# Quand l'État est le retardataire : la France devant la Cour de justice pour n'avoir pas transposé NIS2

## Le fait déclencheur

Le 8 juillet 2026, la Commission européenne a annoncé sa décision de saisir la Cour de justice de l'Union européenne contre quatre États membres — l'Irlande, l'Espagne, la France et les Pays-Bas — pour n'avoir pas notifié les mesures nationales transposant la directive (UE) 2022/2555, universellement connue sous le nom de « NIS2 ». Cette directive avait fixé, à son article 41, paragraphe 1, une date limite de transposition au 17 octobre 2024, les mesures nationales devant s'appliquer à compter du 18 octobre 2024. Nous sommes en août 2026 : le retard français approche les vingt-deux mois.

La procédure a suivi son cours normal. La Commission a envoyé des lettres de mise en demeure le 28 novembre 2024, puis des avis motivés à dix-neuf États membres le 7 mai 2025. La plupart se sont exécutés. Quatre ne l'ont pas fait, et se retrouvent aujourd'hui devant la Cour. Détail décisif : la saisine comporte une demande de sanctions financières — une somme forfaitaire, et une astreinte journalière qui courra jusqu'à la notification d'une transposition complète.

## Comprendre la mécanique juridique

Pour saisir l'enjeu, il faut distinguer trois notions que l'on confond souvent.

D'abord, la nature de l'acte. L'article 288 du traité sur le fonctionnement de l'Union européenne (TFUE) oppose le règlement, directement applicable dans tous les États membres, et la directive, qui « lie tout État membre destinataire quant au résultat à atteindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens ». Une directive n'est donc pas une loi : c'est une commande de loi adressée à vingt-sept législateurs nationaux, avec une date de livraison.

Ensuite, la sanction du retard. L'article 258 du TFUE organise le recours en manquement : mise en demeure, avis motivé, puis saisine de la Cour si l'État persiste. C'est une procédure lente, volontairement graduée, qui laisse plusieurs occasions de se mettre en règle.

Enfin — et c'est ici que le dossier devient intéressant — l'article 260, paragraphe 3, du TFUE. Introduit par le traité de Lisbonne, il vise un cas très particulier : le défaut de communication des mesures de transposition d'une directive adoptée selon une procédure législative. Dans le régime ordinaire, un État condamné une première fois ne risque une sanction pécuniaire que s'il n'exécute pas l'arrêt et qu'un second recours aboutit. L'article 260, paragraphe 3, court-circuite cette double détente : la Commission peut chiffrer, dès la première saisine, une somme forfaitaire et une astreinte, et la Cour peut les prononcer dans la limite du montant indiqué. La Commission propose désormais systématiquement les deux, et c'est exactement ce qu'elle fait ici.

## Le paradoxe : les entreprises françaises ne sont pas en infraction

Voici le point que la couverture médiatique manque presque toujours. Beaucoup de dirigeants français croient que leur entreprise est « en retard sur NIS2 ». Juridiquement, c'est faux, et il faut être précis.

Une directive non transposée peut, sous conditions — disposition claire, précise, inconditionnelle, délai expiré — être invoquée par un particulier contre l'État défaillant. C'est l'effet direct dit vertical ascendant, dégagé par la Cour dans l'arrêt Ratti du 5 avril 1979 (affaire 148/78), sur le fondement d'un raisonnement d'estoppel : l'État ne peut opposer à un justiciable son propre manquement. Mais la Cour a toujours refusé le mouvement inverse. Dans l'arrêt Marshall du 26 février 1986 (affaire 152/84), elle juge qu'une directive ne peut par elle-même créer d'obligations dans le chef d'un particulier. Dans Kolpinghuis Nijmegen (affaire 80/86, 8 octobre 1987), elle refuse qu'un État puisse invoquer une directive non transposée pour aggraver la situation pénale d'un administré.

Conséquence directe : tant que la loi française n'est pas votée, les quelque quinze mille entités que l'ANSSI estime concernées par les dix-huit secteurs de NIS2 ne sont soumises à aucune obligation NIS2 en droit interne. Pas de déclaration à l'ANSSI, pas de délai de notification d'incident à vingt-quatre heures, pas de responsabilité personnelle des dirigeants, pas d'amendes administratives — celles que l'article 34 de la directive fixe à au moins dix millions d'euros ou deux pour cent du chiffre d'affaires mondial pour les entités essentielles, sept millions ou un virgule quatre pour cent pour les entités importantes.

Attention toutefois à ne pas surgénéraliser. DORA, qui encadre la résilience opérationnelle numérique du secteur financier, est un règlement : il est directement applicable depuis le 17 janvier 2025, sans aucune loi française. Le RGPD, également un règlement, impose déjà à son article 32 une obligation de sécurité que la CNIL sanctionne activement. Et la loi de programmation militaire de 2019 confère à l'ANSSI des prérogatives propres. Le vide concerne NIS2, pas la cybersécurité en général.

## Pourquoi la France bloque : l'article 16 bis

Le véhicule législatif existe et il est très avancé. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024 sous le numéro 33, transpose d'un même mouvement NIS2 et la directive REC sur la résilience des entités critiques, et adapte le droit national à DORA. Le Sénat l'a adopté le 12 mars 2025 après engagement de la procédure accélérée. Transmis à l'Assemblée nationale sous le numéro 1112, il a été adopté à l'unanimité en commission spéciale en septembre 2025.

