Brief — La France jugée à Luxembourg pour une loi cyber jamais votée : 15 000 entreprises attendent, et quatre lignes anti-« porte dérobée » sont au cœur du blocage

Thème : droit du numérique — cybersécurité (NIS2, recours en manquement, effet direct des directives)

Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas, faute d'avoir notifié les mesures transposant la directive (UE) 2022/2555 dite « NIS2 », dont l'article 41 § 1 fixait l'échéance au 17 octobre 2024 — après des mises en demeure le 28 novembre 2024 et des avis motivés adressés à 19 États membres le 7 mai 2025. La saisine comporte une demande de sanctions financières : une somme forfaitaire et une astreinte journalière courant jusqu'à la notification d'une transposition complète, mécanisme ouvert dès la première saisine par l'article 260 § 3 du TFUE lorsque le manquement consiste précisément en un défaut de communication des mesures de transposition.

Le véhicule français existe pourtant : le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », qui transpose NIS2 et la directive REC et accompagne le règlement DORA, a été déposé au Sénat en octobre 2024 (PJL n° 33), adopté par le Sénat le 12 mars 2025 en procédure accélérée, transmis à l'Assemblée nationale sous le n° 1112, puis adopté à l'unanimité en commission spéciale en septembre 2025 — avant de disparaître de l'ordre du jour. Il n'a pas été inscrit à la session extraordinaire de juillet 2026 ; l'examen en séance publique est désormais attendu en septembre 2026. Le point de friction est public : l'article 16 bis, issu d'un amendement du sénateur Olivier Cadic, interdit d'imposer aux fournisseurs de services de chiffrement, messageries comprises, l'intégration de portes dérobées. Le député Philippe Latombe, président de la commission spéciale à l'Assemblée nationale, déclare publiquement que les services de renseignement en veulent la suppression et qu'il n'y aura pas de transposition tant qu'il subsiste ; la délégation parlementaire au renseignement juge de son côté que le dispositif excède l'ambition initiale de ses auteurs. Aucune juridiction n'a tranché ce désaccord, qui reste politique.

L'enseignement juridique est contre-intuitif. Beaucoup d'entreprises se croient « en retard sur NIS2 » : juridiquement, c'est l'inverse. Tant que la loi n'est pas votée, les quelque 15 000 entités françaises visées par les 18 secteurs de la directive ne sont soumises à aucune obligation NIS2 en droit interne — une directive ne produit pas d'effet direct à la charge d'un particulier ou d'une entreprise, principe constant depuis les arrêts Ratti (aff. 148/78, 5 avril 1979) et Marshall (aff. 152/84, 26 février 1986). Le manquement est celui de l'État, et c'est l'État qui paiera. La nuance à ne pas manquer : DORA est un *règlement*, directement applicable depuis le 17 janvier 2025 aux entités financières, et le RGPD comme la LPM 2019 continuent d'imposer leurs propres exigences de sécurité.

Pour un praticien de la sécurité offensive ou de l'automatisation de la conformité, la conséquence est très concrète : dans une veille réglementaire, la date de publication d'une directive ne dit rien de son opposabilité. La donnée pertinente est la notification de transposition par l'État — et, à défaut, la position du dossier d'infraction. Sur le fond, le blocage français pose frontalement une question que le contentieux à venir n'arbitrera pas : un État peut-il simultanément exiger le chiffrement au titre de la cybersécurité et vouloir s'en réserver la clé au titre du renseignement ?

Brief — La France jugée à Luxembourg pour une loi cyber jamais votée : 15 000 entreprises attendent, et quatre lignes anti-« porte dérobée » sont au cœur du blocage

Sources