# Brief — La France jugée à Luxembourg pour une loi cyber jamais votée : 15 000 entreprises attendent, et quatre lignes anti-« porte dérobée » sont au cœur du blocage

**Thème : droit du numérique — cybersécurité (NIS2, recours en manquement, effet direct des directives)**

Le **8 juillet 2026**, la Commission européenne a décidé de saisir la **Cour de justice de l'Union européenne** contre l'**Irlande, l'Espagne, la France et les Pays-Bas**, faute d'avoir notifié les mesures transposant la **directive (UE) 2022/2555** dite « NIS2 », dont l'**article 41 § 1** fixait l'échéance au **17 octobre 2024** — après des mises en demeure le **28 novembre 2024** et des avis motivés adressés à 19 États membres le **7 mai 2025**. La saisine comporte une demande de **sanctions financières : une somme forfaitaire et une astreinte journalière** courant jusqu'à la notification d'une transposition complète, mécanisme ouvert dès la première saisine par l'**article 260 § 3 du TFUE** lorsque le manquement consiste précisément en un défaut de communication des mesures de transposition.

Le véhicule français existe pourtant : le projet de loi **« résilience des infrastructures critiques et renforcement de la cybersécurité »**, qui transpose NIS2 et la directive REC et accompagne le règlement DORA, a été déposé au Sénat en octobre 2024 (**PJL n° 33**), **adopté par le Sénat le 12 mars 2025** en procédure accélérée, transmis à l'Assemblée nationale sous le **n° 1112**, puis **adopté à l'unanimité en commission spéciale en septembre 2025** — avant de disparaître de l'ordre du jour. Il n'a pas été inscrit à la session extraordinaire de juillet 2026 ; l'examen en séance publique est désormais attendu en septembre 2026. Le point de friction est public : l'**article 16 bis**, issu d'un amendement du sénateur **Olivier Cadic**, interdit d'imposer aux fournisseurs de services de chiffrement, messageries comprises, l'intégration de **portes dérobées**. Le député **Philippe Latombe**, président de la commission spéciale à l'Assemblée nationale, déclare publiquement que les services de renseignement en veulent la suppression et qu'il n'y aura pas de transposition tant qu'il subsiste ; la délégation parlementaire au renseignement juge de son côté que le dispositif excède l'ambition initiale de ses auteurs. Aucune juridiction n'a tranché ce désaccord, qui reste politique.

L'enseignement juridique est contre-intuitif. Beaucoup d'entreprises se croient « en retard sur NIS2 » : juridiquement, c'est l'inverse. Tant que la loi n'est pas votée, les quelque **15 000 entités françaises** visées par les 18 secteurs de la directive ne sont soumises à **aucune obligation NIS2 en droit interne** — une directive ne produit pas d'effet direct à la charge d'un particulier ou d'une entreprise, principe constant depuis les arrêts **Ratti** (aff. 148/78, 5 avril 1979) et **Marshall** (aff. 152/84, 26 février 1986). Le manquement est celui de l'État, et c'est l'État qui paiera. La nuance à ne pas manquer : **DORA** est un *règlement*, directement applicable depuis le 17 janvier 2025 aux entités financières, et le RGPD comme la LPM 2019 continuent d'imposer leurs propres exigences de sécurité.

Pour un praticien de la sécurité offensive ou de l'automatisation de la conformité, la conséquence est très concrète : dans une veille réglementaire, **la date de publication d'une directive ne dit rien de son opposabilité**. La donnée pertinente est la notification de transposition par l'État — et, à défaut, la position du dossier d'infraction. Sur le fond, le blocage français pose frontalement une question que le contentieux à venir n'arbitrera pas : un État peut-il simultanément **exiger** le chiffrement au titre de la cybersécurité et **vouloir s'en réserver la clé** au titre du renseignement ?

## Sources

- [Commission européenne — « Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity », 8 juillet 2026 (IP/26/1499)](https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1499)
- [Commission européenne, Shaping Europe's digital future — même communiqué, version détaillée du 8 juillet 2026](https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules)
- [Commission européenne — état de la transposition de NIS2 dans les États membres (avis motivés du 7 mai 2025 à 19 États)](https://digital-strategy.ec.europa.eu/en/policies/nis-transposition)
- [Commission européenne — mises en demeure du 28 novembre 2024 (INF/24/5988)](https://ec.europa.eu/commission/presscorner/detail/en/inf_24_5988)
- [Commission européenne — avis motivés du 7 mai 2025 (INF/25/982)](https://ec.europa.eu/commission/presscorner/detail/en/inf_25_982)
- [EUR-Lex — Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), texte intégral](https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng)
- [EUR-Lex — Directive (UE) 2022/2555, version consolidée au 27 décembre 2022](https://eur-lex.europa.eu/eli/dir/2022/2555/2022-12-27/eng)
- [EUR-Lex — Communication de la Commission sur la mise en œuvre de l'article 260, paragraphe 3, du TFUE (JO C 12 du 15 janvier 2011)](https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2011:012:0001:0005:FR:PDF)
- [Sénat — dossier législatif « Résilience des infrastructures critiques et renforcement de la cybersécurité » (PJL n° 33, 2024-2025)](https://www.senat.fr/dossier-legislatif/pjl24-033.html)
- [Assemblée nationale — dossier législatif du projet de loi (17e législature, DLR5L17N50731)](https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731)
- [Assemblée nationale — texte n° 1112 transmis par le Sénat le 13 mars 2025](https://www.assemblee-nationale.fr/dyn/17/textes/l17b1112_projet-loi)
- [ANSSI — la directive NIS 2 (périmètre, secteurs, entités concernées)](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/)
- [L'Usine Digitale — « Retard de NIS 2 : le dispositif anti-backdoor qui cristallise l'affrontement entre la DGSI et les parlementaires » (contexte politique)](https://www.usine-digitale.fr/cybersecurite/retard-de-nis-2-le-dispositif-anti-backdoor-qui-cristallise-laffrontement-entre-la-dgsi-et-les-parlementaires.OQR4357ALNBO7GT7KK5SFNZOPQ.html)
- [Next — « Cybersécurité : la transposition de NIS2 continue de traîner des pieds » (calendrier parlementaire)](https://next.ink/242574/cybersecurite-la-transposition-de-nis2-continue-de-trainer-des-pieds/)
- [Acteurs publics — « Des parlementaires accusent l'Intérieur de freiner l'adoption de la loi Résilience et Cybersécurité »](https://acteurspublics.fr/articles/comment-linterieur-tente-de-faire-freiner-la-transposition-de-la-loi-resilience-et-cybersecurite/)