Puis plus rien. Le texte n'a pas été inscrit à l'ordre du jour de la session extraordinaire de juillet 2026. L'examen en séance publique est désormais attendu en septembre 2026.

Le point de friction est identifié publiquement par les parlementaires eux-mêmes : l'article 16 bis, issu d'un amendement du sénateur Olivier Cadic, qui interdit d'imposer aux fournisseurs de services de chiffrement — messageries incluses — l'intégration de portes dérobées. Le député Philippe Latombe, président de la commission spéciale à l'Assemblée nationale, a déclaré en conférence de presse que les services de renseignement souhaitent la suppression de cet article, et que tant qu'il subsiste, il n'y aura pas de transposition. La délégation parlementaire au renseignement a estimé que le dispositif dépassait l'ambition initiale de ses auteurs et présentait un risque pour la politique de renseignement. Il faut être rigoureux : ce sont des positions institutionnelles et des déclarations publiques dans un débat politique ouvert, pas des faits jugés ni des fautes imputées à quiconque.

## La contradiction de fond

Le blocage n'est pas anecdotique, parce qu'il met à nu une contradiction que peu de gouvernements européens acceptent de formuler. NIS2 est un texte qui *impose* le chiffrement : son article 21 range explicitement les politiques de cryptographie parmi les mesures de gestion des risques exigées des entités essentielles et importantes. Au même moment, la doctrine du renseignement réclame de pouvoir accéder aux communications chiffrées de personnes surveillées. Un État peut-il simultanément exiger le chiffrement au titre de la cybersécurité et vouloir s'en réserver la clé au titre de la sécurité intérieure ?

L'argument technique des opposants aux portes dérobées est indépendant de toute position politique : une porte dérobée n'est pas ciblée. C'est une propriété du système, pas de l'utilisateur. Un mécanisme d'accès conçu pour une autorité légitime devient, dès qu'il est découvert, un mécanisme d'accès pour un attaquant. L'histoire des télécommunications l'a démontré plusieurs fois, notamment lorsque des interfaces d'interception légale ont elles-mêmes été compromises.

## Ce qu'il faut retenir

Trois enseignements pratiques. Premièrement, dans une veille réglementaire, la date d'entrée en vigueur d'une directive ne dit rien de son opposabilité : la seule donnée qui compte est la notification de transposition par l'État, et à défaut, l'état du dossier d'infraction. Deuxièmement, la distinction règlement / directive doit être un champ de première classe dans tout référentiel de conformité automatisé — confondre les deux produit mécaniquement des alertes fausses dans les deux sens. Troisièmement, un retard de transposition n'est pas un espace de liberté durable : il crée une dette de conformité qui se paiera d'un coup, avec un délai d'application souvent très court une fois la loi promulguée.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq façons d'exploiter cette source selon ce que vous cherchez. Choisissez-en une seule et collez-la telle quelle dans le champ de personnalisation.

**Angle 1 — Cartographie du vide juridique.** Concentre-toi sur ce qui s'applique et ce qui ne s'applique pas aujourd'hui aux entreprises françaises. Construis une distinction nette entre les règlements directement applicables (DORA, RGPD, AI Act) et les directives en attente de transposition (NIS2, REC). Explique concrètement quelles obligations une entité de taille intermédiaire française doit réellement respecter en août 2026, et lesquelles relèvent de l'anticipation volontaire.

**Angle 2 — Audit offensif et points de contrôle techniques.** Traite la source du point de vue d'un pentesteur qui prépare une mission chez un futur assujetti NIS2. Déduis de l'article 21 de la directive et du contexte français une liste de points de contrôle à tester en priorité : gestion des accès, politiques cryptographiques, chaîne d'approvisionnement logicielle, capacités de détection et de notification d'incident. Précise ce qu'un rapport d'audit peut affirmer en l'absence de texte national opposable.

**Angle 3 — Le débat cryptographique, arguments contre arguments.** Développe uniquement la controverse sur l'article 16 bis. Présente de manière équilibrée l'argument des services de renseignement sur l'accès aux communications de cibles surveillées, et l'argument technique selon lequel une porte dérobée est une propriété non ciblable du système. Rattache le débat à l'obligation de chiffrement posée par NIS2 elle-même et aux précédents européens en matière d'accès légal.

**Angle 4 — Veille réglementaire automatisée.** Adopte l'angle de l'ingénieur qui conçoit un pipeline de veille juridique. Explique quelles données doivent être suivies pour ne pas se tromper sur l'opposabilité d'un texte : type d'acte, date de transposition, notification à la Commission, état du dossier d'infraction, position dans la navette parlementaire nationale. Propose une modélisation de ces champs et les sources officielles interrogeables pour chacun.

**Angle 5 — Prospective contentieuse et comparaison avec les dossiers déjà couverts.** Projette la suite : quel montant de somme forfaitaire et d'astreinte la Cour pourrait retenir, sur quels critères, et à quelle échéance. Compare la logique de sanction de l'article 260, paragraphe 3, du TFUE — qui frappe l'État — avec les régimes de sanction qui frappent les acteurs privés déjà traités dans ce dépôt : l'amende CNIL de cinq millions d'euros contre France Travail (article 83 du RGPD) et les paliers de l'article 99 de l'AI Act. Fais ressortir ce que ces trois régimes ont en commun et ce qui les sépare.