NIS2 : la France devant la CJUE, ce que l'échéance change pour les entreprises

Le 8 juillet 2026, la Commission européenne a officiellement saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition de la directive NIS2 sur la cybersécurité. La France n'est pas seule visée : l'Irlande, les Pays-Bas et l'Espagne font l'objet de la même procédure. Pour les entreprises françaises qui suivent ce dossier depuis des mois, cette étape marque un changement de nature : on passe d'un retard administratif à une procédure contentieuse assortie d'une demande de sanctions financières.

Ce que signifie concrètement la saisine

La Commission demande à la Cour d'imposer des pénalités financières à la France, sous la forme d'une somme forfaitaire assortie d'astreintes journalières, jusqu'à la transposition complète des règles de la directive. La France accuse déjà un retard de plus de vingt mois sur diverses règles destinées à renforcer la sécurité des réseaux informatiques, et s'expose à une amende forfaitaire pouvant se chiffrer en millions d'euros, sans compter les astreintes quotidiennes de plusieurs dizaines de milliers d'euros jusqu'à la publication de la loi.

Ces sanctions visent l'État, pas les entreprises. Mais elles ont une conséquence directe pour ces dernières : elles accélèrent l'échéance. Un gouvernement sous astreinte journalière n'a plus d'intérêt à laisser traîner la transposition. La pression financière européenne devient un moteur de calendrier.

La loi résilience, véhicule de la transposition

En France, c'est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité qui doit transposer NIS2 en droit interne. Son examen a été de nouveau repoussé, au mieux à la rentrée parlementaire de septembre 2026, un report annoncé début juillet par la ministre déléguée chargée de l'intelligence artificielle et du numérique, Anne Le Hénanff. La combinaison de ce report et de la saisine de la CJUE crée une situation paradoxale : le texte est en retard, mais la pression pour l'adopter n'a jamais été aussi forte.

Pourquoi les entreprises doivent se préparer maintenant

Il serait tentant, pour une entreprise, de considérer que tant que la loi n'est pas publiée, rien ne l'oblige. Ce raisonnement est risqué pour trois raisons. D'abord, le périmètre de NIS2 est vaste : la directive concerne un nombre d'entités bien supérieur à celui de son prédécesseur, estimé à plusieurs milliers d'organisations en France, dans un grand nombre de secteurs jugés essentiels ou importants. Beaucoup d'entreprises qui n'étaient pas concernées par NIS1 le seront par NIS2.

Ensuite, les sanctions prévues par la directive pour les entités non conformes sont significatives, de l'ordre de plusieurs millions d'euros ou d'un pourcentage du chiffre d'affaires annuel mondial pour les entités les plus critiques. Ces montants justifient à eux seuls une préparation anticipée, car la mise en conformité ne se fait pas en quelques semaines.

Enfin, les exigences de fond de NIS2, gestion des risques, mesures techniques, notification des incidents dans des délais courts, sont indépendantes du calendrier législatif. Une organisation qui met en place dès maintenant une capacité de détection et de notification des incidents sera prête le jour où la loi entrera en vigueur, sans précipitation.

La détection au coeur de la conformité

Un aspect souvent sous-estimé de NIS2 est son exigence en matière de détection et de notification des incidents. La directive impose des délais de signalement courts, ce qui suppose de disposer d'une capacité à repérer un incident rapidement. On ne notifie que ce que l'on détecte. Une entreprise qui aborde NIS2 uniquement par le prisme documentaire, en rédigeant des politiques sans se doter de moyens de détection opérationnels, se retrouvera incapable de respecter les délais de notification le moment venu.

C'est là que la conformité rejoint la pratique quotidienne de la sécurité. Disposer de règles de détection à jour, capables de repérer les techniques d'attaque courantes sur son parc, n'est pas seulement une bonne pratique : c'est un prérequis pour tenir les obligations de notification de NIS2. La conformité réglementaire et la détection opérationnelle sont les deux faces d'une même préparation.

Se doter d'une capacité de détection prête pour les exigences de notification de NIS2 demande des règles maintenues et couvrant les menaces actuelles. C'est ce que fournit le feed Sigma ThreatClaw : des règles de détection à jour, prêtes à s'intégrer dans un SIEM, pour transformer une obligation réglementaire en capacité concrète de repérer et de notifier les incidents dans les délais.