cette analyse : elle prouvera votre diligence. Ensuite, mesurez votre niveau de sécurité à partir du ReCyF.
Rapprochez aussi votre registre des traitements de votre cartographie des systèmes d’information. Les équipes mènent souvent ces deux exercices séparément, alors qu’ils portent sur les mêmes actifs. DPO Suite, l’application de conformité de DPO FRANCE, gère au même endroit le registre et les audits NIS2.
Testez ensuite votre chaîne d’alerte. Une notification à la CNIL en 72 heures suppose que l’incident remonte au délégué à la protection des données en quelques heures. Construisez une procédure unique qui couvre les obligations du RGPD et les futures notifications NIS2, et organisez un exercice de crise, week-end compris. Articuler plainte et notification à la CNIL fait partie de ce scénario.
Revoyez enfin vos contrats de sous-traitance au regard de l’article 28 du RGPD. Ajoutez des engagements de notification rapide et de coopération en cas d’incident.
La saisine de la Cour ne crée aucune obligation directe pour votre organisme. Elle signale toutefois que la fenêtre de tolérance se referme et que la loi française arrivera sous pression.
Sources
La saisine de la Cour et le calendrier de la procédure figurent dans le communiqué de la Commission européenne, que le cabinet Hunton analyse dans European Commission Refers Four Member States to CJEU Over NIS2 Transposition Delays : Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity.
L’avancement du projet de loi se suit sur le dossier législatif du Sénat Résilience des infrastructures critiques et renforcement de la cybersécurité.
La présentation du ReCyF est annoncée par l’ANSSI dans NIS 2 : l’ANSSI poursuit et renforce sa dynamique d’accompagnement.
L’article 21 de la directive, qui fixe les mesures de gestion des risques et cite la sécurité de la chaîne d’approvisionnement, se lit sur EUR-Lex : Directive (UE) 2022/2555 du Parlement européen et du Conseil.
Questions fréquentes
Pourquoi la France est-elle renvoyée devant la Cour de justice pour NIS2 ?
La France n’a pas notifié à la Commission les mesures transposant intégralement la directive NIS2, dont l’échéance était fixée au 17 octobre 2024. Après une mise en demeure et un avis motivé, la Commission a saisi la Cour le 8 juillet 2026.
Quelles sanctions la Commission demande-t-elle contre la France ?
La Commission demande à la Cour d’imposer une somme forfaitaire et des astreintes journalières jusqu’à la notification d’une transposition complète. Le montant relève de la décision de la Cour.
Où en est la loi française de transposition de NIS2 ?
Le Sénat a adopté le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité le 12 mars 2025. Il attend toujours son adoption définitive à l’Assemblée nationale.
NIS2 s’applique-t-elle avant la loi française ?
La directive ne crée pas directement d’obligations pour les organismes tant que la loi française n’est pas adoptée. Le RGPD impose toutefois déjà la sécurité des traitements et la notification des violations, et les donneurs d’ordre soumis à NIS2 répercutent leurs exigences sur leurs fournisseurs.
Qui contrôlera NIS2 en France ?
L’ANSSI sera l’autorité nationale pour NIS2, selon le projet de loi. Les violations de données personnelles restent à notifier à la CNIL au titre du RGPD.
