Le retard français sur NIS 2 pourrait coûter des millions d'euros 

Elle ne pendra plus au-dessus de nos têtes longtemps. L’épée de Damoclès va s’abattre sur la France et l’Espagne. Selon les informations exclusives de la rédaction de Politico, la Commission européenne s’apprête à poursuivre les deux États membres devant la Cour de justice de l'UE (CJUE) pour ne pas avoir transposé le règlement NIS 2 dans les temps impartis. La sanction financière pourrait se compter en dizaines de millions d’euros. 

Les pays de l’Union européenne avaient jusqu’à octobre 2024 pour transposer le texte de cybersécurité en loi nationale. Après deux rappels, c’est désormais une poursuite judicaire qu’encourt la France et l’Espagne. Selon un responsable de la Commission, anonymisé par Politico, l’annonce aura lieu “juste avant ou juste après les vacances d’été, en tout cas avant la fin de l’année”. Il ajoute également que l’exécutif européen prévoit de porter plainte contre d’autres pays dans le même temps, sans préciser lesquels. Pour rappel, en mai 2025, seuls huit États membres s’étaient pliés à l’exercice de transposition des règles européennes sur la protection des infrastructures critiques contre les cyberattaques. 

Le problème des backdoors 

Pour la France, la surprise est moindre. Fin avril 2026, sept États, dont la France, ont été renvoyés devant la plus haute juridiction de l’UE pour ne pas avoir adopté une autre loi européenne, le CER. Là-encore, la transposition française se faisait attendre. Et pour cause, la France comptait combiner ce texte sur les infrastructures critiques et NIS 2 dans un seul et même projet de loi. Celui-ci est cependant repoussé jusqu'à fin septembre, en raison d’un blocage sur l’article 16bis, sur la présence de “portes dérobées” ou “backdoors”. Tandis que la DGSI les réclame pour mener à bien sa lutte contre le crime organisé, le règlement NIS 2 les interdit. Pour la Commission, ce point de clivage ne saurait "justifier de retarder volontairement l'adoption d'un texte aussi essentiel". 

En ce qui concerne la sanction, celle-ci reste inconnue. La CJUE peut infliger une amende tout comme décider d’accorder plus de temps aux États membres. Toujours selon Politico, l’exécutif européen, de son côté, n’a pas encore pris de décision quant à d’éventuelles sanctions financières. Quant au gouvernement français, il n’a pas encore réagi à cette révélation même si une défense devant la CJUE serait en préparation.