La Commission européenne a décidé de saisir la Cour de justice de l'Union européenne (CJUE) contre la France et l'Espagne pour leur non-respect de la directive NIS2 sur la cybersécurité. Selon des informations obtenues par FrenchBreaches, ces deux pays n'ont pas transposé la directive dans leur droit national dans les délais impartis.
Cette décision s'inscrit dans un contexte marqué par une augmentation des cyberattaques visant les infrastructures critiques en Europe. La directive NIS2, adoptée en 2022, impose aux États membres de renforcer les exigences de sécurité applicables aux secteurs essentiels au fonctionnement de l'économie et des services publics, tels que l'énergie, les transports, l'eau, la santé ou les infrastructures numériques.
Ce qu'il faut retenir
- La Commission européenne envisage de saisir la CJUE contre la France et l'Espagne pour non-transposition de la directive NIS2 avant fin 2026.
- L'échéance initiale pour la transposition était fixée à octobre 2024, mais la plupart des États membres n'ont pas respecté ce délai.
- La directive NIS2 vise à renforcer la protection des infrastructures critiques contre les cyberattaques, avec un cadre réglementaire homogène à l'échelle européenne.
- La France a choisi de regrouper la transposition de la directive NIS2 avec celle de la directive CER, ce qui a entraîné des retards supplémentaires.
- D'autres États membres pourraient également faire l'objet de poursuites pour non-respect des obligations.
- La CJUE pourrait imposer des sanctions financières pouvant atteindre plusieurs dizaines de millions d'euros en cas de manquement persistant.
Un durcissement de la position de Bruxelles face aux retards persistants
La Commission européenne a progressivement durci le ton envers les États membres qui n'ont pas respecté l'échéance fixée à octobre 2024 pour transposer la directive NIS2. Après des mises en demeure et des avis motivés, Bruxelles estime désormais que certaines situations justifient une saisine de la justice européenne. Selon des informations obtenues par Politico Europe et confirmées par FrenchBreaches, la France et l'Espagne figurent parmi les pays les plus en retard.
Un responsable français a confirmé que les services compétents travaillent déjà à la préparation de la défense de l'État devant la CJUE. « La transposition de la directive NIS2 est une priorité pour la sécurité de notre pays et de l'Europe », a-t-il déclaré. « Nous prenons cette procédure très au sérieux et préparons notre réponse en conséquence. »
La France et l'Espagne freinées par des choix législatifs nationaux
Le dossier français est particulièrement complexe en raison du choix des autorités de regrouper la transposition de la directive NIS2 avec celle de la directive CER, consacrée à la résilience des infrastructures critiques. Ce projet législatif commun a connu plusieurs reports successifs et ne devrait désormais être examiné qu'à l'automne 2026. Cette stratégie a contribué à retarder significativement l'adoption des mesures nécessaires.
De son côté, l'Espagne n'a pas encore finalisé la transposition de la directive, malgré les relances répétées de la Commission. Selon des sources européennes, Madrid pourrait également faire l'objet de poursuites dans les prochaines semaines. D'autres États membres, tels que l'Italie, la Belgique ou les Pays-Bas, sont également dans le collimateur de Bruxelles pour des retards similaires.
Des sanctions financières potentiellement lourdes en cas de condamnation
La saisine de la CJUE ouvre la voie à plusieurs scénarios. La juridiction européenne peut accorder un délai supplémentaire aux États concernés, mais elle dispose également du pouvoir d'imposer des sanctions financières lorsque les manquements persistent. À ce stade, aucune décision n'a été prise concernant le montant d'éventuelles amendes, mais dans ce type de procédure, les sanctions peuvent atteindre plusieurs dizaines de millions d'euros selon la durée du retard et la gravité du manquement constaté.
Pour Bruxelles, l'enjeu dépasse largement le simple respect d'un calendrier administratif. Dans un contexte de multiplication des cyberattaques visant les administrations, les entreprises stratégiques et les infrastructures critiques, l'application rapide de NIS2 est désormais considérée comme une priorité de sécurité pour l'ensemble de l'Union européenne. « L'homogénéité des règles est essentielle pour éviter que des failles nationales ne soient exploitées par des acteurs malveillants », a souligné un porte-parole de la Commission.
Un cadre réglementaire renforcé face à la menace cyber
La directive NIS2, adoptée en 2022, représente une avancée majeure dans la protection des infrastructures critiques européennes. Elle impose aux États membres d'adopter des mesures strictes pour sécuriser les secteurs essentiels, en collaboration avec les acteurs privés. Parmi les obligations figurent la mise en place de mécanismes de détection et de réponse aux cyberincidents, ainsi que des contrôles réguliers des systèmes critiques.
Avec plus de 70 % des États membres en retard dans la transposition, la pression de Bruxelles s'intensifie. La Commission a déjà lancé des procédures d'infraction contre une vingtaine de pays, mais la France et l'Espagne, en raison de leur poids économique et stratégique, font l'objet d'une attention particulière. « L'Europe ne peut pas se permettre des failles de sécurité dans des pays aussi importants que la France ou l'Espagne », a rappelé un expert en cybersécurité interrogé par FrenchBreaches.
Quels secteurs sont concernés par la directive NIS2 ?
La directive NIS2 s'applique à un large éventail de secteurs jugés critiques pour la sécurité et la stabilité de l'Union européenne. Parmi les principaux domaines concernés, on retrouve :
- L'énergie, incluant la production, le transport et la distribution d'électricité, de gaz et de pétrole ;
- Les transports, avec une attention particulière portée aux infrastructures ferroviaires, routières et aériennes ;
- Les réseaux et services de communication électroniques ;
- La santé, notamment les établissements hospitaliers et les systèmes de soins ;
- Les infrastructures numériques, telles que les centres de données et les services cloud ;
- Les secteurs de l'eau potable et de l'assainissement ;
- Les administrations publiques, y compris les services de sécurité et de défense.
Les entreprises opérant dans ces secteurs doivent se conformer à des exigences strictes en matière de cybersécurité, sous peine de sanctions. Les États membres sont tenus de superviser ces entreprises et de garantir que les mesures de protection sont effectivement mises en œuvre.
La directive NIS2 (Network and Information Security 2) est un texte européen adopté en 2022 pour renforcer la cybersécurité des infrastructures critiques. Elle impose aux États membres d'adopter des mesures strictes pour protéger les secteurs essentiels contre les cyberattaques, avec une échéance de transposition fixée à octobre 2024. Son objectif est de créer un cadre réglementaire homogène à l'échelle européenne pour éviter que des failles nationales ne soient exploitées par des acteurs malveillants.
En cas de condamnation par la CJUE, la France et l'Espagne pourraient être contraintes de payer des sanctions financières pouvant atteindre plusieurs dizaines de millions d'euros. Ces amendes dépendraient de la durée du retard et de la gravité du manquement. Par ailleurs, les deux pays devraient accélérer la transposition de la directive NIS2 pour se conformer aux exigences européennes, sous peine de nouvelles sanctions.
Face à l'urgence croissante des menaces cyber, l'application effective de la directive NIS2 devient un impératif pour la sécurité de l'Europe. Alors que la Commission européenne intensifie ses pressions sur les États retardataires, la France et l'Espagne devront rapidement trouver des solutions pour éviter des condamnations qui pourraient fragiliser leur position dans le paysage européen de la cybersécurité.
