art. 41 § 1 de la directive (UE) 2022/2555 dite « NIS2 » — transposition due au 17 octobre 2024, application des mesures au 18 octobre 2024art. 288 TFUE — la directive lie l'État quant au résultat, en laissant le choix de la forme et des moyensart. 258 TFUE — recours en manquement : mise en demeure, avis motivé, puis saisine de la Courart. 260 § 3 TFUE — en cas de défaut de communication des mesures de transposition, la Commission peut demander des sanctions pécuniaires dès la première saisineart. 32 § 6 et art. 34 § 4 et § 5 de NIS2 — responsabilité des dirigeants ; amendes d'au moins 10 M€ ou 2 % du chiffre d'affaires mondial (entités essentielles), 7 M€ ou 1,4 % (entités importantes)Le 8 juillet 2026, la Commission européenne annonce saisir la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas, faute d'avoir notifié les mesures transposant NIS2. La chronologie est implacable : échéance au 17 octobre 2024, mises en demeure le 28 novembre 2024, avis motivés à 19 États membres le 7 mai 2025. Quatre traînards restent — et la Commission demande à la Cour, sur le fondement de l'article 260 § 3 TFUE, d'imposer une somme forfaitaire et une astreinte journalière courant jusqu'à la notification d'une transposition complète.
Côté français, le véhicule existe pourtant : le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », qui transpose d'un même mouvement NIS2, la directive REC et accompagne le règlement DORA. Déposé au Sénat en octobre 2024, adopté par le Sénat le 12 mars 2025 en procédure accélérée, il est adopté à l'unanimité en commission spéciale à l'Assemblée nationale en septembre 2025… puis n'est plus inscrit en séance publique. Il n'a pas figuré à l'ordre du jour de la session extraordinaire de juillet 2026 ; l'examen dans l'hémicycle est désormais attendu en septembre 2026.
Le point de friction est public et assumé. L'article 16 bis, issu d'un amendement du sénateur Olivier Cadic, interdit d'imposer aux fournisseurs de services de chiffrement — messageries comprises — l'intégration de portes dérobées. Le député Philippe Latombe, président de la commission spéciale à l'Assemblée nationale, affirme publiquement que les services de renseignement veulent la disparition de cet article et que rien ne sera transposé tant qu'il subsiste. La délégation parlementaire au renseignement a de son côté estimé que le dispositif dépasse l'ambition initiale de ses auteurs. Aucune juridiction n'a tranché ce débat : il s'agit d'un désaccord politique documenté, non d'une faute imputée à quiconque.
Beaucoup d'entreprises françaises croient être « en retard sur NIS2 ». Juridiquement, c'est l'inverse : tant que la loi n'est pas votée, les quelque 15 000 entités concernées ne sont soumises à aucune obligation NIS2 en droit français. Une directive ne produit pas d'effet direct à la charge d'un particulier ou d'une entreprise — c'est l'enseignement constant depuis Ratti et Marshall. Le manquement est celui de l'État, et c'est l'État qui paiera. Attention toutefois à ne pas généraliser : DORA est un règlement, directement applicable depuis le 17 janvier 2025 aux entités financières, et le RGPD comme la LPM 2019 continuent d'imposer leurs propres exigences de sécurité.
Ce vide a un coût opérationnel. Les entités hésitent à engager des budgets sur un texte dont le périmètre exact — seuils, secteurs, régime de sanction, obligations de notification — dépendra des arbitrages de la navette. Et il a un coût stratégique : le débat sur l'article 16 bis pose frontalement la question de savoir si un État peut simultanément exiger le chiffrement au titre de la cybersécurité et vouloir s'en réserver la clé au titre du renseignement. Pour un praticien de la sécurité offensive, la leçon est concrète : dans une veille réglementaire automatisée, la date de publication d'une directive ne dit rien de son opposabilité. La seule donnée qui compte est la notification de transposition par l'État — et, à défaut, la position du dossier d'infraction devant la Cour.