Droit Vivant · Droit du numérique & cybersécurité (NIS2) · 19 juillet 2026

Anne Le Hénanff espérait septembre : Bruxelles n'a pas attendu, la France convoquée devant la Cour de justice de l'UE pour sa loi cyber

Principe-clé : l'article 260 § 3 du TFUE permet à la Commission européenne de demander, dès son premier recours en manquement contre un État membre qui n'a pas notifié la transposition d'une directive adoptée selon la procédure législative ordinaire, une sanction financière immédiate — somme forfaitaire et astreinte journalière — sans attendre un second arrêt de la Cour de justice.

Textes de référence

Directive (UE) 2022/2555, art. 41 — NIS2 : délai de transposition fixé au 17 octobre 2024.
Art. 258 TFUE — recours en manquement pour non-respect du droit de l'Union.
Art. 260 § 3 TFUE — sanction financière immédiate en cas de défaut de notification des mesures de transposition d'une directive.
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté en 1^re lecture par le Sénat le 12 mars 2025 (texte n° 33, 2024-2025).

L'affaire

Le 8 juillet 2026, la Commission européenne annonce (communiqué IP/26/1499) sa décision de saisir la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas, faute d'avoir notifié une transposition complète de la directive NIS2. Le calendrier est sans ambiguïté : délai expiré le 17 octobre 2024, mise en demeure le 28 novembre 2024, avis motivé le 7 mai 2025 — puis, faute de réaction suffisante, ce renvoi devant la Cour, assorti d'une demande de sanctions financières.

Côté français, le texte transposant NIS2 (ainsi que les directives REC et DORA), adopté par le Sénat en mars 2025, reste bloqué à l'Assemblée nationale. Début juillet, la ministre déléguée à l'Intelligence artificielle et au Numérique, Anne Le Hénanff, a indiqué espérer un examen « à la rentrée » de septembre 2026 — sans certitude. Plusieurs observateurs, dont la Commission supérieure du numérique et des postes, situent le point de blocage à l'article 16 bis, ajouté au Sénat, qui interdit d'imposer des portes dérobées (« backdoors ») dans les solutions de chiffrement des messageries, une disposition à laquelle la DGSI serait opposée.

Pourquoi c'est important

Pour un chercheur en cybersécurité ou un consultant en automatisation offensive, ce dossier a un double intérêt. D'abord un intérêt pratique immédiat : des milliers d'entités françaises entrant dans le périmètre NIS2 (gestion des risques, notification d'incidents à 24h/72h, enregistrement auprès de l'ANSSI) évoluent dans un flou juridique tant que la loi nationale n'est pas votée — un terrain d'audit et de conseil en soi. Ensuite un intérêt de fond : le blocage politique porte précisément sur l'interdiction des portes dérobées de chiffrement, un sujet qui touche directement à l'ingénierie de la sécurité offensive et défensive, et qui fait écho au débat « Chat Control » déjà suivi dans ce dépôt le 11 juillet 2026.

Mini-glossaire

NIS2: Directive (UE) 2022/2555 du 14 décembre 2022, qui élargit et durcit les obligations de cybersécurité (gestion des risques, notification d'incidents, responsabilité de la direction) pour un périmètre étendu d'entités jugées essentielles ou importantes dans l'Union européenne.
Recours en manquement (art. 258 TFUE): Procédure par laquelle la Commission européenne saisit la Cour de justice de l'UE contre un État membre qui n'a pas respecté ses obligations issues du droit de l'Union, après une phase précontentieuse (mise en demeure, avis motivé).
Astreinte financière (art. 260 § 3 TFUE): Sanction pécuniaire — somme forfaitaire et/ou astreinte journalière — que la Cour peut prononcer, dès le premier arrêt, contre un État qui n'a pas notifié à temps les mesures nationales transposant une directive.
Porte dérobée (« backdoor »): Mécanisme d'accès dissimulé ou imposé à un système de chiffrement, permettant à un tiers (autorité, éditeur) de contourner la protection normalement offerte à l'utilisateur ; débat central de l'article 16 bis du projet de loi « résilience ».