Cybersécurité : la France devant la CJUE pour le retard NIS 2
D'après Commission européenne - paquet d'infractions du 8 juillet 2026 (section Digital economy)
Guillaume Périgois / Unsplash
Rédigé à partir de la source originale; chaque fait est vérifié contre le texte source.
À retenir
- La procédure vise la France (dossier INFR(2024)0274) aux côtés de l'Irlande, de l'Espagne et des Pays-Bas, tous en défaut de transposition de la directive (UE) 2022/2555, dite NIS 2.
- La chronologie officielle est longue : mise en demeure le 28 novembre 2024 (23 États visés), avis motivé le 7 mai 2025, puis saisine de la Cour le 8 juillet 2026.
- La Commission demande à la Cour une somme forfaitaire et une astreinte journalière, dues jusqu'à la notification d'une transposition complète.
- Le projet de loi français de transposition (résilience des infrastructures critiques et renforcement de la cybersécurité) est bloqué : adopté au Sénat le 12 mars 2025, adopté en commission spéciale de l'Assemblée nationale le 10 septembre 2025, il n'a jamais été voté en séance publique depuis.
- NIS 2 impose des exigences de cybersécurité élevées à 18 secteurs critiques, dont la santé, l'énergie, les transports et le secteur public.
Pourquoi ça compte
Le contraste est frappant : le gouvernement avait engagé la procédure accélérée dès octobre 2024, mais le texte dort en séance publique depuis près d'un an. Ce retard expose désormais la France à des sanctions financières européennes, pendant que les organisations françaises des 18 secteurs critiques restent sans cadre légal national clair pour appliquer NIS 2.
Chiffre-clé
4 États membres renvoyés devant la Cour de justice le 8 juillet 2026 pour non-transposition de NIS 2 - la France, l'Irlande, l'Espagne et les Pays-Bas - selon le paquet d'infractions de la Commission européenne.
Citation
« The referrals include a request to the Court to impose financial sanctions, a lump sum and daily penalties until notification of complete transposition » Commission européenne, paquet d'infractions du 8 juillet 2026
Action concrète
Pour une organisation visée par NIS 2, inutile d'attendre la loi française : la directive (UE) 2022/2555, publiée sur EUR-Lex, décrit déjà les obligations qui s'imposeront - analyse de risques, notification des incidents, sécurité de la chaîne d'approvisionnement.
Repères datés
- 2024-11-28 - Mise en demeure de la Commission européenne à 23 États membres, dont la France
- 2025-03-12 - Le Sénat adopte le projet de loi de transposition en première lecture (procédure accélérée)
- 2025-09-10 - La commission spéciale de l'Assemblée nationale adopte son texte, jamais inscrit en séance publique depuis
- 2026-07-08 - La Commission saisit la Cour de justice et demande des sanctions financières
Fondée sur la source originale
